tafloh/cve-2019-1388-privilege-escalation--2021-CVE-2019-1388 Лабораторный анализ: документированное локальное повышение привилегий через диалоги сертификатов Windows UAC на Windows 7.
Лабораторный анализ CVE-2019-1388: документированное локальное повышение привилегий через диалоги сертификатов Windows UAC в Windows 7.
Образовательная лабораторная работа по кибербезопасности и технический анализ, документирующий CVE-2019-1388 — уязвимость локального повышения привилегий в диалоге сертификатов Windows, позволяющую пользователю с низкими привилегиями получить доступ NT AUTHORITY\SYSTEM.
Guest и Admin)hhupd.exe), Internet Explorer, Проводник Windows, cmd.exeДля эксплуатации уязвимости в начале нам нужно войти как гостевая учётная запись (которая имеет наименьшие привилегии). После входа откройте командную строку и введите whoami, чтобы убедиться, что мы вошли как гостевая учётная запись
Проверка привилегий
После подтверждения откройте Internet Explorer и перейдите по адресу, чтобы скачать исполняемый файл (hhupd.exe) с сайта злоумышленника ·После скачивания щёлкните правой кнопкой мыши по исполняемому файлу и в свойствах удалите веб-метку. Таким образом, программа сможет запускаться во всей локальной системе. После этого снова щёлкните правой кнопкой мыши и выберите «Запуск от имени администратора». Это приведёт к отображению на экране запроса UAC (User Account Control).
Поскольку мы не знаем пароль администратора, нажмите «Показать подробности», а затем щёлкните ссылку «Показать информацию о сертификате этого издателя». Сразу отображается веб-сайт издателя сертификата (Issued by: VeriSign Commercial Software Publishers CA). Щёлкните эту гиперссылку, чтобы перейти на веб-сайт издателя сертификата, что запустит процесс браузера, который будет работать от имени системы.
Закройте запрос UAC и вернитесь на основной рабочий стол. Теперь новый браузер виден нам. Хотя ссылка на страницу больше не существует, мы всё ещё можем щёлкнуть по странице и затем выбрать «Сохранить как». На этом этапе возникает непреднамеренная ошибка. Сообщение об ошибке вызвано тем, что браузер в настоящее время работает от имени системы.
После закрытия ошибки нам следует выбрать папку Windows System 32. Как только мы попадём в неё, нам следует выбрать command dot exe и затем открыть его.
Теперь у нас запущена командная строка, введите whoami и нажмите Enter, чтобы убедиться в наличии NT authority system (nt authority/system).
В итоге мы повысили привилегии с низких до одной из самых мощных (NT Authority). Например, давайте посмотрим, как злоумышленник будет использовать эту уязвимость для доступа к файлам из учётной записи администратора. Нам нужно перейти в папку Users на диске C с помощью cd C:\Users. Как только мы попадём в папку Users, мы сможем получить доступ к учётной записи администратора с помощью cd Admin.
После входа в учётную запись администратора мы можем просмотреть файлы на рабочем столе администратора с помощью cd Desktop и dir (для просмотра файлов). Как мы видим, на рабочем столе Admin есть изображение с именем image.jpg. Мы скопируем этот файл изображения с рабочего стола администратора на рабочий стол гостевой учётной записи. Команда copy image.jpg C:\Users\Guest\Desktop используется для копирования и вставки изображения из Admin в гостевую учётную запись.
Для этой уязвимости Microsoft выпустила полный путь в ноябре 2019 года. Поскольку многие версии Windows подвержены этой уязвимости, крайне важно поддерживать ОС в актуальном состоянии со всеми новейшими патчами (убедитесь, что права пользователя корректно применяются в диалоговом окне сертификата Windows) и обновлениями безопасности. Если кто-то использует уязвимую версию Windows, обязательно обновите её как можно скорее, прежде чем кто-либо воспользуется этим. Повышение привилегий крайне рискованно, поскольку это просто и легче повысить привилегии.