UAC bypass PoC, эксплуатирующий бинарник UIAccess QuickAssist для загрузки контролируемой атакующим DLL через WebView2 BrowserExecutableFolder, а затем перехватывающий процессы с повышенными привилегиями в Windows 10/11.
Примечание: Если вы ищете обход UAC с лучшей совместимостью (например, для серверных ОС Windows), вы можете использовать: TabTip UAC Bypass
QuickAssist — это приложение, представленное в Windows 10 1809. Это бинарный файл UIAccess, устанавливаемый по умолчанию, который можно использовать для обхода UAC. Поскольку QuickAssist использует WebView2 для маски входа, его можно обмануть с помощью групповой политики BrowserExecutableFolder, чтобы заставить загрузить WebView2 и, следовательно, контролируемую злоумышленником DLL из произвольного расположения. Загрузка DLL в процесс QuickAssist предоставляет высокий уровень целостности, но не права администратора. На первый взгляд это выглядит как «понижение» до обычных обходов UAC с автоматическим повышением. Другие обходы UIAccess/UIPI пытаются получить контроль над повышенными окнами, отправляя им ввод. Но это не обязательно. Уровень целостности позволяет использовать SetWindowsHookExW() (совместимо с версиями до Windows 10 1809) или GetProcessHandleFromHwnd() для перехвата повышенных процессов, имеющих окно. Если в текущем сеансе нет повышенного окна, его можно создать, запустив задачу планировщика с повышенными правами. А поскольку в программах UIAccess никогда не отображаются запросы, это делает такие обходы UAC даже лучше обычных обходов UAC. Таким образом, этот обход UAC также служит PoC, демонстрирующим, что любой обход UIAccess можно считать полноценным обходом UAC. Любой предыдущий обход UAC, который можно «понизить» до обхода UIAccess, следовательно, можно улучшить до обхода UAC, совместимого с режимом «Всегда уведомлять».
Работает на Windows 10 1809 и выше, а также на Windows 11 Этот обход UAC работает с режимом «Всегда уведомлять», но имеет некоторые оговорки:
Использование:
Usage: QuickAssist_UAC_Bypass.exe [path_to_dll]
Example: QuickAssist_UAC_Bypass.exe OskSupport.dll
