CdpSvcLPE

Élévation de privilèges locale Windows via le service CdpSvc (détournement de DLL dans un chemin système accessible en écriture)

Brève description :

Le service Connected Devices Platform (ou CDPSvc) est un service qui s'exécute en tant que NT AUTHORITY\LOCAL SERVICE et tente de charger la DLL cdpsgshims.dll manquante au démarrage via un appel à LoadLibrary(), sans spécifier son chemin absolu. Ainsi, il est possible de détourner une DLL dans le dossier du flux d'ordre de recherche de DLL (DLL Search Order) et nous obtiendrons un accès processus ou shell avec NT AUTHORITY\LOCAL SERVICE si nous détournons la DLL dans un emplacement accessible en écriture du PATH système tel que C:\python27. Ensuite, je combine cela avec la technique PrintSpoofer de @itm4n pour obtenir un accès NT AUTHORITY\SYSTEM.

Utilisation :

1. Recherchez un répertoire du PATH système accessible en écriture avec acltest.ps1 (par exemple C:\python27)
   C:\CdpSvcLPE> powershell -ep bypass ". .\acltest.ps1"
   
2. Copiez cdpsgshims.dll dans C:\python27
   
3. créez le dossier C:\temp et copiez impersonate.bin dans C:\temp
   C:\CdpSvcLPE> mkdir C:\temp
C:\CdpSvcLPE> copy impersonate.bin C:\temp
   
4. Redémarrez (ou arrêtez/démarrez CDPSvc en tant qu'administrateur)
   
5. cmd s'ouvrira avec nt authority\system.
   

Youtube: https://youtu.be/Jfxfsc04H5o

\m/ Remarque : lorsque vous obtenez l'invite de commandes system, arrêtez le service cdpsvc et supprimez le fichier dll et le fichier bin.

par @404death

Références :

http://zeifan.my/security/eop/2019/11/05/windows-service-host-process-eop.html
https://itm4n.github.io/cdpsvc-dll-hijacking/
https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/
https://github.com/itm4n/PrintSpoofer
https://gist.github.com/wdormann/eb714d1d935bf454eb419a34be266f6f