CVE-2021-1675 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 1 июля 2021 г.

CVE-2021-1675 является критической уязвимостью удаленного выполнения кода и локального повышения привилегий, названной "PrintNightmare".

Эксплойты для концепции-доказательства были опубликованы (Python, C++) для возможности удаленного выполнения кода, а также версия на C# для локального повышения привилегий. Мы не видели нативной реализации на чистом PowerShell, и мы хотели попробовать доработать и переделать эксплойт.

Этот PowerShell-скрипт выполняет локальное повышение привилегий (LPE) с использованием техники атаки PrintNightmare.

Протестировано на Windows Server 2016 и Windows Server 2019.

Использование

Добавление нового пользователя в локальную группу администраторов по умолчанию:

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Предоставьте собственную DLL-нагрузку, чтобы сделать что-либо ещё.

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Подробности

• Техника LPE не требует работы с удаленными RPC или SMB, так как работает только с функциями Print Spooler.
• Этот скрипт содержит полезную нагрузку в виде GZIP-сжатого и Base64-закодированного DLL-файла, который модифицируется в соответствии с вашими аргументами для простого добавления нового пользователя в локальную группу администраторов.
• Этот скрипт использует методы из PowerSploit/PowerUp для рефлексивного доступа к Win32 API.
• Этот метод не перебирает все драйверы принтеров для поиска соответствующего пути к DLL — он просто берет первый драйвер и определяет подходящий путь.