UAC bypass - DLL hijacking

Descrizione

Questa è una PoC per bypassare UAC utilizzando DLL hijacking e abusando della verifica delle "Directory attendibili".

Sommario

• Genera Header da CSV
  • Argomenti
• Genera la lista di PE e DLL vulnerabili
  • DLLHijacking.exe
  • File di log
  • Esecuzione
  • Risultato
• test.dll
• Fonti

Genera Header da CSV

Lo script Python CsvToHeader.py può essere utilizzato per generare un file header. Di default utilizzerà il file CSV dll_hijacking_candidates.csv che può essere trovato qui: dll_hijacking_candidates.csv.

Lo script controllerà per ogni eseguibile portabile (PE) le seguenti condizioni:

• Se il PE esiste nel file system.
• Nel manifest del PE, se requestedExecutionLevel è impostato su uno dei seguenti valori:
  • asInvoker
  • highestAvailable
  • requireAdministrator
• Nel manifest se autoElevate è impostato su true:
  root@kitploit:~

  <autoElevate>true</autoElevate>
  

• Se l'utente specifica l'argomento -c, lo script controllerà se la DLL da hijackare è nella lista delle DLL importate dalla tabella PE.

Argomenti

> python .\CsvToHeader.py -h
usage: CsvToHeader.py -f [DLL_PATH] -c

CsvToHeader può essere utilizzato per generare un file header da un CSV.

optional arguments:
  -h, --help      show this help message and exit
  -f  [DLL_PATH]  Percorso del csv da convertire (default="dll_hijacking_candidates.csv")
  -c              Abilita import dll nel PE (default=False)
  -v, --version   Show program's version number and exit

Per generare il file header puoi usare il seguente comando:

python CsvToHeader.py > dll_hijacking_candidates.h

Genera la lista di PE e DLL vulnerabili

I file che verranno utilizzati sono DLLHijacking.exe e test.dll.

DLLHijacking.exe

DLLHijacking.exe è il file che verrà utilizzato per generare la lista dei PE vulnerabili. Eseguirà i seguenti passaggi:

1. CreateFakeDirectory

   Funzione che crea una directory in C:\windows \system32.

2. Copia i file nella nuova directory

   • da C:\windows\system32\[TARGET.EXE] a C:\windows \system32\[TARGET.EXE]
   • da [CUSTOM_DLL_PATH] a C:\windows \system32\[TARGET.DLL]

3. Trigger

   Esegue l'eseguibile da C:\windows \system32\[TARGET.EXE]

4. CleanUpFakeDirectory

   Funzione che elimina la directory creata al passo 1 e i file del passo 2.

5. CheckExploit

   Controlla il contenuto del file C:\ProgramData\exploit.txt per vedere se l'exploit ha avuto successo.

File di log

DLLHijacking.exe genererà sempre un file di log exploitable.log con il seguente contenuto:

• 0 o 1 per indicare se l'exploit è riuscito a bypassare l'UAC.
• Il nome dell'eseguibile
• Il nome della dll

E.g.

1,computerdefaults.exe,PROPSYS.dll
0,computerdefaults.exe,Secur32.dll

Esecuzione

Comando da eseguire:

DLLHijacking.exe [DLL_PATH]

Se non viene passato alcun argomento, lo script utilizzerà la DLL test.dll che è memorizzata nella risorsa di DLLHijacking.exe.

Risultato

Testato su Windows 10 Pro (10.0.19043 N/A Build 19043).

test.dll

test.dll è una semplice libreria dinamica che verrà utilizzata per vedere se l'exploit ha successo. La DLL creerà un file C:\ProgramData\exploit.txt con il seguente contenuto:

• 0 o 1 per indicare se l'exploit è riuscito a bypassare l'UAC.
• Il nome dell'eseguibile
• Il nome della DLL

Questo file verrà eliminato una volta completato l'exploit.

Fonti:

• https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows
• https://github.com/wietze/windows-dll-hijacking/
• https://github.com/wietze/windows-dll-hijacking/blob/master/dll_hijacking_candidates.csv
• https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directories-24a96675f6e

Dichiarazione di non responsabilità:

Questo progetto è realizzato esclusivamente a scopo educativo e di test etico. L'utilizzo di questo software per attaccare target senza il preventivo consenso reciproco è illegale.
È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili.
Gli sviluppatori non si assumono alcuna responsabilità e non sono responsabili per qualsiasi uso improprio o danno causato da questo programma.