Обход UAC - внедрение DLL

Описание

Это PoC для обхода UAC путем внедрения DLL и злоупотребления проверкой "Trusted Directories".

Содержание

• Генерация заголовочного файла из CSV
  • Аргументы
• Генерация списка уязвимых PE и DLL
  • DLLHijacking.exe
  • Файл журнала
  • Выполнение
  • Результат
• test.dll
• Источники

Генерация заголовочного файла из CSV

Скрипт Python CsvToHeader.py можно использовать для генерации заголовочного файла. По умолчанию он использует CSV-файл dll_hijacking_candidates.csv, который можно найти здесь: dll_hijacking_candidates.csv.

Скрипт проверяет для каждого переносимого исполняемого файла (PE) следующие условия:

• Если PE существует в файловой системе.
• В манифесте PE, если requestedExecutionLevel установлен в одно из следующих значений:
  • asInvoker
  • highestAvailable
  • requireAdministrator
• В манифесте, если autoElevate установлен в true:
  root@kitploit:~

  <autoElevate>true</autoElevate>
  

• Если пользователь указал аргумент -c, скрипт проверит, находится ли DLL для внедрения в списке DLL, импортированных из таблицы PE.

Аргументы

> python .\CsvToHeader.py -h
usage: CsvToHeader.py -f [DLL_PATH] -c

CsvToHeader может использоваться для генерации заголовочного файла из CSV.

optional arguments:
  -h, --help      показать это справочное сообщение и выйти
  -f  [DLL_PATH]  Путь к CSV-файлу для преобразования (по умолчанию="dll_hijacking_candidates.csv")
  -c              Включить импорт DLL в PE (по умолчанию=False)
  -v, --version   Показать номер версии программы и выйти

Чтобы сгенерировать заголовочный файл, можно использовать следующую команду:

python CsvToHeader.py > dll_hijacking_candidates.h

Генерация списка уязвимых PE и DLL

Будут использованы файлы DLLHijacking.exe и test.dll.

DLLHijacking.exe

DLLHijacking.exe — это файл, который будет использоваться для генерации списка уязвимых PE. Он выполнит следующие шаги:

1. CreateFakeDirectory

   Функция, создающая каталог в C:\windows \system32.

2. Копирование файлов в новый каталог

   • из C:\windows\system32\[TARGET.EXE] в C:\windows \system32\[TARGET.EXE]
   • из [CUSTOM_DLL_PATH] в C:\windows \system32\[TARGET.DLL]

3. Запуск

   Запустить исполняемый файл из C:\windows \system32\[TARGET.EXE]

4. CleanUpFakeDirectory

   Функция, удаляющая каталог, созданный на шаге 1, и файлы из шага 2.

5. CheckExploit

   Проверить содержимое файла C:\ProgramData\exploit.txt, чтобы узнать, был ли эксплойт успешным.

Файл журнала

DLLHijacking.exe всегда будет создавать файл журнала exploitable.log со следующим содержимым:

• 0 или 1, указывающие, удалось ли эксплойту обойти UAC.
• Имя исполняемого файла
• Имя DLL

Например:

1,computerdefaults.exe,PROPSYS.dll
0,computerdefaults.exe,Secur32.dll

Выполнение

Команда для запуска:

DLLHijacking.exe [DLL_PATH]

если аргумент не передан, скрипт будет использовать DLL test.dll, которая хранится в ресурсах DLLHijacking.exe.

Результат

Протестировано на Windows 10 Pro (10.0.19043 N/A Build 19043).

test.dll

test.dll — это простая динамическая библиотека, которая будет использоваться для проверки успешности эксплойта. DLL создаст файл C:\ProgramData\exploit.txt со следующим содержимым:

• 0 или 1, указывающие, удалось ли эксплойту обойти UAC.
• Имя исполняемого файла
• Имя DLL

Этот файл будет удален после завершения эксплойта.

Источники:

• https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows
• https://github.com/wietze/windows-dll-hijacking/
• https://github.com/wietze/windows-dll-hijacking/blob/master/dll_hijacking_candidates.csv
• https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directories-24a96675f6e

Юридическое предупреждение:

Этот проект создан только для образовательных и этических целей тестирования. Использование данного программного обеспечения для атаки на цели без предварительного взаимного согласия незаконно.
Пользователь несет ответственность за соблюдение всех применимых местных, государственных и федеральных законов.
Разработчики не несут ответственности за любое неправомерное использование или ущерб, причиненный данной программой.