설명

Elevator는 UAC를 우회하고 전체 관리자 권한으로 승격된 프로세스를 실행할 수 있게 해줍니다. 이는 James Forshaw가 자신의 기사 Calling Local Windows RPC Servers from .NET에서 시연한 것처럼, UAC 기능을 구현하는 RPC 서버의 동작을 남용하여 수행됩니다. 이 도구는 추가 DLL을 드롭하거나 Windows 레지스트리에 쓸 필요가 없으며(다른 UAC 우회 기술에서는 흔히 필요한 작업), Windows Server 2016, Windows Server 2019, Windows 10 및 Windows 11에서 성공적으로 테스트되었습니다(다른 Windows 버전에서도 아마 작동할 것입니다). 빌드 19045.3570 부근에서 수정되었습니다).

도구는 도구 자체를 APPINFO 서비스가 노출하는 RPC 서버에 연결하는 C++ 스텁과, 버그를 악용하여 UAC를 우회하는 주요 로직을 담은 Rust 프로젝트로 구성됩니다. C++ 스텁은 RPC View가 ID 201ef99a-7fa0-444c-9399-19ba84f12a1a의 RPC 인터페이스에서 생성한 IDL 파일을 컴파일하여 얻은 것입니다.

C++ RPC 스텁은 dll로 컴파일되었고, 해당 바이너리 콘텐츠는 암호화되어 Rust 크레이트에 하드코딩되었습니다(rpcclient 크레이트의 get_rpc_stub() 함수를 확인하세요). 이후 dll은 DInvoke_rs를 사용하여 런타임에 수동으로 매핑됩니다. 이 과정을 직접 수행하려면(도구 사용에는 필요하지 않음) Visual Studio 2019 이상에서 RPC_Stub 프로젝트를 열고 dll을 컴파일하기만 하면 됩니다. 그런 다음 리포지토리에 포함된 script.py(Python 2.7)를 사용하여 dll의 바이너리 콘텐츠에서 16진수 문자열을 얻은 다음, 이를 rppclient::get_rpc_stub() 함수에 배치해야 합니다.

x64 시스템에서만 유효합니다.

컴파일

문자열 리터럴을 난독화하기 위해 LITCRYPT 플러그인을 사용하므로 코드를 컴파일하기 전에 환경 변수 LITCRYPT_ENCRYPT_KEY를 설정해야 합니다:

C:\Users\User\Desktop\Elevator> set LITCRYPT_ENCRYPT_KEY="yoursupersecretkey"

그런 다음 Elevator 폴더로 이동하여 코드를 컴파일하기만 하면 됩니다:

C:\Users\User\Desktop\Elevator\Elevator> cargo build --release
C:\Users\User\Desktop\Elevator\Elevator\target\release> elevator.exe -h

사용법

USAGE:
elevator.exe <COMMAND> [OPTIONS]

ARGS:
    <COMMAND>                   Command line to run.

OPTIONS:
    -h, --help                  Print help information.
    -n, --new-console           Set CREATE_NEW_CONSOLE flag for the new process.

예제

C:\Temp> elevator.exe c:\windows\system32\cmd.exe --new-console
C:\Temp> elevator.exe "c:\windows\system32\cmd.exe /C whoami /groups > file.txt" --new-console

크레딧

• James Forshaw.
• RPC에 대한 훌륭한 게시물을 작성해 주신 Clément Labro (itm4n).