CVE-2021-34527 - PrintNightmare 本地权限提升 (PowerShell)

Caleb Stewart | John Hammond | 2021年6月1日

更新 2021年6月2日：微软发布了关于 CVE-2021-34527 的安全公告，将该特定标识符正确命名为 PrintNightmare 漏洞利用。之前，社区一直认为 CVE-2021-1675 "就是 PrintNightmare"，因为6月8日的补丁并未解决此问题。此仓库与 原始仓库 相同，只是 CVE 名称不同。

CVE-2021-34527 是一个关键的远程代码执行和本地权限提升漏洞，被称为 "PrintNightmare"。

已经发布了概念验证漏洞利用代码（Python、C++）用于远程代码执行功能，以及一个 C# 版本 用于本地权限提升。我们之前没见过纯 PowerShell 的原生实现，因此我们想尝试改进和重新构建这个漏洞利用。

此 PowerShell 脚本使用 PrintNightmare 攻击技术执行本地权限提升 (LPE)。

此脚本已在 Windows Server 2016 和 Windows Server 2019 上测试通过。

使用

默认添加一个新用户到本地管理员组：

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

提供自定义 DLL 载荷，以执行您可能喜欢的任何其他操作。

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

详情

• 该 LPE 技术不需要与远程 RPC 或 SMB 配合使用，因为它仅使用 Print Spooler 的功能。
• 此脚本嵌入了一个经过 Base64 编码的 GZIP 压缩自定义 DLL 载荷，该载荷会根据您的参数进行修补，以轻松添加新用户到本地管理员组。
• 此脚本嵌入了来自 PowerSploit/PowerUp 的方法，以反射性地访问 Win32 API。
• 此方法不会遍历所有打印机驱动程序来找到合适的 DLL 路径——它只是获取第一个驱动程序并确定合适的路径。