CdpSvcLPE

CdpSvc サービスを介した Windows ローカル権限昇格 (書き込み可能なSYSTEMパスでのDLLハイジャック)

概要:

Connected Devices Platform Service (CDPSvc) は NT AUTHORITY\LOCAL SERVICE として実行されるサービスで、起動時に絶対パスを指定せず LoadLibrary() を呼び出して、存在しない cdpsgshims.dll DLL を読み込もうとします。そのため、DLL 検索順序の流れの中で DLL をハイジャックでき、C:\python27 のような書き込み可能な SYSTEM パスの場所で DLL をハイジャックすれば、NT AUTHORITY\LOCAL SERVICE のプロセスまたはシェルアクセスを得られます。その後、@itm4n の PrintSpoofer テクニックと組み合わせて、NT AUTHORITY\SYSTEM 権限を取得します。

使用方法:

1. acltest.ps1 で書き込み可能な SYSTEM パスを探します (例: C:\python27)
   C:\CdpSvcLPE> powershell -ep bypass ". .\acltest.ps1"
   
2. cdpsgshims.dll を C:\python27 にコピーします
   
3. C:\temp フォルダを作成し、impersonate.bin を C:\temp にコピーします
   C:\CdpSvcLPE> mkdir C:\temp
C:\CdpSvcLPE> copy impersonate.bin C:\temp
   
4. 再起動します (または管理者として CDPSvc を停止/開始します)
   
5. コマンドプロンプトが nt authority\system で表示されます。
   

Youtube: https://youtu.be/Jfxfsc04H5o

\m/ 注意: system のコマンドプロンプトを取得したら、cdpsvc サービスを停止し、dll ファイルと bin ファイルを削除してください。

by @404death

参照:

http://zeifan.my/security/eop/2019/11/05/windows-service-host-process-eop.html
https://itm4n.github.io/cdpsvc-dll-hijacking/
https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/
https://github.com/itm4n/PrintSpoofer
https://gist.github.com/wdormann/eb714d1d935bf454eb419a34be266f6f