CVE-2022-1257 PoC: Извлечение учетных данных из базы данных McAfee Agent

Создано scottk817

Этот скрипт является PoC для CVE-2022-1257, уязвимости в McAfee Agent (Trellix Agent) при работе с его базой данных. Уязвимость позволяет злоумышленникам извлекать и расшифровывать учетные данные из файла базы данных McAfee Agent (ma.db) из-за некорректной обработки ключей шифрования.

Отказ от ответственности

Этот скрипт предназначен только для образовательных целей. Не используйте его в системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Несанкционированный доступ к системам и данным является незаконным и неэтичным.

Описание

CVE-2022-1257 по описанию NIST:

Уязвимость небезопасного хранения конфиденциальной информации в MA для Linux, macOS и Windows до версии 5.7.6 позволяет локальному пользователю получить доступ к конфиденциальной информации через хранение в ma.db. Конфиденциальная информация была перемещена в зашифрованные файлы базы данных.

Этот скрипт демонстрирует, как злоумышленник может воспользоваться этой уязвимостью:

1. Копирование файла ma.db во временную папку для избежания конфликтов блокировки.
2. Извлечение имен пользователей и зашифрованных паролей из базы данных.
3. Декодирование извлеченных паролей и последующая их расшифровка с помощью XOR и 3DES.
4. Вывод результатов в формате CSV для дальнейшего использования.

Предварительные требования

• ОС Windows (Windows 11)
• PowerShell 5.1 или новее
• winsqlite3.dll: Этот DLL-файл должен быть доступен для операций с SQLite, поставляется встроенно в Windows 11.

Установка

1. Клонируйте или загрузите репозиторий.
2. Убедитесь, что winsqlite3.dll доступен в вашей системе, он поставляется встроенно с Windows 11.
3. Убедитесь, что у вас есть доступ к PowerShell.
4. Убедитесь, что у вас есть доступ к базе данных McAfee Agent (ma.db). Обычно она находится по пути C:\ProgramData\McAfee\Agent\DB\ma.db.

Использование

Запустите скрипт в PowerShell с помощью следующей команды:

.\CVE-2022-1257.ps1

Скрипт выведет имена пользователей и расшифрованные пароли из базы данных в формате CSV:

Username,Password
user1,password1
user2,password2

Если вы используете это в рамках аудита, может быть полезно санировать скрипт и обфусцировать с помощью Invoke-Obfuscate

Ссылки

• CVE-2022-1257
• Инструмент для расшифровки паролей из Sitelist McAfee
• Использование уязвимостей и неправильных конфигураций McAfee
• TryHackMe: Взлом Active Directory (Здесь я впервые узнал об этой уязвимости)

Лицензия

Этот проект лицензирован по лицензии MIT - подробнее см. в файле LICENSE.