CdpSvcLPE

Повышение локальных привилегий Windows через службу CdpSvc (перехват DLL в доступной для записи системной папке SYSTEM)

Краткое описание:

Connected Devices Platform Service (или CDPSvc) — это служба, которая работает как NT AUTHORITY\LOCAL SERVICE и при запуске пытается загрузить отсутствующую DLL cdpsgshims.dll с помощью вызова LoadLibrary(), не указывая её абсолютный путь. Таким образом, можно перехватить DLL в папке, участвующей в порядке поиска DLL, и мы получим доступ к процессу или шеллу с правами NT AUTHORITY\LOCAL SERVICE, если перехватим DLL в доступном для записи месте системного пути, например C:\python27. Затем я просто комбинирую это с техникой PrintSpoofer от @itm4n, чтобы получить доступ NT AUTHORITY\SYSTEM.

Использование:

1. Найдите доступный для записи системный путь с помощью acltest.ps1 (например, C:\python27)
   C:\CdpSvcLPE> powershell -ep bypass ". .\acltest.ps1"
   
2. Скопируйте cdpsgshims.dll в C:\python27
   
3. Создайте папку C:\temp и скопируйте impersonate.bin в C:\temp
   C:\CdpSvcLPE> mkdir C:\temp
C:\CdpSvcLPE> copy impersonate.bin C:\temp
   
4. Перезагрузитесь (или остановите/запустите CDPSvc от имени администратора)
   
5. Откроется окно cmd с правами nt authority\system.
   

Youtube: https://youtu.be/Jfxfsc04H5o

\m/ Примечание: когда вы получите системную командную строку, остановите службу cdpsvc и удалите файл dll и файл bin.

автор @404death

Ссылки:

http://zeifan.my/security/eop/2019/11/05/windows-service-host-process-eop.html
https://itm4n.github.io/cdpsvc-dll-hijacking/
https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/
https://github.com/itm4n/PrintSpoofer
https://gist.github.com/wdormann/eb714d1d935bf454eb419a34be266f6f