tafloh/cve-2019-1388-privilege-escalation--2021-CVE-2019-1388 Análise de Laboratório: Escalação de privilégio local documentada através de diálogos de certificado do UAC do Windows no Windows 7.
Análise de Laboratório CVE-2019-1388: Escalonamento de privilégios local documentado através de diálogos de certificado do Windows UAC no Windows 7.
Um laboratório educacional de cibersegurança e análise técnica documentando a CVE-2019-1388 — uma vulnerabilidade de escalonamento de privilégios local no Diálogo de Certificado do Windows que permite a um usuário com baixos privilégios obter acesso NT AUTHORITY\SYSTEM.
Guest e Admin)hhupd.exe), Internet Explorer, Windows Explorer, cmd.exePara explorar a vulnerabilidade, no início precisamos fazer login como usuário convidado (que possui o menor privilégio). Após o login, abra o prompt de comando e digite whoami para garantir que fizemos login como usuário convidado
Verificando o privilégio
Após a confirmação, abra o Internet Explorer e navegue para baixar o executável (hhupd.exe) do site do atacante ·Após o download, clique com o botão direito no executável e, nas propriedades, remova a marca da web. Assim, o programa pode ser executado em todo o sistema local. Feito isso, clique novamente com o botão direito e selecione Executar como Administrador. Isso faz com que o prompt do UAC (Controle de Conta de Usuário) seja exibido na tela.
Como não sabemos a senha do administrador, clique em mostrar detalhes e depois clique no link para Mostrar informações sobre o certificado deste editor. Imediatamente ele exibe o site do emissor do certificado (Emitido por: VeriSign Commercial Software Publishers CA). Clique nesse hiperlink para ir ao site do emissor do certificado, o que iniciará um processo de navegador que será executado como o sistema.
Feche o prompt do UAC e retorne à área de trabalho principal. Agora o novo navegador está visível para nós. Embora o link para a página não exista mais, ainda podemos clicar na página e depois salvar como. Neste ponto, ocorre um erro não intencional. A mensagem de erro é causada pelo fato de o navegador estar sendo executado como sistema.
Após dispensar o erro, devemos selecionar a pasta Windows System 32. Uma vez dentro dela, devemos escolher o command dot exe e então abri-lo.
Agora temos um prompt de comando em execução, digite whoami e pressione enter para verificar a autoridade NT system (nt authority/system).
No final, elevamos o privilégio de baixo para um dos mais poderosos (NT Authority). Por exemplo, vejamos como o atacante usará esta vulnerabilidade para acessar arquivos da conta de administrador. Precisamos entrar em Users na unidade C usando cd C:\Users. Uma vez na pasta Users, podemos acessar a conta de administrador usando cd Admin.
Após entrar na conta de administrador, podemos visualizar os arquivos na área de trabalho do administrador usando cd Desktop e dir (para visualizar os arquivos). Como podemos ver, há uma imagem chamada image.jpg na área de trabalho do Admin. Vamos copiar esse arquivo de imagem da área de trabalho do administrador para a área de trabalho da conta Guest. O comando copy image.jpg C:\Users\Guest\Desktop é usado para copiar e colar a imagem do Admin para a conta Guest.
Para esta vulnerabilidade, a Microsoft divulgou o caminho completo em novembro de 2019. Como muitas versões do Windows possuem essa vulnerabilidade, é crucial manter o sistema operacional atualizado com todos os patches mais recentes (garanta que o privilégio do usuário seja aplicado corretamente na Caixa de Diálogo de Certificados do Windows) e atualizações de segurança. Quando alguém estiver usando a versão vulnerável do Windows, certifique-se de atualizar o quanto antes, antes que alguém tire proveito disso. A Escalação de Privilégios é altamente arriscada, pois é simples e mais fácil escalar privilégios.