PipeViewer

L'outil a été publié dans le cadre d'une recherche sur les tubes nommés Docker :
"Breaking Docker Named Pipes SYSTEMatically: Docker Desktop Privilege Escalation – Part 1"
"Breaking Docker Named Pipes SYSTEMatically: Docker Desktop Privilege Escalation – Part 2"

Aperçu

PipeViewer est un outil GUI qui permet aux utilisateurs de visualiser les détails des tubes nommés Windows et leurs permissions. Il est conçu pour être utile aux chercheurs en sécurité intéressés par la recherche de tubes nommés avec des permissions faibles ou par le test de la sécurité des tubes nommés. Avec PipeViewer, les utilisateurs peuvent facilement visualiser et analyser les informations sur les tubes nommés de leurs systèmes, les aidant à identifier les vulnérabilités de sécurité potentielles et à prendre les mesures appropriées pour sécuriser leurs systèmes.

Utilisation

Double-cliquez sur le binaire EXE et vous obtiendrez la liste de tous les tubes nommés.

Compilation

Compilez le projet PipeViewer en utilisant Visual Studio ou la ligne de commande. Voici comment :

Avec Visual Studio

Ouvrez PipeViewer.sln dans Visual Studio. Naviguez vers Build > Batch Build > Sélectionnez "Release" pour PipeViewer et cliquez sur Build.

Avec la ligne de commande

Ouvrez une invite de commandes et naviguez vers votre répertoire de projet.

cd path\to\PipeViewer
msbuild PipeViewer.sln /p:Configuration=Release /p:Platform="Any CPU"

• Assurez-vous que MSBuild est ajouté au PATH de votre système ou fournissez le chemin complet vers l'exécutable MSBuild.

L'exécutable sera créé dans : 'C:\path\to\PipeViewer\PipeViewer\bin\Release'.

Lors du téléchargement depuis GitHub, vous pourriez obtenir une erreur de fichiers bloqués, vous pouvez utiliser PowerShell pour les débloquer :

Get-ChildItem -Path 'D:\tmp\PipeViewer-main' -Recurse | Unblock-File

Avertissement

Nous avons compilé le projet et l'avons téléversé, vous pouvez donc le trouver dans les releases.
Un problème est que le binaire déclenchera des alertes de Windows Defender car il utilise le package NtObjerManager qui est signalé comme virus.
Notez que James Forshaw en a parlé ici.
Nous ne pouvons pas le changer car nous dépendons d'une DLL tierce.

Fonctionnalités

• Un aperçu détaillé des tubes nommés.
• Filtrer/surligner les lignes en fonction des cellules.
• Mettre en gras des lignes spécifiques.
• Exporter/Importer vers/depuis JSON.
• PipeChat - créer une connexion avec les tubes nommés disponibles.

Démo

https://user-images.githubusercontent.com/11998736/215425682-c5219395-16ea-42e9-8d1e-a636771b5ba2.mp4

Crédits

Nous souhaitons remercier James Forshaw (@tyranid) pour avoir créé l'open source NtApiDotNet qui nous a permis d'obtenir des informations sur les tubes nommés.

Licence

Copyright (c) 2023 CyberArk Software Ltd. Tous droits réservés
Ce dépôt est sous licence Apache-2.0 - voir LICENSE pour plus de détails.

❤️ Vitrine

• Présenté à Insomnihack 2023 "Breaking Docker's Named Pipes SYSTEMatically"
• Présenté à TyphoonCon 2023 "Breaking Docker's Named Pipes SYSTEMatically"
• Une étude de cas par Nir Chako utilisant Pipeviewer "Piping Hot Fortinet VCulnerabilities"

Références

Pour plus de commentaires, suggestions ou questions, vous pouvez contacter Eviatar Gerzi (@g3rzi) et CyberArk Labs.