CVE-2009-0229-PoC

CVE-2009-0229 "Print Spooler Read File Vulnerability" LPE AFR (CVE-2020-1048 관련)에 대한 PoC

세부 정보

저자: Andrei Costin ([email protected])
- https://twitter.com/costinandrei/
PoC 날짜: 2010-xx-xx
공개일: 2020-05-14 (CVE-2020-1048에 의해 상기/영감을 받음 - 네, 파티에 너무 늦었네요 :D )
TL;DR
- 0day를 원한다면 OS의 인쇄 및 팩스 하위 시스템을 파헤치세요 :) - 역사적 이유로 레거시 코드가 많음 - 모두를 위한 취약점이 있습니다 =)

참고1: 검증되지 않음 - CVE-2009-0229를 트리거하는 버그와 동일한 버그인지 100% 확실하지 않음
참고2: 검증되지 않음 - Windows Server 2012 및 Windows Server 2016과 같은 최신 시스템에서 작동할 수 있음
참고3: 모든 Windows 릴리스에는 4개의 기본 "Separator Page" 파일이 함께 제공됨
- pcl.sep
- pscript.sep
- sysprint.sep
- sysprtj.sep
참고4: 이 트릭은 Windows 95보다 오래되었습니다 =), 전문가들이 "스텔스 정보 복구"에 사용했다고 확신합니다 ;)

(비관리자) 로컬 공격자는 "프린터 관리 권한"을 보유해야 함
- 옵션1: 새 프린터를 추가할 수 있음
- 옵션2: 기존 "시스템 전체" 프린터의 설정을 수정할 수 있음 (대부분의 경우)
유출 대상 "임의 파일"에 명시적인 "읽기 거부" 권한이 없어야 함
- 이는 피해자가 파일에 접근하는 것을 매우 비실용적/사용 불가능하게 만들 가능성이 낮음

로컬 공격자는 자신이 접근 가능한 프린터를 구성하여 공격자가 제공한 "Separator Page" 파일(attack.sep)을 사용하도록 설정함. 이제 공격자는 "무장된 프린터"를 보유함
- 자세한 내용은 아래 "Windows "Separator Page" 참고 자료"를 참조
로컬 공격자는 "Separator Page" 파일(attack.sep)을 제작하여 "@F"/"$F" 연산자를 다음과 같이 사용함. 여기서 유출할 파일은 "C:\secret.txt"라고 가정 (\와 @F 연산자에 직접 연결된 부분에 주목)

@
@FC:\\secret.txt

로컬 공격자는 위의 "무장된" 프린터를 사용하여 무언가를 인쇄해야 함
- 예를 들어, 로컬 공격자가 메모장을 열고 위에서 "Separator Page" 파일로 구성된 프린터를 통해 빈 문서를 인쇄함
- 로컬 공격자는 인쇄 시 "파일로 인쇄" 옵션(예: c:\temp\exfiltrated.out)을 사용함 - 대부분의 Windows 버전에는 "파일로 인쇄" .ps가 있고 최신 버전에는 .xps가 있음 (http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm)
  - 이는 유출된 파일의 내용이 프린터로 전송되지 않도록 하기 위함 (물론 이것도 옵션임)이며, 공격자가 즉시 사용할 수 있게 함
공격 개선: 하나의 "Separator Page" 파일에 가장 일반적인 파일 경로/파일 이름의 무차별 대입 목록을 포함시킬 수 있음
@L 연산자도 있습니다 :)
- 제 "PostScript: Danger Ahead?!" 참조 https://scholar.google.fr/scholar?oi=bibs&hl=en&q=related:RGJbW-sFP9sJ:scholar.google.com/
- pscript.sep 및 sysprint.sep도 참조