CVE-2009-0229-PoC

PoC для CVE-2009-0229 "Уязвимость чтения файлов через диспетчер печати" LPE AFR (связано с CVE-2020-1048)

Детали

• Автор: Andrei Costin ([email protected])
  • https://twitter.com/costinandrei/
• Дата PoC: 2010-xx-xx
• Дата публикации: 2020-05-14 (напомнило/вдохновило CVE-2020-1048 — да, я опоздал на вечеринку :D)
• TL;DR
  • Если хотите 0days, копайтесь в подсистеме печати и факсов ОС :) — много устаревшего кода по историческим причинам — уязвимостей хватит на всех =)

Заметки

• Примечание1: Не подтверждено — не уверен на 100%, что это та же ошибка, что вызывает CVE-2009-0229

• Примечание2: Не подтверждено — может работать на новых системах, таких как Windows Server 2012 и Windows Server 2016

• Примечание3: Все выпуски Windows поставляются с 4 файлами "Разделительная страница" по умолчанию

  • pcl.sep
  • pscript.sep
  • sysprint.sep
  • sysprtj.sep

• Примечание4: Этот трюк старше Windows 95 =), почти уверен, что он использовался профессионалами для "скрытого восстановления информации" ;)

Предварительные требования

• (локальный атакующий без прав администратора) имеет "права управления принтером"
  • вариант1: может добавить новый принтер
  • вариант2: может изменить настройки существующего "общесистемного" принтера (часто так бывает)
• "произвольный файл" для эксфильтрации не имеет явного запрета на чтение ("Deny Read")
  • крайне маловероятно, так как это сделало бы доступ к файлам для жертвы действительно непрактичным/непригодным к использованию

Выполнение PoC

• Локальный атакующий настраивает любой принтер, к которому у него есть доступ, чтобы он использовал файл "Разделительная страница", предоставленный атакующим (attack.sep) — теперь у атакующего есть "вооруженный принтер"

  • См. раздел "Ссылки на разделительные страницы Windows" ниже для подробностей

• Локальный атакующий создает файл "Разделительная страница" (attack.sep), используя оператор "@F"/"$F", следующим образом, где предполагается, что файл для эксфильтрации — "C:\secret.txt" (обратите внимание на \ и прямое присоединение к оператору @F)

@
@FC:\\secret.txt

• Локальному атакующему нужно что-то распечатать с помощью указанного выше "вооруженного" принтера

  • Например, локальный атакующий открывает Блокнот, печатает пустой документ через принтер, настроенный выше с файлом разделительной страницы
  • Локальный атакующий использует опцию "печать в файл" (например, c:\temp\exfiltrated.out) при печати — есть "печать в файл" .ps в большинстве версий Windows + .xps в новых (http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm)
    • Это делается для того, чтобы содержимое эксфильтрованного файла не попало на принтер (хотя это тоже вариант), а стало немедленно доступно атакующему

• Улучшение атаки: один файл разделительной страницы может содержать список наиболее распространенных путей/имен файлов для перебора

• Также есть оператор @L :)

  • см. мою статью "PostScript: Danger Ahead?!" https://scholar.google.fr/scholar?oi=bibs&hl=en&q=related:RGJbW-sFP9sJ:scholar.google.com/
  • см. также pscript.sep и sysprint.sep

Мелочи

• Обнаружено еще в 2010 году, когда я проводил исследование/выступления "Взлом принтеров ради интереса и выгоды"

  • https://www.youtube.com/watch?v=R56ZXErKCeE
  • https://www.youtube.com/watch?v=KrWFOo2RAnk
  • https://www.youtube.com/watch?v=JcfxvZml6-Y
  • http://andreicostin.com/papers/Conf%20-%20EuSecWest2010_AndreiCostin_HackingPrintersForFunAndProfit_full.pdf
  • найдено независимо от подателя CVE-2009-0229 — до сегодняшнего дня я не знал о существовании CVE-2009-0229 =)), думал, что сидел на 0day =))

• Я почти уверен, что подсистемы печати и факсов усеяны уязвимостями еще со времен Windows 3.1 (по историческим причинам)

Ссылки по безопасности

• "Microsoft Security Bulletin MS09-022 - Critical"
  • https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-022
  • https://support.microsoft.com/de-ch/help/961501
• CVE-2009-0229
  • https://nvd.nist.gov/vuln/detail/CVE-2009-0229
  • https://vuldb.com/?id.48511
• CVE-2020-1048
  • https://windows-internals.com/printdemon-cve-2020-1048/

Ссылки на разделительные страницы Windows

• Так выглядят диалоговые окна "Разделительная страница" в различных версиях Windows
  • https://www.google.com/search?q=%22Separator+Page%22+windows&source=lnms&tbm=isch
• Так выглядит "Печать в файл" в некоторых версиях Windows
  • http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm
• "Separator Page" in "Hands-On Microsoft Windows Server 2016 By Michael Palmer"
  • https://books.google.fi/books?id=zi-dBAAAQBAJ&pg=PA267&lpg=PA267&dq=%22SYSPRTJ.SEP%22+windows+10&source=bl&ots=TUGyElUQdc&sig=ACfU3U0WMpu6Y3EY5vo5MAJxNE04DjRtbg&hl=en&sa=X&ved=2ahUKEwid6arL6LPpAhUPAxAIHaF9AXYQ6AEwA3oECAcQAQ#v=onepage&q=%22SYSPRTJ.SEP%22%20windows%2010&f=false
• "Create Custom Separator Pages in Windows Server 2012/2016"
  • https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj149734(v=ws.11)?redirectedfrom=MSDN
• "Use a Separator Page When Printing in Windows"
  • https://computingondemand.com/use-a-separator-page-when-printing-in-windows/
• "How do I configure a Print Separator Page?"
  • https://www.itprotoday.com/cloud-computing/how-do-i-configure-print-separator-page