tafloh/cve-2019-1388-privilege-escalation--2021-CVE-2019-1388 Laboranalyse: Dokumentierte lokale Privilegienerweiterung über Windows UAC-Zertifikatsdialoge unter Windows 7.
CVE-2019-1388 Laboranalyse: Dokumentierte lokale Privilegienausweitung über Windows-UAC-Zertifikatsdialoge unter Windows 7.
Ein edukatives Cybersicherheits-Labor und eine technische Analyse, die CVE-2019-1388 dokumentiert – eine lokale Privilegienausweitungs-Schwachstelle im Windows-Zertifikatsdialog, die es einem Benutzer mit geringen Rechten ermöglicht, NT AUTHORITY\SYSTEM-Zugriff zu erlangen.
Guest und Admin)hhupd.exe), Internet Explorer, Windows Explorer, cmd.exeUm die Schwachstelle auszunutzen, müssen wir uns zunächst als Gastbenutzer anmelden (der die geringsten Rechte besitzt). Nach der Anmeldung öffnen wir die Eingabeaufforderung und geben whoami ein, um sicherzustellen, dass wir als Gastbenutzer angemeldet sind
Überprüfung der Berechtigungen
Nach der Bestätigung öffnen wir den Internet Explorer und rufen die Angreifer-Website auf, um die ausführbare Datei (hhupd.exe) herunterzuladen. ·Nach dem Herunterladen klicken wir mit der rechten Maustaste auf die ausführbare Datei und entfernen in den Eigenschaften die Webmarkierung. Dadurch kann das Programm auf allen lokalen Systemen ausgeführt werden. Anschließend klicken wir erneut mit der rechten Maustaste und wählen „Als Administrator ausführen“. Dadurch wird die UAC-Aufforderung (Benutzerkontensteuerung) auf dem Bildschirm angezeigt.
Da wir das Administratorkennwort nicht kennen, klicken wir auf „Details anzeigen“ und dann auf den Link „Informationen zum Zertifikat dieses Herausgebers anzeigen“. Sofort wird die Website des Zertifikatsausstellers angezeigt (Ausgestellt von: VeriSign Commercial Software Publishers CA). Wir klicken auf diesen Hyperlink, um zur Website des Zertifikatsausstellers zu gelangen, wodurch ein Browserprozess gestartet wird, der als System ausgeführt wird.
Wir schließen die UAC-Aufforderung und kehren zum Hauptdesktop zurück. Nun ist der neue Browser für uns sichtbar. Obwohl der Link zur Seite nicht mehr existiert, können wir dennoch auf die Seite klicken und dann „Speichern unter“ wählen. An diesem Punkt tritt ein unbeabsichtigter Fehler auf. Die Fehlermeldung wird dadurch verursacht, dass der Browser derzeit als System ausgeführt wird.
Nach dem Schließen der Fehlermeldung sollten wir den Ordner Windows System 32 auswählen. Sobald wir uns darin befinden, wählen wir die Datei command dot exe und öffnen sie.
Nun läuft eine Eingabeaufforderung; wir geben whoami ein und drücken die Eingabetaste, um das NT Authority System (nt authority/system) zu verifizieren.
Letztendlich haben wir die Berechtigung von niedrig auf eine der mächtigsten (NT Authority) erhöht. Sehen wir uns beispielsweise an, wie ein Angreifer diese Schwachstelle nutzen würde, um auf Dateien des Administratorkontos zuzugreifen. Wir müssen über cd C:\Users\ in den Ordner Users auf Laufwerk C wechseln. Sobald wir uns im Ordner Users befinden, können wir über cd Admin auf das Administratorkonto zugreifen.
Nachdem wir in das Administratorkonto gelangt sind, können wir die Dateien auf dem Admin-Desktop mit cd Desktop und dir (zum Anzeigen der Dateien) einsehen. Wie wir sehen können, befindet sich ein Bild namens image.jpg auf dem Desktop des Admins. Wir werden diese Bilddatei vom Admin-Desktop auf den Desktop des Gastkontos kopieren. Der Befehl copy image.jpg C:\Users\Guest\Desktop wird verwendet, um das Bild vom Admin zum Gastkonto zu kopieren und einzufügen.
Für diese Schwachstelle hat Microsoft im November 2019 den vollständigen Pfad veröffentlicht. Da viele Windows-Versionen von dieser Schwachstelle betroffen sind, ist es entscheidend, das Betriebssystem mit allen neuesten Patches (stellen Sie sicher, dass Benutzerprivilegien im Windows-Zertifikatsdialog korrekt durchgesetzt werden) und Sicherheitsupdates aktuell zu halten. Wenn jemand die anfällige Windows-Version verwendet, sollte er so schnell wie möglich aktualisieren, bevor jemand dies ausnutzt. Privilegieneskalation ist äußerst riskant, da es einfach und unkompliziert ist, Privilegien zu eskalieren.