VirtualLockSensorLPE

描述

本地权限提升 PoC 利用程序，针对运行在 Windows 上的 Elliptic Virtual Lock Sensor 版本 3.1.60531.2，该传感器默认安装在特定 Lenovo 笔记本电脑型号上。允许通过更改注册表项的权限，从普通用户上下文在 SYSTEM 上下文中执行负载。

来自 Lenovo 的官方公告：https://support.lenovo.com/us/en/product_security/LEN-182738

请在使用前阅读注意事项。

如何构建

1. 使用 git clone --recursive 克隆仓库。
2. 构建 VirtualLockSensorLPE 解决方案。

如何使用

VirtualLockSensorLPE.exe COMMAND

示例

VirtualLockSensorLPE.exe "cmd /c echo test > C:\Windows\System32\poc.txt"

技术细节

存在漏洞的 Elliptic Virtual Lock Sensor 版本使用以下注册表项，其中 Everyone 拥有 Full Control：

• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\OnBattery
• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn

普通用户可以启动软件的重新安装。如果在上述某个注册表项下创建了启用了“容器继承”的子项，然后在该新键下创建一个注册表链接，则在重新安装期间，Everyone 将被授予该链接目标的 Full Control。

此 PoC 利用该漏洞的步骤如下：

1. 在 HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn 下创建一个子项（命名为 a），其中 Everyone 具有 Full Control，并启用“容器继承”（“CI”标志）。
2. 在新创建的子项（a）下创建一个注册表链接（命名为 b），指向 HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate。
3. 强制重新安装 Elliptic Virtual Lock Sensor。
4. 由于 Everyone 现在对 edgeupdate 键拥有 Full Control，可以修改该键的 ImagePath 值以指向一个负载。
5. 启动 edgeupdate（Microsoft Edge 更新服务）服务，以在 SYSTEM 上下文中执行负载。

注意事项

• 该利用程序不会尝试重置 HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate 注册表项的权限，因此您需要手动执行此操作（如果正在生产系统上测试，请务必记住这样做）。
• 专门针对版本 3.1.60531.2。利用代码可能需要进行一些修改才能针对其他易受攻击的版本（传递给 MsiReinstallProductW 的产品代码可能需要更改才能启动重新安装）。
• 有多种方法可以将任意注册表项写入转化为特权代码执行。此 PoC 通过更改现有服务（edgeupdate）的配置以指向任意负载来实现。此技术存在一些限制：
  • 如果执行利用程序时 edgeupdate 服务已经在运行，则负载将不会执行。等待一两分钟，然后再次运行利用程序。
  • 如果负载不是服务二进制文件（例如 cmd），Windows 会在短暂时间后停止其执行。