NoFaxGiven - NETWORK SERVICE FAX 서비스에서의 코드 실행 및 지속성

팩스 라우팅 확장은 팩스 서비스에 라우팅 기능을 추가하는 DLL입니다. 하나의 서버에 여러 팩스 라우팅 확장이 존재할 수 있습니다. 팩스 서버가 팩스 전송을 수신하면 수신된 문서를 우선순위 순서대로 각 팩스 라우팅 확장을 통해 라우팅합니다. 사용자는 팩스 서비스 관리 응용 프로그램인 Microsoft Management Console(MMC) 스냅인 구성 요소를 사용하여 라우팅 우선순위를 설정합니다. FAX 서비스는 응용 프로그램이 FAX 서비스에 대한 연결을 요청할 때(예: MMC에서 fxsadmin을 로드할 때) 수동으로 실행됩니다. 데스크톱에서는 서비스가 존재하지만 구성 및 역할이 필요하므로 확장을 설정하려고 하면 시간 초과가 발생합니다. 자세한 내용은 MSDN을 참조하십시오. 기본적으로 서비스와 상호 작용하려면 관리자 권한이 필요합니다. 사용자가 FAX 서비스에 대한 FAX Config 역할을 가지고 있고 권한이 상승된 경우 FAX 서비스를 확장할 수 있습니다. 이 익스플로잇은 기본적으로 워크스테이션에서 사용할 수 없는 FAX 서버 역할을 요구합니다. 팩스 및 인쇄 서비스를 활성화한 서버에 설치됩니다.

FAX Config 역할이 있는 FAX 그룹의 사용자는 타사 FAX 프로그램으로 구성될 수 있는 확장을 추가/제거할 수도 있습니다. FAX Config 역할은 기본적으로 로컬 관리자 또는 도메인 관리자 그룹의 사용자에게 제공되며, Active Directory에서 권한 상승 경로의 일부로 사용하는 경우 추가 사용자는 FAX 서비스 사용자 구성에 명시적으로 정의되어 있어야 합니다.

자세히 알아보기: https://docs.microsoft.com/en-us/previous-versions/windows/desktop/fax/-mfax-fax-routing-extension

또한 FAX 서비스 내에서 지속성을 유지할 수 있습니다. 우리의 DLL은 서비스가 시작될 때마다 호출되며, 재부팅 시 자동으로 호출되지 않으므로 FAX 기능을 적극적으로 사용하는 서버에서만 지속성을 제공할 수 있습니다. 또한 관리자 권한에서 SYSTEM으로 가는 대체 경로를 공격자에게 제공합니다. Network Service에서 SYSTEM으로 권한을 상승시킬 수 있기 때문입니다.

FAX 서비스를 확장하여 c:\temp\run.bat의 모든 명령을 한 번 실행하고 FXSSVC를 정리합니다. 적절한 콜백으로 Fax Extension DLL을 사용하여 FAX 서비스를 안정적으로 시작/중지하며, 확장은 bat 파일의 명령을 실행합니다. "지속성" 목적으로 DLL 제거를 방지할 수 있으며, 이 경우 FAX 서비스가 사용될 때마다(예: FAX 열기, 보내기 또는 받기 시) 배치 명령 파일이 실행됩니다.

이 프로젝트를 Visual Studio 22로 컴파일하면 x86 및 x64 정적 바이너리가 모두 생성되며, 이들은 같은 디렉터리에 있어야 합니다.

C:\Windows\system32>whoami
 nt authority\network service

 C:\Windows\system32>whoami /priv

 PRIVILEGES INFORMATION
 ----------------------

 Privilege Name                Description                               State
 ============================= ========================================= ========
 SeAssignPrimaryTokenPrivilege Replace a process level token             Disabled
 SeIncreaseQuotaPrivilege      Adjust memory quotas for a process        Disabled
 SeAuditPrivilege              Generate security audits                  Enabled
 SeChangeNotifyPrivilege       Bypass traverse checking                  Enabled
 SeImpersonatePrivilege        Impersonate a client after authentication Enabled
 SeCreateGlobalPrivilege       Create global objects                     Enabled

라이선스

이 파일들은 3-clause BSD 라이선스로 제공됩니다.