Crassus — инструмент для обнаружения повышения привилегий в Windows

Быстрый старт

1. В Process Monitor выберите опцию Enable Boot Logging.
2. Перезагрузите компьютер.
3. После входа в систему и полной загрузки Windows снова запустите Process Monitor.
4. Когда появится запрос, сохраните журнал загрузки, например, в raw.PML.
5. Сбросьте фильтр Process Monitor по умолчанию с помощью Ctrl-R.
6. Сохраните этот файл журнала, например, в boot.PML.
7. Запустите Crassus.exe boot.PML.
8. Изучите любые результаты, выделенные зелёным цветом, и соответствующие записи в results.csv.

Содержание

• Почему "Crassus"?
  • Вы действительно создали ещё один инструмент для обнаружения повышения привилегий?
  • Возможности
  • Блок-схема
• Скриншоты
  • Запуск Crassus
  • Вывод CSV
  • Экспорты
  • Экспорт функций DLL
  • Экспорт ординалов DLL
• Получение Crassus.exe
  • Сборка с помощью Visual Studio
  • Использование предварительно скомпилированного Crassus.exe
• Использование
  • Порядок выполнения
  • Аргументы командной строки
  • Примеры
  • Шаблон прокси-библиотеки DLL
  • Шаблон openssl.cnf
• Компиляция прокси-библиотек DLL
  • Visual Studio
  • MinGW
• Примеры из реального мира
  • Acronis True Image
  • Atlassian Bitbucket
  • McAfee
  • Microsoft SQL Server 2022
• Устранение неполадок
  • Отсутствующий файл не выполняется
  • Код выполняется с неожиданными привилегиями
  • Результаты исчезают после перезагрузки
• Вклад
• Благодарности

Почему "Crassus"?

Компания Accenture создала инструмент Spartacus, который находит возможности перехвата DLL в Windows. Взяв Spartacus за основу, мы создали Crassus, чтобы расширить возможности обнаружения повышения привилегий в Windows, не ограничиваясь поиском отсутствующих файлов. ACL, используемые файлами и каталогами привилегированных процессов, позволяют найти больше, чем просто поиск отсутствующих файлов для достижения цели.

Вы действительно создали ещё один инструмент для обнаружения повышения привилегий?

...но с изюминкой: Crassus использует SysInternals Process Monitor и парсит необработанные файлы PML. Обычное использование — создать журнал загрузки с помощью Process Monitor, а затем проанализировать его с помощью Crassus. Он также автоматически генерирует исходный код для прокси-библиотек DLL со всеми необходимыми экспортами для уязвимых библиотек DLL.

Возможности

• Нативный парсинг файлов ProcMon PML. Парсер журналов (PML) реализован путём переноса частичной функциональности на C# из https://github.com/eronnen/procmon-parser/. Спецификацию формата можно найти здесь.
• Crassus создаёт исходный код для прокси-библиотек DLL для всех отсутствующих DLL, которые были идентифицированы. Например, если приложение уязвимо для перехвата DLL через version.dll, Crassus создаст файлы version.cpp и version.def со всеми включёнными в них экспортами. По умолчанию прокси-библиотеки DLL запускают calc.exe. Включены сценарии сборки для сборки DLL в Visual Studio или MinGW.
• Для других интересующих событий, таких как создание процесса или загрузка библиотеки, исследуется возможность непривилегированных пользователей изменить файл или любые части пути к файлу.
• Способен обрабатывать большие файлы PML и сохранять все интересующие события в выходной CSV-файл.

Блок-схема

Общая суть работы Crassus может быть резюмирована в этой блок-схеме:

Скриншоты

Запуск Crassus

Вывод CSV

Экспорты

Экспорт функций DLL

Экспорт ординалов DLL

Получение Crassus.exe

Сборка с помощью Visual Studio

Crassus разработан как проект Visual Studio 2019. Чтобы собрать Crassus.exe:

1. Откройте Crassus.sln
2. Нажмите Ctrl+Shift+B на клавиатуре

Использование предварительно скомпилированного Crassus.exe

Если вы доверяете запуску чужого кода, не зная, что он делает, Crassus.exe предоставлен в этом репозитории.

Использование

Порядок выполнения

1. В Process Monitor выберите опцию Enable Boot Logging.
2. Перезагрузите компьютер.
3. После входа в систему и полной загрузки Windows также можно запустить запланированные задачи, которые могут быть настроены на запуск с привилегиями.
4. Снова запустите Process Monitor.
5. Когда появится запрос, сохраните журнал загрузки.
6. Сбросьте фильтр Process Monitor по умолчанию с помощью Ctrl-R.
7. Сохраните этот файл журнала, например, в boot.PML. Причина повторного сохранения файла журнала двоякая:
   1. Старые версии Process Monitor не сохраняют журналы загрузки в виде одного файла.
   2. Журналы загрузки по умолчанию не фильтруются, что может содержать лишний шум, например, перехват DLL локальным пользователем при запуске самого Process Monitor.

Аргументы командной строки

Аргумент	Описание
<PMLFILE>	Расположение (файл) существующего файла журнала событий ProcMon.
--verbose	Включить подробный вывод.
--debug	Включить отладочный вывод.

Примеры

Проанализируйте журнал загрузки Process Monitor, сохранённый в boot.PML. Все уязвимые пути будут сохранены в results.csv, а все файлы исходного кода прокси-библиотек DLL — в подкаталоге stubs.

C:\tmp> Crassus.exe boot.PML

Шаблон прокси-библиотеки DLL