faxhell ("Fax Shell")

Fax サービスと Ualapi.dll に基づく DLL ハイジャックを使用した Proof-of-Concept のバインドシェル。

詳細は次の記事をご覧ください: https://windows-internals.com/faxing-your-way-to-system/

How to use

• Ualapi.dll をビルドし、c:\windows\system32 に配置します。
• Fax サービスを起動すると、DLL が読み込まれ、エクスポート UalStart が呼び出されます。UalStart はスレッドプールのワークアイテムをキューに入れ、RpcSs へのハンドルを開き、SYSTEM トークンを見つけて偽装します。その後、ローカルエンドポイントアドレスにソケットを作成し、ポート 9299 にバインドし、スレッドプールの I/O 完了ポートを使用して非同期的に接続を待ちます。
• 任意のクライアント（例: nc(at).exe <ip> 9299）を使用してポート 9299 のソケットに接続し、let me in と入力して ENTER を押します。カスタムコードを書く場合は、文字列 let me in\n を送信するようにしてください。
• I/O 完了パケットがスレッドプールのコールバックを起動し、DcomLaunch サービスの下で SYSTEM 権限を持つ Cmd.exe プロセスを開始し、その入力と出力のハンドルを新しく作成されたソケットにバインドします。
• 成功！

EDR / AV evasion

• あまり知られておらず、EDR ベンダーによって監視されたり不審とフラグが付けられたりしないサービスを使用します。
• Windows スレッドプール API を使用してセットアップを行い、スタックを読み取りにくくし、複数のスレッドに作業をオフロードし、不審な動作が発生していることを示す簡単な「ヒント」を避けます。
• 偽装されたトークンの有効期間は非常に短く、ワーカースレッドだけが SYSTEM として実行され、たった 1 回の API 呼び出しの後、すぐに NETWORK SERVICE に戻ります。これにより、さまざまなスキャナーに捕捉される可能性を減らすことができます。
• あまり一般的でないソケット API を使用することで、インポートテーブルを不審に見えにくくし、EDR 検出、IOCTL フック、LSP を回避します。
• バインドシェルを Fax サービスではなく DcomLaunch サービス（すでに SYSTEM サービス）の下に作成することで、はるかに自然に見え、非常に不審なプロセスツリーを避けます。
• ソケットが DcomLaunch や Cmd.exe ではなく Fax サービスに属しているように見せる Windows のバグを利用しています。Fax サービスを強制終了すると、ソケットは System に属しているように見えます。

Caveats

これは、すぐに使える検出不可能な悪意のある武器化されたシェルを意図したものではありません。

• これは単なるバインドシェルであり、ほとんどのファイアウォールがブロックします。ファイアウォールルールを開くか、リバースバインドシェルを使用するか、80 や 443 などの一般的なポートを介して通信する方が効果的です。
• 他のサービス、特に Spooler も Ualapi.dll を読み込みます。Fax サービスが SERVICE_START_PENDING 状態で「スタック」してもシステムは正常に動作しますが、Spoolsv.exe に問題を引き起こします。
• PoC にはバグやメモリリークが存在する可能性があります。本番品質にするために最善を尽くしましたが、Application Verifier や asan でのテストは行っていません。