CdpSvcLPE

通过 CdpSvc 服务实现 Windows 本地权限提升（可写 SYSTEM 路径 DLL 劫持）

简短描述：

Connected Devices Platform Service（简称 CDPSvc）是一种以 NT AUTHORITY\LOCAL SERVICE 身份运行的服务，它在启动时通过调用 LoadLibrary() 尝试加载缺失的 cdpsgshims.dll DLL，但未指定其绝对路径。因此，可以在 DLL 搜索顺序目录中劫持该 DLL；如果我们在一个可写的 SYSTEM 路径（如 C:\python27）中劫持该 DLL，就能以 NT AUTHORITY\LOCAL SERVICE 身份获得进程或 shell 访问权限。然后，我将其与 @itm4n 的 PrintSpoofer 技术结合，以获得 NT AUTHORITY\SYSTEM 访问权限。

用法：

1. 使用 acltest.ps1 查找可写的 SYSTEM 路径（例如 C:\python27）
   C:\CdpSvcLPE> powershell -ep bypass ". .\acltest.ps1"
   
2. 将 cdpsgshims.dll 复制到 C:\python27
   
3. 创建 C:\temp 文件夹并将 impersonate.bin 复制到 C:\temp
   C:\CdpSvcLPE> mkdir C:\temp
C:\CdpSvcLPE> copy impersonate.bin C:\temp
   
4. 重新启动（或以管理员身份停止/启动 CDPSvc）
   
5. cmd 将以 nt authority\system 身份弹出。
   

Youtube：https://youtu.be/Jfxfsc04H5o

\m/ 注意：当你获得系统 cmd 提示符后，请停止 cdpsvc 服务并删除 dll 文件和 bin 文件。

作者 @404death

参考：

http://zeifan.my/security/eop/2019/11/05/windows-service-host-process-eop.html
https://itm4n.github.io/cdpsvc-dll-hijacking/
https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/
https://github.com/itm4n/PrintSpoofer
https://gist.github.com/wdormann/eb714d1d935bf454eb419a34be266f6f