CVE-2024-43583 - Windows 권한 상승 익스플로잇

저자: No0B@ckSappi3 Instagram: No0BackSappi3

개요

CVE-2024-43583은 Microsoft의 Winlogon 구성 요소에 영향을 미치는 권한 상승 취약점입니다. 이 결함을 악용하면 낮은 권한의 사용자가 자신의 권한을 SYSTEM으로 상승시켜 전체 시스템을 장악할 수 있습니다.

이 개념 증명(PoC)은 Windows Image File Execution Options (IFEO) 레지스트리 키를 통한 디버거 하이재킹을 이용하여 합법적인 시스템 프로세스를 악성 페이로드로 대체합니다.

영향을 받는 Windows 버전

영향을 받는 Windows 버전

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ 면책 조항

이 익스플로잇은 교육 및 연구 목적으로만 사용해야 합니다. 승인되지 않은 시스템에서 사용하지 마십시오. 이 익스플로잇을 오용하면 불법이 될 수 있습니다.

익스플로잇 사용법

설정

대상 시스템에 Python이 설치되어 있는지 확인하십시오. 그렇지 않으면 컴파일된 .exe 버전을 사용하십시오.

익스플로잇 실행

옵션 1: 낮은 권한의 사용자로 직접 실행

python poc-43583.py

옵션 2: 작업 스케줄러를 통해 실행

1. 예약된 작업 생성: (관리자 권한으로 실행)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. 작업 실행:
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. 익스플로잇 트리거: 작업 관리자(Ctrl + Shift + Esc)를 엽니다. 성공하면 대신 SYSTEM 셸이 나타납니다.

** 권한 상승 확인**

익스플로잇이 실행되면 권한을 확인하십시오:

whoami

예상 출력:

nt authority\system

🛠️ 정리

방법 1: PoC를 사용하여 기본값 복원

스크립트를 다시 실행하고 **옵션 [2]**를 선택하여 하이재킹을 제거하십시오.

방법 2: 레지스트리 키 수동 삭제

1. 관리자 명령 프롬프트를 엽니다.
2. 실행:
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. 예약된 작업 삭제(사용한 경우):
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

탐지 및 완화

• 예상치 못한 Debugger 키 확인:
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• Windows Defender 변조 방지를 활성화하여 레지스트리 수정을 방지합니다.
• EDR/SIEM 솔루션을 사용하여 무단 레지스트리 변경을 탐지합니다.

📝 참고 자료

• Microsoft 보안 권고
• 익스플로잇 개발 가이드