CVE-2021-21551

CVE-2021-21551 の SYSTEM への権限昇格エクスプロイト

SeImpersonatePrivileges を使用した SpoolPrinter の権限昇格は、@_ForrestOrr のおかげで実現しました。https://github.com/forrest-orr/DoubleStar/tree/main/Payloads/Source/Stage3_SpoolPotato 私は基本的に彼のコードにエクスプロイト関数を放り込み、ごくわずかに変更しただけです。 NtQuerySystemInformation は @Void_Sec の https://voidsec.com/exploiting-system-mechanic-driver/ からほぼそのまま流用しました。トークンの位置をリークした方法については、功績を一切主張できません。

現時点では、アップグレードされた cmd.exe シェルのみを提供しています。 それ以外が必要な場合は、自分でエクスプロイトを編集する必要があります。

**更新: 引数が指定されない場合、SYSTEM シェルを提供します。 また、取得したい特権名を無制限の数の引数として受け付け、希望する場合には、それらの特定の特権のみを持つシェルを提供することもできます。

私がやったのは、技術を統合して完全な権限昇格を実現し、https://labs.sentinelone.com/cve-2021-21551-hundreds-of-millions-of-dell-computers-at-risk-due-to-multiple-bios-driver-privilege-escalation-flaws/ の「空欄を埋める」を組み込んだだけです。 ここで私が功績を主張できる部分はほとんどありません! ただ、気になる方のために言っておくと、私の Twitter は @waldoirc です。 これは私が初めて公開するエクスプロイトです。

Windows バージョン 1903、1909、2004 でテスト済みです。 今後、さらに多くのバージョンで動作するようにする予定です。 同じトークンオフセットを持つ他の Windows バージョンでも動作します。 それがどの Windows バージョンかを確認するにはテストが必要です。

現在は中整合性レベルからのみ動作します。

実装予定の追加の方法:

1. Cobalt Strike 用の BoF を作成する
2. リフレクティブ DLL
3. Read Primitive を使用して SYSTEM トークンを盗み、低整合性レベルからも動作させる **4. Read Primitive + "SeImpersonatePrivilege" のマスクのみを使用して SeImpersonate を追加し、現在の特権のみをマスクすることでクリーンアップしてノイズを減らす : 0x00000001d
   • これは完了しました。
4. SE_TOKEN_PRIVILEGES オフセットをハードコードせずに、すべての Windows バージョンで動的に動作させる

このエクスプロイトは教育目的のみです。 許可を得ていない場所では使用しないでください。