Детали PrintSpoofer

PrintSpoofer — это инструмент для локального повышения привилегий, использующий уязвимость в службе диспетчера печати Windows (CVE-2019-1040 / CVE-2019-1019). Данный проект реализует эксплойт PrintSpoofer в формате Reflective DLL, что делает его пригодным для использования с фреймворками для тестирования на проникновение, такими как Cobalt Strike.

Обзор

PrintSpoofer использует уязвимость в службе диспетчера печати Windows, которая позволяет пользователю с низкими привилегиями получить права уровня SYSTEM. Эксплойт злоупотребляет тем, как служба диспетчера печати обрабатывает именованные каналы.

Возможности

Формат Reflective DLL — может быть загружен полностью в память без касания диска
Работает с привилегией SE_IMPERSONATE_NAME
Взаимодействует со службой диспетчера печати по протоколу RPC
Использует механизм именованных каналов для олицетворения токенов

Как это работает

PrintSpoofer работает, выполняя следующие шаги:

1. Проверка привилегий

Сначала эксплойт проверяет, имеет ли текущий токен привилегию SE_IMPERSONATE_NAME. Она необходима для олицетворения токена другого пользователя.

2. Создание именованного канала

Создаётся именованный канал с использованием случайного UUID. Путь к каналу:

\\.\pipe\<UUID>\pipe\spoolss

3. Ожидание подключения к каналу

Ожидается асинхронное подключение к созданному именованному каналу. Создаётся событие, и канал подготавливается к приёму входящих подключений.

4. Запуск подключения диспетчера печати

В отдельном потоке выполняется RPC-вызов к службе диспетчера печати. Вызывая RpcRemoteFindFirstPrinterChangeNotificationEx, служба пытается подключиться к созданному нами каналу.

5. Олицетворение токена

Когда служба диспетчера печати (работающая как SYSTEM) подключается к именованному каналу, эксплойт использует ImpersonateNamedPipeClient для олицетворения токена службы. В результате получаются привилегии SYSTEM.

6. Привилегированная операция

С токеном SYSTEM теперь можно выполнять действия с высокими привилегиями.

Технические подробности

Уязвимость диспетчера печати

Служба диспетчера печати Windows обрабатывает уведомления о принтерах через именованные каналы. Поскольку служба не проверяет должным образом подключения к каналам, злоумышленник может принудить её подключиться к вредоносному каналу, а затем олицетворить токен SYSTEM.

RPC-взаимодействие

Проект взаимодействует со службой диспетчера печати, используя протокол MS-RPRN (Print System Remote Protocol). Этот протокол описан в файле IDL (язык описания интерфейсов) и обеспечивает выполнение RPC-вызовов.

Внедрение Reflective DLL

Reflective DLL ведёт себя иначе, чем стандартные DLL:

Он может быть загружен непосредственно в память без касания диска
Не требует API LoadLibrary
Вручную разбирает и загружает формат PE (Portable Executable)

Требования

Для сборки

Visual Studio 2022 (рабочая нагрузка «Разработка классических приложений на C++»)
Windows 10/11

Для запуска

Windows 10/11
Запущенная служба диспетчера печати
Привилегия SE_IMPERSONATE_NAME (по умолчанию доступна большинству обычных пользователей)
Cobalt Strike или аналогичный фреймворк (необязательно)

Сборка

Сборка с помощью Visual Studio

Откройте файл PrintSpoofer.sln в Visual Studio.
Выберите Платформу решения и Конфигурацию:
- Платформа: x64 или Win32 (в зависимости от целевой архитектуры)
- Конфигурация: Release (продуктовая) или Debug (отладочная)
Выполните сборку решения через «Собрать решение» (Ctrl+Shift+B).

Скомпилированная DLL будет расположена по адресу:

PrintSpoofer\x64\Release\PrintSpoofer.dll   (для x64)
PrintSpoofer\Win32\Release\PrintSpoofer.dll (для x86)

Параметры сборки

В проекте используются следующие определения препроцессора:

REFLECTIVE_DLL_EXPORTS: Включает экспортные функции Reflective DLL
REFLECTIVEDLLINJECTION_CUSTOM_DLLMAIN: Использует пользовательский DllMain
REFLECTIVEDLLINJECTION_VIA_LOADREMOTELIBRARYR: Включает LoadRemoteLibraryR (в режиме Release)

Использование

Использование с Cobalt Strike

PrintSpoofer можно использовать с командой elevate в Cobalt Strike:

elevate PrintSpoofer LISTENER_NAME

Где:

PrintSpoofer: Имя модуля повышения привилегий
LISTENER_NAME: Слушатель, который примет сессию с повышенными привилегиями

Ручное использование

DLL может быть загружена вручную с помощью методов внедрения Reflective DLL.

Ожидаемый результат

Успешное выполнение эксплойта покажет:

[+] Found privilege: SeImpersonatePrivilege
[+] Named pipe listening...
[+] ImpersonateNamedPipeClient OK
[+] Exploit successfully, enjoy your shell

Описание файлов

`dllmain.cpp`

Точка входа DLL (DllMain)
Управляет логикой эксплойта
Обрабатывает функциональность, специфичную для Reflective DLL

`PrintSpoofer.cpp`

CheckAndEnablePrivilege: Проверяет и включает привилегии токена
GenerateRandomPipeName: Генерирует имена каналов на основе случайных UUID
CreateSpoolNamedPipe: Создаёт именованные каналы и настраивает безопасность
ConnectSpoolNamedPipe: Подготавливает каналы для асинхронных подключений
TriggerNamedPipeConnection: Создаёт поток для запуска подключения диспетчера печати
TriggerNamedPipeConnectionThread: Выполняет RPC-вызов
GetSystem: Выполняет олицетворение токена

`ms-rprn.idl`

IDL-определение протокола MS-RPRN от Microsoft
Обрабатывается компилятором MIDL для генерации RPC-заглушек

`ReflectiveLoader.cpp`

Реализует разбор PE и загрузку в память для внедрения Reflective DLL

Отказ от ответственности

Этот инструмент предназначен только для образовательных целей и для авторизованного тестирования на проникновение.

Ссылки

Лицензия

Этот проект лицензирован по лицензии MIT. Для получения дополнительной информации см. файл LICENSE.

Популярное

PrintSpoofer-ReflectiveDLL