CVE-2024-43583 - Windows 权限提升漏洞利用工具

作者： No0B@ckSappi3 Instagram： No0BackSappi3

概述

CVE-2024-43583 是一个影响微软 Winlogon 组件的 权限提升 漏洞。利用此漏洞，低权限用户可将自身权限提升至 SYSTEM，从而完全控制系统。

此概念验证（PoC）利用 Windows 映像文件执行选项（IFEO） 注册表键进行 调试器劫持，将合法系统进程替换为恶意载荷。

受影响的 Windows 版本

受影响的 Windows 版本

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ 免责声明

此漏洞利用工具仅用于 教育和研究目的。请勿在未经授权的系统上使用。滥用此漏洞利用工具可能违法。

---

利用方法

设置

确保目标系统上已安装 Python。若无，请使用编译好的 .exe 版本。

运行漏洞利用工具

选项 1：直接从低权限用户运行

python poc-43583.py

选项 2：通过任务计划程序运行

1. 创建计划任务：（以管理员身份运行）

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. 运行任务：

   schtasks /run /tn "LowPrivExploit"
   

3. 触发漏洞利用： 打开任务管理器（Ctrl + Shift + Esc）。如果成功，将出现一个 SYSTEM shell 而不是任务管理器。

验证权限提升

漏洞利用工具运行后，检查当前权限：

whoami

预期输出：

nt authority\system

---

🛠️ 清理

方法 1：使用 PoC 恢复默认设置

重新运行脚本并选择 选项 [2] 以移除劫持。

方法 2：手动删除注册表键

1. 以管理员身份打开 命令提示符。
2. 运行：

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. 删除计划任务（如果使用了）：

   schtasks /delete /tn "LowPrivExploit" /f
   

---

检测与缓解

• 检查是否存在意外的 Debugger 键：

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• 启用 Windows Defender 防篡改保护 以防止注册表修改。
• 使用 EDR/SIEM 解决方案 检测未经授权的注册表更改。

---

📝 参考

• 微软安全公告
• 漏洞利用开发指南