wh04m1001/cve-2023-29343Windows 서비스 추적을 남용하여 권한 상승을 달성하는 Sysmon 14.14의 임의 파일 쓰기 취약점에 대한 개념 증명 익스플로잇입니다.
이것은 Sysmon 버전 14.14의 임의 파일 쓰기 버그에 대한 PoC입니다.
마지막 패치 이후 Sysmon은 Archive 디렉터리가 존재하는지 확인하고, 존재할 경우 해당 디렉터리가 NT AUTHORITY\SYSTEM 소유이고 NT AUTHORITY\SYSTEM에게만 액세스 권한이 부여되었는지 확인합니다. 두 조건이 모두 참이면 Sysmon은 해당 디렉터리에 파일을 쓰거나 삭제합니다.
낮은 권한의 사용자로 파일/디렉터리의 소유권을 변경할 수 없기 때문에, SYSTEM이 소유하지만 낮은 권한의 사용자(또는 낮은 권한의 사용자가 속한 그룹)에게 전체 액세스 또는 최소한 WRITE_DAC|DELETE|FILE_WRITE_ATTRIBUTES를 허용하는 디렉터리를 찾아야 했습니다.
기본 설치에서는 그러한 디렉터리를 찾을 수 없었지만, Windows 서비스 추적 및 RasMan 서비스를 악용하여 하나를 만들 수 있었습니다.
이 PoC는 Sysmon 버전 14.14 및 4월 패치 이전의 Windows 클라이언트에서만 작동합니다. CVE-2023-28222 패치로 인해 SYSTEM이 소유하고 낮은 권한 사용자에게 전체 액세스 권한을 부여하는 디렉터리를 생성하는 데 사용한 트릭이 막혔기 때문입니다. PoC는 다른 Windows 서비스를 악용하여 디렉터리를 생성할 수 있거나(또는 타사 앱이 생성한 디렉터리를 찾을 수 있다면 :)) 4월 패치 이후의 클라이언트에서도 작동하도록 수정할 수 있습니다.
https://itm4n.github.io/cve-2020-0668-windows-service-tracing-eop/ (@itm4n)
