MAL-002：通过已安装的 Windows MSI 强制系统重启

一旦软件成功安装到系统上，一个或多个受信任的 MSI 文件将出现在“C:\Windows\Installer”文件夹中，并可能允许低权限用户以“NT Authority\System”用户身份执行“修复”和/或“修改”操作，而无需 UAC。通过使用带“/forcerestart”标志的“msiexec.exe”程序，如果攻击者成功执行“修复”操作，目标系统将被重启。

注意：即使是修复过程，某些 MSI 也可能需要管理员身份验证，但这通常是例外情况，而非普遍情况（例如 Vmware Tools）。

使用场景：

在以下情况下，以低权限用户身份重启 Windows 服务器可能会很有用：

• 执行可能导致服务崩溃的本地权限提升攻击（例如缓冲区溢出攻击），以便在相应服务无响应时强制重启该服务
• 修改/写入需要服务/系统重启才能生效的配置文件、DLL 和/或可执行文件（例如 DLL 搜索顺序攻击）
• 通过持续重启目标系统造成潜在 DoS

为什么没有 CVE？

无论是微软还是我本人，都不认为这本身是一个高影响力漏洞，因此不需要 CVE。

话虽如此，我认为这个漏洞相当有趣，并希望它能为偶然发现此仓库的人提供帮助。

要求：

此漏洞需要：

• 对目标系统的本地访问权限
• 目标系统上已安装一个或多个可用的 MSI

概念验证：

更多详情和利用过程可在此 PDF 中找到。

时间线：

• 此漏洞最初于 2022 年 5 月 18 日报告至 https://msrc.microsoft.com/
• 该漏洞被视为非问题
• 于 2024 年 1 月 23 日重新测试了该漏洞，并注意到该漏洞在最新版本的 Windows 11（OS Build: 22621.3007）上仍然有效
• 于 2024 年 2 月 3 日公开披露了该漏洞