RPC to WebClient
As informações para este código podem ser encontradas em este post do blog. Recomenda-se ler antes de tentar usar qualquer coisa aqui.
Código para acionar o WebClient por meio de uma chamada RPC. Como não acabou dando certo, o código nunca foi muito limpo e permaneceu em grande parte num estado de prova de conceito.
Essas chamadas RPC são capazes de alcançar o caminho de código para iniciar o serviço:
- EfsRpcDuplicateEncryptionInfoFile_Downlevel -> EfsDuplicateEncryptionInfoRPCClient -> EfsDuplicateEncryptionInfoClient -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
- EfsRpcEncryptFileSrv_Downlevel -> EfsEncryptFileClient -> LocateAndConnectToService -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
- EfsRpcDecryptFileSrv_Downlevel -> EfsDecryptFileClient -> LocateAndConnectToService -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
- EfsRpcAddUsersToFileEx_Downlevel -> EfsAddUsersClientEx -> LocateAndConnectToService -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
- EfsRpcRemoveUsersFromFile_Downlevel -> EfsRemoveUsersClient -> LocateAndConnectToService -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
- EfsRpcQueryRecoveryAgents_Downlevel -> EfsQueryRecoveryAgentsClient -> LocateAndConnectToService -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
- EfsRpcQueryUsersOnFile_Downlevel -> EfsQueryUsersClient -> LocateAndConnectToService -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
- EfsRpcFileKeyInfo_Downlevel -> EfsFileKeyInfoClient -> LocateAndConnectToService -> EfspGetFullName -> EfspAttemptToGetWebDavPath -> WNetGetResourceInformaton
Apenas EfsRpcEncryptFileSrv_Downlevel existe no repositório; talvez os outros sejam adicionados no futuro.
WnfToWebClient é um código .NET que iniciará o serviço WebClient com uma mensagem WNF. Requer privilégios de NT AUTHORITY/SYSTEM, então, novamente, apenas uma prova de conceito.
A chamada RPC e a mensagem WNF não são realmente utilizáveis como arma (atualmente) devido aos descritores de segurança do consumidor de eventos ETW (UBPM) e ao nome do estado WNF.