MSI Analyzer

Этот Python-скрипт для Linux анализирует установочные файлы Microsoft Windows *.msi и указывает на потенциальные уязвимости. Он был разработан Michael Baer (@derbaer0) в SEC Consult Vulnerability Lab.

В настоящее время он в первую очередь подходит для локального повышения привилегий, которое также описано в нашем блоге: https://r.sec-consult.com/msi.

Microsoft присвоила CVE-2024-38014 и предоставила патч для этой уязвимости в рамках сентябрьского патча 2024 года: https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-38014.

Скрипт также можно использовать для получения общего представления об установщике и выявления потенциальных слабых мест.

Имейте в виду

• Этот скрипт находится в разработке.
• Он не идеален, но, надеюсь, корректно обрабатывает многие установщики. Пожалуйста, создайте issue на GitHub, если столкнётесь с установщиком, по которому выдан неверный вердикт.
  • ложноотрицательные результаты (если консольное приложение запускается из установщика только косвенно)
  • «ложноположительные результаты» (одинаковые действия выполняются при определённых условиях. Скрипт показывает условие, но не вычисляет его)
• Этот скрипт НЕ защищён от вредоносных установщиков.

Установка

Вам понадобятся некоторые пакеты Python: sqlite3, termcolor, возможно, другие. В остальном установка не требуется. Просто запустите скрипт из основной папки.

Установите (apt) пакет msitools. Он содержит msiinfo и msiextract, которые также необходимы.

sudo apt install msitools

Бинарный файл SetOpLock, полезный для эксплуатации уязвимости, можно найти здесь: https://github.com/googleprojectzero/symboliclink-testing-tools/tree/main/SetOpLock

Как использовать

• python msiscan.py <Installer>
• Или, если вы хотите проверить целый каталог: ./runall.sh <directory>

Теперь просмотрите результат на предмет необычных цветов (красный) для быстрых результатов. Совет: если что-то выделено красным, исправьте это с помощью ProcMon и примените ручной подход.

Будут ошибки. Просто игнорируйте их. Анализ пытается продолжиться, если это возможно.

Если в начале вы видите красную строку Repairmode disabled ..., вам не удастся активировать функцию восстановления.

Теперь несколько пояснений, чтобы понять выходные данные, если вы хотите потратить время на более глубокий анализ:

• Рейтинг Моя оценка того, насколько вероятна эксплуатация. Он также определяет цвет.
• Сложность Моя оценка того, сколько усилий требуется для поиска уязвимости. Например, HARD = реверс бинарных файлов.
• Зелёная строка «Action only invoked upon»: это действие выполняется только тогда, когда условие истинно. Например, «Not Installed» выполняется только тогда, когда программное обеспечение ещё не установлено, то есть во время установки, но не во время восстановления. Вам не повезло, если вы не можете принудительно запустить установку. (Примечание: иногда создаётся впечатление, что эти условия не вполне соответствуют реальности. Но я пока не смог в этом разобраться).
• Оранжевый: присутствует скриптовый код. Если есть время, поищите там подозрительные действия или вызовы бинарных файлов (CreateObject ("WScript.Shell")).
• Синий: метод из набора инструментов WiX. Вероятно, безопасен (но требует более детальной дифференциации и изучения).
• Голубой: самый распространённый цвет. Обычно это вызовы GUI-программ или DLL-функций. Здесь быстрых результатов не ожидается.

Что дальше?

Я считаю, что из установочных пакетов можно извлечь ещё много полезного. Например, права доступа к папкам и службам, которые устанавливаются, могут быстро выявить дополнительные векторы локального повышения привилегий.