tafloh/cve-2019-1388-privilege-escalation--2021-CVE-2019-1388 랩 분석: Windows 7에서 Windows UAC 인증서 대화 상자를 통한 로컬 권한 상승 문서화
CVE-2019-1388 실습 분석: Windows 7에서 Windows UAC 인증서 대화 상자를 통한 로컬 권한 상승 문서화.
CVE-2019-1388—Windows 인증서 대화 상자의 로컬 권한 상승 취약점으로, 낮은 권한의 사용자가 NT AUTHORITY\SYSTEM 접근 권한을 획득할 수 있게 하는 취약점—을 문서화한 교육용 사이버보안 실습 및 기술 분석입니다.
Guest 및 Admin 계정으로 구성)hhupd.exe), Internet Explorer, Windows 탐색기, cmd.exe취약점을 익스플로잇하려면 먼저 최소 권한을 가진 게스트 사용자로 로그인해야 합니다. 로그인한 후 명령 프롬프트를 열고 whoami를 입력하여 게스트 사용자로 로그인했는지 확인합니다
권한 확인
확인 후 Internet Explorer를 열고 공격자 웹사이트에서 실행 파일(hhupd.exe)을 다운로드합니다 ·다운로드가 완료되면 실행 파일을 마우스 오른쪽 버튼으로 클릭하고 속성에서 웹 표시를 제거합니다. 그러면 프로그램이 모든 로컬 시스템에서 실행될 수 있습니다. 완료되면 다시 마우스 오른쪽 버튼으로 클릭하고 관리자 권한으로 실행을 선택합니다. 그러면 화면에 UAC(사용자 계정 컨트롤) 프롬프트가 표시됩니다.
관리자 비밀번호를 모르므로 세부 정보 표시를 클릭한 다음 이 게시자의 인증서에 대한 정보 표시 링크를 클릭합니다. 그러면 즉시 인증서 발급자의 웹사이트(Issued by: VeriSign Commercial Software Publishers CA)가 표시됩니다. 해당 하이퍼링크를 클릭하면 인증서 발급자의 웹사이트로 이동하며, 이때 시스템 권한으로 실행되는 브라우저 프로세스가 시작됩니다.
UAC 프롬프트를 닫고 기본 데스크톱으로 돌아갑니다. 이제 새 브라우저가 표시됩니다. 해당 페이지 링크는 더 이상 존재하지 않지만, 여전히 페이지를 클릭한 다음 다른 이름으로 저장을 할 수 있습니다. 이 시점에서 의도하지 않은 오류가 발생합니다. 오류 메시지는 브라우저가 현재 시스템 권한으로 실행되고 있기 때문에 발생합니다.
오류를 닫은 후 Windows System 32 폴더를 선택해야 합니다. 폴더에 들어가면 command dot exe를 선택한 다음 엽니다.
이제 명령 프롬프트가 실행 중입니다. whoami를 입력하고 Enter를 눌러 NT authority system(nt authority/system)인지 확인합니다.
결국 우리는 권한을 낮은 수준에서 강력한 권한 중 하나(NT Authority)로 상승시켰습니다. 예를 들어, 공격자가 이 취약점을 사용하여 관리자 계정의 파일에 접근하는 방법을 살펴보겠습니다. cd C:\Users\를 사용하여 C 드라이브의 Users로 이동해야 합니다. Users 폴더에 들어가면 cd Admin을 사용하여 관리자 계정에 접근할 수 있습니다.
관리자 계정에 들어간 후 cd Desktop 및 dir(파일 보기)을 사용하여 관리자 데스크톱의 파일을 볼 수 있습니다. 보시다시피 Admin의 데스크톱에 image.jpg라는 이미지가 있습니다. 해당 이미지 파일을 관리자 데스크톱에서 Guest 계정 데스크톱으로 복사하겠습니다. copy image.jpg C:\Users\Guest\Desktop 명령은 이미지를 Admin에서 Guest 계정으로 복사하여 붙여넣는 데 사용됩니다.
이 취약점에 대해 Microsoft는 2019년 11월에 전체 경로를 공개했습니다. 많은 Windows 버전이 이 취약점을 가지고 있기 때문에, 운영 체제를 최신 패치(Windows 인증서 대화 상자에서 사용자 권한이 올바르게 적용되도록 보장)와 보안 업데이트로 최신 상태로 유지하는 것이 중요합니다. 누군가 취약한 버전의 Windows를 사용하고 있다면, 누군가 이를 악용하기 전에 가능한 한 빨리 업데이트해야 합니다. 권한 상승은 간단하고 권한을 상승시키기 쉽기 때문에 매우 위험합니다.