UACバイパス - DLLハイジャッキング

説明

これは、UACをバイパスするためのPoCであり、DLLハイジャッキングを使用し、「信頼されたディレクトリ」検証を悪用します。

概要

• ヘッダーをCSVから生成
  • 引数
• 脆弱なPEとDLLのリストを生成
  • DLLHijacking.exe
  • ログファイル
  • 実行
  • 結果
• test.dll
• 出典

ヘッダーをCSVから生成

PythonスクリプトCsvToHeader.pyを使用して、ヘッダーファイルを生成できます。デフォルトでは、この場所にあるCSVファイルdll_hijacking_candidates.csvを使用します。

スクリプトは各ポータブル実行可能ファイル(PE)に対して以下の条件をチェックします：

• PEがファイルシステムに存在するか。
• PEのマニフェストで、_requestedExecutionLevel_が以下のいずれかの値に設定されているか：
  • asInvoker
  • highestAvailable
  • requireAdministrator
• マニフェストでautoElevateがtrueに設定されているか：
  root@kitploit:~

  <autoElevate>true</autoElevate>
  

• ユーザーが-c引数を指定した場合、スクリプトはハイジャック対象のDLLがPEテーブルからインポートされたDLLのリストにあるかどうかをチェックします。

引数

> python .\CsvToHeader.py -h
usage: CsvToHeader.py -f [DLL_PATH] -c

CsvToHeader can be used to generate a header file from a CSV.

optional arguments:
  -h, --help      show this help message and exit
  -f  [DLL_PATH]  Path of the csv to convert (default="dll_hijacking_candidates.csv")
  -c              Enable import dll in PE (default=False)
  -v, --version   Show program's version number and exit

以下のコマンドを使用してヘッダーファイルを生成できます：

python CsvToHeader.py > dll_hijacking_candidates.h

脆弱なPEとDLLのリストを生成

使用されるファイルはDLLHijacking.exeとtest.dllです。

DLLHijacking.exe

DLLHijacking.exeは脆弱なPEのリストを生成するために使用されるファイルです。 以下の手順を実行します：

1. CreateFakeDirectory

   C:\windows \system32にディレクトリを作成する関数。

2. 新しいディレクトリにファイルをコピー

   • C:\windows\system32\[TARGET.EXE] から C:\windows \system32\[TARGET.EXE] へ
   • [CUSTOM_DLL_PATH] から C:\windows \system32\[TARGET.DLL] へ

3. トリガー

   C:\windows \system32\[TARGET.EXE]から実行可能ファイルを実行

4. CleanUpFakeDirectory

   手順1で作成したディレクトリと手順2のファイルを削除する関数。

5. CheckExploit

   ファイルC:\ProgramData\exploit.txtの内容を確認し、エクスプロイトが成功したかどうかをチェックします。

ログファイル

DLLHijacking.exeは常にログファイルexploitable.logを生成し、以下の内容を含みます：

• 0または1：エクスプロイトがUACをバイパスできたかどうかを示します。
• 実行可能ファイル名
• DLL名

例：

1,computerdefaults.exe,PROPSYS.dll
0,computerdefaults.exe,Secur32.dll

実行

実行コマンド：

DLLHijacking.exe [DLL_PATH]

引数が渡されない場合、スクリプトはDLLHijacking.exeのリソースに格納されているDLLtest.dllを使用します。

結果

Windows 10 Pro (10.0.19043 N/A Build 19043)でテスト済み。

test.dll

test.dllはエクスプロイトが成功したかどうかを確認するために使用されるシンプルな動的ライブラリです。 このDLLはファイルC:\ProgramData\exploit.txtを作成し、以下の内容を含みます：

• 0または1：エクスプロイトがUACをバイパスできたかどうかを示します。
• 実行可能ファイル名
• DLL名

このファイルはエクスプロイトが完了したら削除されます。

出典：

• https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows
• https://github.com/wietze/windows-dll-hijacking/
• https://github.com/wietze/windows-dll-hijacking/blob/master/dll_hijacking_candidates.csv
• https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directories-24a96675f6e

法的免責事項：

このプロジェクトは教育および倫理的なテスト目的のみで作成されています。このソフトウェアを事前の相互同意なしにターゲットを攻撃するために使用することは違法です。
エンドユーザーは、該当するすべての地域、州、連邦法を遵守する責任があります。
開発者は一切の責任を負わず、このプログラムの誤用や損害についても責任を負いません。