Analizzatore MSI

Questo script Python per Linux può analizzare i file di installazione Microsoft Windows *.msi e segnalare potenziali vulnerabilità. È stato sviluppato da Michael Baer (@derbaer0) nel SEC Consult Vulnerability Lab.

Attualmente, è adatto principalmente a un'escalation di privilegi locale descritta anche nel nostro post sul blog: https://r.sec-consult.com/msi.

Microsoft ha assegnato CVE-2024-38014 e ha anche fornito una patch per questa vulnerabilità nel patch day di settembre 2024: https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-38014.

Lo script può anche essere usato per ottenere una panoramica di un installer e individuare potenziali punti deboli.

Da tenere a mente

• Questo script è un lavoro in corso.
• Non è perfetto, ma si spera che copra correttamente molti installer. Per favore apri una issue su GitHub nel caso ne incontri uno con una valutazione errata.
  • falsi negativi (se l'applicazione console viene avviata solo indirettamente dall'installer)
  • "falsi positivi" (le stesse azioni vengono eseguite condizionalmente. Lo script mostra la condizione ma non la valuta)
• Questo script NON è protetto contro installer dannosi.

Installazione

Sono necessari alcuni pacchetti Python. sqlite3, termcolor, forse altri. Per il resto, non è richiesta alcuna installazione. Basta eseguire lo script dalla cartella principale.

Installa il pacchetto (apt) msitools. Contiene msiinfo e msiextract, anch'essi necessari.

sudo apt install msitools

Il binario SetOpLock utile per sfruttare la vulnerabilità può essere trovato qui: https://github.com/googleprojectzero/symboliclink-testing-tools/tree/main/SetOpLock

Come Usare

• python msiscan.py <Installer>
• Oppure se vuoi controllare un'intera directory: ./runall.sh <directory>

Ora esamina il risultato per colori insoliti (rosso) per vittorie rapide. Consiglio: se c'è qualcosa di rosso, riparalo con ProcMon e segui l'approccio manuale.

Ci saranno errori. Ignorali. L'analisi cerca di continuare se possibile.

Se vedi una riga rossa all'inizio Repairmode disabled ..., non potrai attivare la funzione di riparazione.

Ora, alcune spiegazioni per capire l'output se vuoi investire del tempo in un'analisi più approfondita:

• Valutazione La mia ipotesi su quanto sia probabile che sia sfruttabile. Definisce anche il colore.
• Difficoltà La mia ipotesi su quanto sforzo sia necessario per trovare una vulnerabilità. Es., HARD = Reverse engineering dei binari.
• Linea verde "Action only invoked upon": Questa azione viene invocata solo quando la condizione è vera. Es. "Not Installed" viene eseguita solo quando il software non è ancora installato = durante l'installazione, ma non durante la riparazione. Sei sfortunato a meno che tu non possa forzare l'installazione. (Nota: sembra che a volte queste condizioni non corrispondano alla realtà. Ma non sono ancora riuscito a capirlo).
• Arancione: C'è codice di script. Se hai un po' di tempo, cerca lì azioni sospette. O invocazione di binari (CreateObject ("WScript.Shell")).
• Blu: Metodo del toolset WiX. Probabilmente sicuro (ma dovrebbe essere differenziato e investigato ulteriormente).
• Ciano: Il colore più comune. Normalmente invocano programmi GUI o funzioni DLL. Non ci si aspetta una vittoria rapida qui.

Cosa succede dopo?

Credo che ci sia ancora molto da estrarre dai pacchetti di installazione. Es., i permessi delle cartelle e dei servizi che vengono installati potrebbero identificare rapidamente altri vettori LPE.