ShimMe

DEFCON 32 프레젠테이션 "SHIM me what you got - 코드 주입을 위한 Shim 및 Office 조작"의 도구

Office Injector - OfficeClickToRun 서비스에서 RPC 메서드를 호출하여 작업 스케줄러 서비스가 시작한 일시 중단된 프로세스(NT AUTHORITY\SYSTEM 권한으로 실행)에 DLL을 주입하여, 관리자에서 SYSTEM으로 권한 상승을 달성합니다.

Shim Injector - 문서화되지 않은 shim 데이터 구조를 다른 프로세스의 메모리에 기록하여, 시스템에 새 SDB 파일을 등록하거나 디스크에 해당 파일을 기록하지 않고도 apphelp.dll이 해당 프로세스에 "Inject Dll" 픽스를 적용하도록 합니다.

크레딧

• David Shandalov
• Ron Ben Yizhak

참고 자료

• DEF CON 강연
• https://www.deepinstinct.com/blog/SHIM-Me-What-You-Got:-Manipulating-Shim-and-Office-for-Code-Injection
• https://learn.microsoft.com/en-us/windows/win32/fileio/opportunistic-locks
• https://learn.microsoft.com/en-us/windows/win32/devnotes/application-compatibility-database
• https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
• https://www.blackhat.com/docs/asia-14/materials/Erickson/WP-Asia-14-Erickson-Persist-It-Using-And-Abusing-Microsofts-Fix-It-Patches.pdf