PetitPotam

MS-EFSRPC EfsRpcOpenFileRaw 또는 다른 기능을 통해 Windows 호스트가 다른 머신에 인증하도록 강제하는 PoC 도구 :)

이 도구는 더 널리 사용되는 인터페이스 c681d488-d850-11d0-8c52-00c04fd90f7e의 LSARPC 명명된 파이프를 사용합니다. 그러나 EFSRPC 명명된 파이프와 인터페이스 df1941c5-fe89-4e79-bf10-463657acf44d로도 트리거할 수 있습니다. 도메인 컨트롤러에 대한 자격 증명이 필요하지 않습니다 :D

EFS 서비스를 비활성화해도 이 "기능"이 완화되지 않는 것으로 보입니다

Python 버전은 Impacket이 설치되어 있어야 합니다. Windows PoC는 VS 2019 Community에서 수행되었습니다. 컴파일 문제가 발생하면 링커에 Rpcrt4.lib를 추가하십시오. x86으로 컴파일하십시오.

MS-RPRN에 대한 이전 작업(@tifkin_, @elad_shamir 및 SpecterOps 팀)에서 영감을 받았습니다.

Microsoft의 불완전한 패치 :) https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36942

MS-EFSRPC - 암호화 파일 시스템 원격(EFSRPC) 프로토콜 https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-efsr/08796ba8-01c8-4872-9221-1000ec2eff31