MSI 分析器

这个用于 Linux 的 Python 脚本可以分析 Microsoft Windows *.msi 安装程序文件并指出潜在漏洞。它由 Michael Baer (@derbaer0) 在 SEC Consult 漏洞实验室开发。

目前，它主要适用于本地权限提升，我们的博客文章中也对此进行了描述：https://r.sec-consult.com/msi。

Microsoft 分配了 CVE-2024-38014，并在 2024 年 9 月补丁日为此漏洞提供了补丁：https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-38014。

该脚本还可以用于获取安装程序的概览并识别潜在弱点。

注意事项

• 此脚本仍在开发中。
• 它并不完美，但希望能正确覆盖许多安装程序。如果您遇到判定错误的安装程序，请在 GitHub 上提交 issue。
  • 漏报（如果控制台应用程序仅由安装程序间接启动）
  • “误报”（相同的操作按条件执行。脚本会显示条件，但不会对其进行评估）
• 此脚本不能防范恶意安装程序。

安装

你需要一些 Python 包。sqlite3、termcolor，也许还有更多。除此之外，无需安装。只需从主文件夹运行脚本即可。

安装 (apt) 软件包 msitools。其中包含同样需要的 msiinfo 和 msiextract。

sudo apt install msitools

有助于利用该漏洞的 SetOpLock 二进制文件可以在这里找到：https://github.com/googleprojectzero/symboliclink-testing-tools/tree/main/SetOpLock

使用方法

• python msiscan.py <Installer>
• 或者，如果您想检查整个目录：./runall.sh <directory>

现在扫描结果中不寻常的颜色（红色）以快速找到可利用点。建议：如果有红色内容，请使用 ProcMon 修复，并执行手动方法。

会出现错误。忽略它们即可。分析会尽可能继续。

如果你在开头看到红色行 Repairmode disabled ...，你将无法触发修复功能。

现在，如果你想花些时间进行更深入的分析，这里有一些理解输出的说明：

• 评分 我猜测其可利用的可能性。这也决定了颜色。
• 难度 我猜测发现漏洞需要付出多少努力。例如，HARD = 二进制逆向。
• 绿色行 "Action only invoked upon"：仅当条件为真时才会调用此操作。例如，"Not Installed" 仅在软件尚未安装时执行，即在安装期间而非修复期间。除非你能强制进行安装，否则就无能为力。（注意：有时感觉这些条件与实际情况不太相符。但我还未能弄清楚）。
• 橙色：存在脚本代码。如果你有时间，请在那里寻找可疑操作。或者调用二进制文件（CreateObject ("WScript.Shell")）。
• 蓝色：来自 WiX 工具集的方法。可能安全（但应加以区分并进一步调查）。
• 青色：最常见的颜色。通常它们调用 GUI 程序或 DLL 函数。这里预计不会快速找到可利用点。

下一步做什么？

我相信，从安装程序包中仍能提取到很多信息。例如，已安装文件夹和服务的权限可能很快识别出更多的 LPE（本地权限提升）向量。