CVE-2024-0670 - CheckMK Agent MSI 修复权限提升 (NanoCorp HTB)

本仓库包含一个 PowerShell 脚本，用于在 Hack The Box 的 NanoCorp 机器上利用 CVE-2024-0670。该漏洞允许低权限用户滥用 CheckMK Windows Agent 的 MSI 修复功能，并以 SYSTEM 权限执行任意命令。

注意： 此漏洞利用程序是为 NanoCorp Hack The Box 机器开发的，在其他环境中使用前可能需要修改。

免责声明： 本仓库仅供教育目的和授权的安全测试使用。请仅在你拥有或已获得明确测试许可的系统上使用。

使用方法

前提条件

• RunasCs.exe（用于以其他用户身份执行命令）

快速开始

1. 上传 RunasCs.exe —— 以 web_svc 用户身份运行漏洞利用程序所必需。

2. 以 web_svc 用户身份执行脚本：

   root@kitploit:~

   .\RunasCs.exe "web_svc" "YourWebSvcPassword" "powershell -ExecutionPolicy Bypass -File C:\ProgramData\CVE-2024-0670-NanoCorp.ps1"
   

3. 等待 MSI 修复过程完成。这可能需要几分钟。

4. 完成后，脚本将输出新创建的本地管理员账户的凭据：

   root@kitploit:~

   A new User added as administrator with the following credentials: dfdxarjy Password123@
   

5. 验证权限提升是否成功：

   root@kitploit:~

   nxc smb nanocorp.htb -u "dfdxarjy" -p "Password123@" -k
   

   预期输出：

   root@kitploit:~

   [+] nanocorp.htb\dfdxarjy:Password123@ (Pwn3d!)
   

---

描述

该漏洞允许低权限用户（例如 web_svc）通过滥用 CheckMK Agent 使用的 Windows Installer 修复功能，将权限提升至 NT AUTHORITY\SYSTEM。

该脚本执行以下操作：

1. 在目标系统上定位已安装的 CheckMK MSI 包。
2. 将包含创建本地用户账户命令的批处理文件写入 C:\Windows\Temp。
3. 使用 msiexec /fa 触发 MSI 包的修复。
4. 修复过程以 SYSTEM 权限执行该批处理文件。
5. 该批处理文件通过将用户添加到本地 Administrators 组来创建本地管理员账户。
6. 执行后删除临时文件。

---

参考资料

• CVE-2024-0670
• CheckMK Windows Agent MSI Repair Privilege Escalation