Contournement UAC - Détournement de DLL

Description

Ceci est une preuve de concept (PoC) pour contourner UAC en utilisant le détournement de DLL et en abusant de la vérification des « répertoires de confiance ».

Sommaire

• Générer l'en-tête à partir du CSV
  • Arguments
• Générer la liste des PE et DLL vulnérables
  • DLLHijacking.exe
  • Fichier journal
  • Exécution
  • Résultat
• test.dll
• Sources

Générer l'en-tête à partir du CSV

Le script Python CsvToHeader.py peut être utilisé pour générer un fichier d'en-tête. Par défaut, il utilise le fichier CSV dll_hijacking_candidates.csv disponible ici : dll_hijacking_candidates.csv.

Le script vérifiera pour chaque exécutable portable (PE) les conditions suivantes :

• Si le PE existe dans le système de fichiers.
• Dans le manifeste du PE, si la requestedExecutionLevel est définie sur l'une des valeurs suivantes :
  • asInvoker
  • highestAvailable
  • requireAdministrator
• Dans le manifeste, si autoElevate est défini sur true :
  root@kitploit:~

  <autoElevate>true</autoElevate>
  

• Si l'utilisateur a spécifié l'argument -c, le script vérifiera si la DLL à détourner se trouve dans la liste des DLL importées de la table PE.

Arguments

> python .\CsvToHeader.py -h
usage: CsvToHeader.py -f [DLL_PATH] -c

CsvToHeader can be used to generate a header file from a CSV.

optional arguments:
  -h, --help      show this help message and exit
  -f  [DLL_PATH]  Path of the csv to convert (default="dll_hijacking_candidates.csv")
  -c              Enable import dll in PE (default=False)
  -v, --version   Show program's version number and exit

Pour générer le fichier d'en-tête, vous pouvez utiliser la commande suivante :

python CsvToHeader.py > dll_hijacking_candidates.h

Générer la liste des PE et DLL vulnérables

Les fichiers qui seront utilisés sont DLLHijacking.exe et test.dll.

DLLHijacking.exe

DLLHijacking.exe est le fichier qui sera utilisé pour générer la liste des PE vulnérables. Il effectuera les étapes suivantes :

1. CreateFakeDirectory

   Fonction qui crée un répertoire dans C:\windows \system32.

2. Copy Files in the new directory

   • de C:\windows\system32\[TARGET.EXE] vers C:\windows \system32\[TARGET.EXE]
   • de [CUSTOM_DLL_PATH] vers C:\windows \system32\[TARGET.DLL]

3. Trigger

   Exécute l'exécutable depuis C:\windows \system32\[TARGET.EXE]

4. CleanUpFakeDirectory

   Fonction qui supprime le répertoire créé à l'étape 1 et les fichiers de l'étape 2.

5. CheckExploit

   Vérifie le contenu du fichier C:\ProgramData\exploit.txt pour voir si l'exploitation a réussi.

Fichier journal

DLLHijacking.exe générera toujours un fichier journal exploitable.log avec le contenu suivant :

• 0 ou 1 pour indiquer si l'exploit a pu contourner l'UAC.
• Le nom de l'exécutable
• Le nom de la DLL

Ex. :

1,computerdefaults.exe,PROPSYS.dll
0,computerdefaults.exe,Secur32.dll

Exécution

Commande à exécuter :

DLLHijacking.exe [DLL_PATH]

Si aucun argument n'est passé, le script utilisera la DLL test.dll qui est stockée dans la ressource de DLLHijacking.exe.

Résultat

Testé sur Windows 10 Pro (10.0.19043 N/A Build 19043).

test.dll

test.dll est une bibliothèque dynamique simple qui sera utilisée pour vérifier si l'exploitation réussit. La DLL créera un fichier C:\ProgramData\exploit.txt avec le contenu suivant :

• 0 ou 1 pour indiquer si l'exploit a pu contourner l'UAC.
• Le nom de l'exécutable
• Le nom de la DLL

Ce fichier sera supprimé une fois l'exploitation terminée.

Sources :

• https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows
• https://github.com/wietze/windows-dll-hijacking/
• https://github.com/wietze/windows-dll-hijacking/blob/master/dll_hijacking_candidates.csv
• https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directories-24a96675f6e

Avertissement légal :

Ce projet est réalisé uniquement à des fins éducatives et de tests éthiques. L'utilisation de ce logiciel pour attaquer des cibles sans consentement mutuel préalable est illégale. Il est de la responsabilité de l'utilisateur final de respecter toutes les lois locales, étatiques et fédérales applicables. Les développeurs déclinent toute responsabilité et ne sont pas responsables de tout usage abusif ou dommage causé par ce programme.