CVE-2009-0229-PoC

CVE-2009-0229「Print Spooler Read File Vulnerability」のPoC LPE AFR（CVE-2020-1048関連）

詳細

作者: Andrei Costin ([email protected])
- https://twitter.com/costinandrei/
PoC日付: 2010-xx-xx
公開日: 2020-05-14（CVE-2020-1048に思い出させられた/触発された。そう、私がパーティーに遅すぎたんだ :D）
TL;DR
- 0dayを狙うなら、OSの印刷とFAXサブシステムを掘ってみよう :) - 歴史的な理由によりレガシーコードだらけで、誰にでも見つけられる脆弱性がある =)

Note1: 未検証 - CVE-2009-0229を引き起こすバグと同一かどうかは100%確かではない
Note2: 未検証 - Windows Server 2012やWindows Server 2016のような新しいシステムでも動作する可能性がある
Note3: すべてのWindowsリリースには、既定の「区切りページ」ファイルが4つ含まれている
- pcl.sep
- pscript.sep
- sysprint.sep
- sysprtj.sep
Note4: このトリックはWindows 95より古い =)。プロが「ステルス情報復旧」に使っていたのは間違いない ;)

（非管理者）ローカルの攻撃者が「プリンター管理権限」を持っている
- 選択肢1: 新しいプリンターを追加できる
- 選択肢2: 既存の「システム全体」プリンターの設定を変更できる（多くの場合こちら）
外部に持ち出す「任意のファイル」に明示的な「読み取り拒否」アクセス許可が設定されていない
- そのような設定があると、被害者がファイルにアクセスするのが非常に非現実的/使用不能になるため、ほとんどあり得ない

ローカルの攻撃者は、アクセス権を持つ任意のプリンターを、攻撃者が用意した「区切りページ」ファイル（attack.sep）を使用するように構成する。これで攻撃者は「武器化したプリンター」を手に入れる
- 詳細は下記の「Windowsの「区切りページ」リファレンス」を参照
ローカルの攻撃者は、「区切りページ」ファイル（attack.sep）を細工して、以下のように"@F"/"$F"演算子を使用させる。ここでは外部に持ち出すファイルが「C:\secret.txt」であると想定している（\と@F演算子への直接連結に注意）

@
@FC:\\secret.txt

ローカルの攻撃者は、上記の「武器化した」プリンターを使って何かを印刷する必要がある
- 例えば、ローカルの攻撃者はメモ帳を開き、「区切りページ」ファイルを設定した上記のプリンターで空の文書を印刷する
- ローカルの攻撃者は、印刷時に「ファイルに出力」オプション（例: c:\temp\exfiltrated.out）を使用する。ほとんどのWindowsバージョンには「ファイルに出力」の.psがあり、新しいバージョンには.xpsもある（http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm）
  - これは、外部に持ち出すファイルの内容がプリンターに送られないようにするためである（もちろんプリンターに出力する方法もある）。攻撃者はすぐにその内容を利用できる
攻撃の改良: 1つの「区切りページ」ファイルに、最も一般的なファイルパス/ファイル名のブルートフォースリストを含めることができる
さらに@L演算子もある :)
- 私の「PostScript: Danger Ahead?!」を参照 https://scholar.google.fr/scholar?oi=bibs&hl=en&q=related:RGJbW-sFP9sJ:scholar.google.com/
- pscript.sepとsysprint.sepも参照