tafloh/cve-2019-1388-privilege-escalation--2021-CVE-2019-1388 Analisi di laboratorio: Escalation di privilegi locale documentata tramite i dialoghi dei certificati di Windows UAC su Windows 7.
Analisi di laboratorio CVE-2019-1388: escalation locale dei privilegi documentata tramite le finestre di dialogo dei certificati UAC di Windows su Windows 7.
Un laboratorio didattico di cybersecurity e un'analisi tecnica che documentano CVE-2019-1388—una vulnerabilità di escalation locale dei privilegi nella finestra di dialogo dei certificati di Windows che consente a un utente con privilegi limitati di ottenere l'accesso come NT AUTHORITY\SYSTEM.
Guest e Admin)hhupd.exe), Internet Explorer, Windows Explorer, cmd.exePer sfruttare la vulnerabilità, all'inizio dobbiamo effettuare l'accesso come utente guest (che dispone del minor numero di privilegi). Una volta effettuato l'accesso, aprire il prompt dei comandi e digitare whoami per verificare di aver effettuato l'accesso come utente guest
Verifica dei privilegi
Dopo la conferma, aprire Internet Explorer e navigare per scaricare l'eseguibile (hhupd.exe) dal sito web dell'attaccante ·Una volta scaricato, fare clic con il tasto destro sull'eseguibile e nelle proprietà rimuovere il contrassegno web. In questo modo, il programma può essere eseguito su tutti i sistemi locali. Fatto ciò, fare nuovamente clic con il tasto destro e selezionare Esegui come amministratore. Ciò provoca la visualizzazione della richiesta UAC (User Account Control) sullo schermo.
Poiché non conosciamo la password dell'amministratore, fare clic su mostra dettagli e poi sul collegamento per Mostra informazioni sul certificato di questo editore. Immediatamente viene mostrato il sito web dell'emittente del certificato (Rilasciato da: VeriSign Commercial Software Publishers CA). Fare clic su quel collegamento ipertestuale per andare al sito web dell'emittente del certificato, che avvierà un processo del browser che verrà eseguito come sistema.
Chiudere la richiesta UAC e tornare al desktop principale. Ora il nuovo browser è visibile. Anche se il collegamento alla pagina non esiste più, possiamo comunque fare clic sulla pagina e poi su salva con nome. A questo punto, si verifica un errore involontario. Il messaggio di errore è causato dal fatto che il browser è attualmente in esecuzione come sistema.
Dopo aver chiuso l'errore, dobbiamo selezionare la cartella Windows System 32. Una volta entrati, dobbiamo scegliere command dot exe e poi aprirlo.
Ora abbiamo un prompt dei comandi in esecuzione, digitare whoami e premere invio per verificare l'account NT authority system (nt authority/system).
Alla fine abbiamo elevato i privilegi da bassi a uno dei più potenti (NT Authority). Ad esempio, vediamo come l'attaccante utilizzerà questa vulnerabilità per accedere ai file dell'account admin. Dobbiamo entrare in Users nell'unità C utilizzando cd C:\Users. Una volta entrati nella cartella Users, possiamo accedere all'account admin usando cd Admin.
Dopo essere entrati nell'account admin, possiamo visualizzare i file nel desktop dell'admin usando cd Desktop e dir (per visualizzare i file). Come possiamo vedere, c'è un'immagine chiamata image.jpg sul desktop dell'Admin. Copieremo quel file immagine dal desktop dell'admin al desktop dell'account Guest. Il comando copy image.jpg C:\Users\Guest\Desktop viene utilizzato per copiare e incollare l'immagine da Admin all'account Guest.
Per questa vulnerabilità, Microsoft ha rilasciato il percorso completo a novembre 2019. Poiché molte versioni di Windows presentano questa vulnerabilità, è fondamentale mantenere il sistema operativo aggiornato con tutte le patch più recenti (assicurarsi che i privilegi utente siano applicati correttamente nella finestra di dialogo dei certificati di Windows) e gli aggiornamenti di sicurezza. Quando si utilizza una versione vulnerabile di Windows, assicurarsi di aggiornare il prima possibile prima che qualcuno ne approfitti. L'escalation dei privilegi è altamente rischiosa poiché è semplice e più facile da sfruttare per elevare i privilegi.