tafloh/cve-2019-1388-privilege-escalation--2021-CVE-2019-1388 Análisis de laboratorio: escalada de privilegios local documentada a través de los diálogos de certificados de UAC de Windows en Windows 7.
Análisis de laboratorio de CVE-2019-1388: Escalada de privilegios local documentada mediante los diálogos de certificado de UAC de Windows en Windows 7.
Un laboratorio educativo de ciberseguridad y análisis técnico que documenta CVE-2019-1388, una vulnerabilidad de escalada de privilegios local en el Diálogo de Certificado de Windows que permite a un usuario con bajos privilegios obtener acceso como NT AUTHORITY\SYSTEM.
Guest y Admin)hhupd.exe), Internet Explorer, Windows Explorer, cmd.exePara explotar la vulnerabilidad, al inicio necesitamos iniciar sesión como usuario invitado (que tiene el menor privilegio). Una vez iniciada la sesión, abra el símbolo del sistema e introduzca whoami para asegurarse de que hemos iniciado sesión como usuario invitado
Comprobando el privilegio
Tras la confirmación, abra Internet Explorer y navegue para descargar el ejecutable (hhupd.exe) desde el sitio web del atacante ·Una vez descargado, haga clic derecho sobre el ejecutable y, en las propiedades, elimine la marca web. De este modo, el programa puede ejecutarse en todo el sistema local. Una vez hecho esto, vuelva a hacer clic derecho y seleccione Ejecutar como administrador. Esto provoca que aparezca en pantalla el aviso de UAC (Control de cuentas de usuario).
Como no conocemos la contraseña del administrador, haga clic en mostrar detalles y luego en el enlace para Mostrar información sobre el certificado de este editor. Inmediatamente se muestra el sitio web del emisor del certificado (Emitido por: VeriSign Commercial Software Publishers CA). Haga clic en ese hipervínculo para ir al sitio web del emisor del certificado, lo que iniciará un proceso de navegador que se ejecutará como el sistema.
Cierre el aviso de UAC y vuelva al escritorio principal. Ahora el nuevo navegador es visible para nosotros. Aunque el enlace a la página ya no existe, todavía podemos hacer clic en la página y luego guardar como. En este punto, se produce un error no intencionado. El mensaje de error se debe a que el navegador se está ejecutando actualmente como sistema.
Tras descartar el error, debemos seleccionar la carpeta Windows System 32. Una vez que hayamos entrado, debemos elegir el comando cmd.exe y luego abrirlo.
Ahora tenemos un símbolo del sistema en ejecución, escriba whoami y pulse Intro para verificar el sistema de autoridad NT (nt authority/system).
Al final, elevamos el privilegio de bajo a uno de los poderosos (NT Authority). Por ejemplo, veamos cómo el atacante utilizará esta vulnerabilidad para acceder a archivos de la cuenta de administrador. Necesitamos entrar en Users en la unidad C usando cd C:\Users. Una vez que entremos en la carpeta Users, podemos acceder a la cuenta de administrador usando cd Admin.
Después de entrar en la cuenta de administrador, podemos ver los archivos en el escritorio del administrador usando cd Desktop y dir (para ver los archivos). Como podemos ver, hay una imagen llamada image.jpg en el escritorio de Admin. Copiaremos ese archivo de imagen desde el escritorio del administrador al escritorio de la cuenta Guest. El comando copy image.jpg C:\Users\Guest\Desktop se utiliza para copiar y pegar la imagen de Admin a la cuenta Guest.
Para esta vulnerabilidad, Microsoft publicó la ruta completa en noviembre de 2019. Dado que muchas versiones de Windows presentan esta vulnerabilidad, es crucial mantener el sistema operativo actualizado con todos los parches más recientes (asegurarse de que el privilegio de usuario se aplique correctamente en el Diálogo de certificados de Windows) y las actualizaciones de seguridad. Cuando alguien utiliza la versión vulnerable de Windows, asegúrese de actualizar lo antes posible antes de que alguien lo aproveche. La escalada de privilegios es altamente riesgosa, ya que es simple y más fácil de escalar privilegios.