CVE-2021-1675 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | July 1, 2021

CVE-2021-1675 — это критическая уязвимость удалённого выполнения кода и локального повышения привилегий, получившая название «PrintNightmare».

Для возможности удалённого выполнения кода были опубликованы эксплойты Proof-of-Concept (Python, C++), а для локального повышения привилегий — версия на C#. Мы не видели нативной реализации на чистом PowerShell и захотели попробовать свои силы в доработке и переработке эксплойта.

Этот PowerShell-скрипт выполняет локальное повышение привилегий (LPE) с помощью техники атаки PrintNightmare.

Протестировано на Windows Server 2016 и Windows Server 2019.

Использование

По умолчанию добавляет нового пользователя в группу локальных администраторов:

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

Укажите собственную DLL-нагрузку, чтобы сделать что-либо ещё.

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

Подробности

• Для техники LPE не требуется удалённый RPC или SMB, так как она работает только с функциями Print Spooler.
• Скрипт содержит встроенную нагрузку в виде GZIP-архива в кодировке Base64 для пользовательской DLL, которая модифицируется в соответствии с вашими аргументами, чтобы легко добавить нового пользователя в группу локальных администраторов.
• В скрипт встроены методы из PowerSploit/PowerUp для рефлексивного доступа к Win32 API.
• Этот метод не перебирает все драйверы принтеров в поисках подходящего пути к DLL — он просто берёт первый драйвер и определяет нужный путь.