CVE-2009-0229-PoC

CVE-2009-0229 "打印后台处理程序读取文件漏洞" LPE AFR 的PoC（与 CVE-2020-1048 相关）

详情

• 作者：Andrei Costin ([email protected])
  • https://twitter.com/costinandrei/
• PoC 日期：2010-xx-xx
• 发布日期：2020-05-14（受 CVE-2020-1048 提醒/启发——是的，我来晚了 :D ）
• 摘要
  • 如果你想找0day，那就挖掘操作系统的打印和传真子系统吧 :) —— 由于历史原因存在大量遗留代码——每个人都有漏洞可挖 =)

说明

• 说明1：未经证实——不能100%确定是否是触发 CVE-2009-0229 的同一个漏洞

• 说明2：未经证实——可能在较新系统上运行，如 Windows Server 2012 和 Windows Server 2016

• 说明3：所有 Windows 发行版默认带有 4 个“分隔页”文件

  • pcl.sep
  • pscript.sep
  • sysprint.sep
  • sysprtj.sep

• 说明4：这个技巧比 Windows 95 还要早 =)，我敢肯定专业人士曾用它进行“隐蔽信息恢复” ;)

前提条件

• （非管理员）本地攻击者拥有“打印机管理权限”
  • 选项1：可以添加新打印机
  • 选项2：可以修改现有“系统范围”打印机的设置（这种情况很常见）
• 用于窃取的“任意文件”没有明确的“拒绝读取”权限
  • 这种情况极不可能，否则受害者访问文件将变得非常不实用/不可用

PoC 执行步骤

• 本地攻击者配置其拥有访问权限的任意打印机，使其使用攻击者提供的“分隔页”文件（attack.sep），现在攻击者拥有了“武器化打印机”

  • 参见下方“Windows 分隔页参考”以获取详细信息

• 本地攻击者制作“分隔页”文件（attack.sep），使用“@F”/“$F”操作符，如下所示，其中要窃取的文件假定为“C:\secret.txt”（注意 \ 以及直接连接到 @F 操作符）

@
@FC:\\secret.txt

• 本地攻击者需要使用上述“武器化打印机”打印一些内容

  • 例如，本地攻击者打开记事本，通过上面配置了“分隔页”文件的打印机打印空白文档
  • 本地攻击者使用“打印到文件”（例如，c:\temp\exfiltrated.out）选项进行打印——大多数 Windows 版本都有“打印到文件”的 .ps 文件，而较新的版本有 .xps 文件（http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm）
    • 这样做的目的是使窃取的文件内容不会传到打印机（当然这也是一个选项），而是让攻击者立即可用

• 攻击改进：一个“分隔页”文件可以包含一个暴力枚举的常用文件路径/文件名列表

• 另外还有 @L 操作符 :)

  • 请参阅我的“PostScript: Danger Ahead?!” https://scholar.google.fr/scholar?oi=bibs&hl=en&q=related:RGJbW-sFP9sJ:scholar.google.com/
  • 另请参阅 pscript.sep 和 sysprint.sep

琐事

• 早在 2010 年，我在进行“Hacking Printers for Fun and Profit”研究/演讲时就发现了它

  • https://www.youtube.com/watch?v=R56ZXErKCeE
  • https://www.youtube.com/watch?v=KrWFOo2RAnk
  • https://www.youtube.com/watch?v=JcfxvZml6-Y
  • http://andreicostin.com/papers/Conf%20-%20EuSecWest2010_AndreiCostin_HackingPrintersForFunAndProfit_full.pdf
  • 与 CVE-2009-0229 提交者独立发现——直到今天，我都不知道有这个 CVE-2009-0229 =))，还以为自己手握一个0day =))

• 我敢肯定，自 Windows 3.1 以来，打印和传真子系统就充斥着漏洞（由于历史原因）

安全参考

• “Microsoft Security Bulletin MS09-022 - Critical”

  • https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-022
  • https://support.microsoft.com/de-ch/help/961501

• CVE-2009-0229

  • https://nvd.nist.gov/vuln/detail/CVE-2009-0229
  • https://vuldb.com/?id.48511

• CVE-2020-1048

  • https://windows-internals.com/printdemon-cve-2020-1048/

Windows 分隔页参考

• 不同 Windows 版本上“分隔页”对话框的样子
  • https://www.google.com/search?q=%22Separator+Page%22+windows&source=lnms&tbm=isch
• 某些 Windows 版本中“打印到文件”的样子
  • http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm
• 《Hands-On Microsoft Windows Server 2016 By Michael Palmer》中的“分隔页”
  • https://books.google.fi/books?id=zi-dBAAAQBAJ&pg=PA267&lpg=PA267&dq=%22SYSPRTJ.SEP%22+windows+10&source=bl&ots=TUGyElUQdc&sig=ACfU3U0WMpu6Y3EY5vo5MAJxNE04DjRtbg&hl=en&sa=X&ved=2ahUKEwid6arL6LPpAhUPAxAIHaF9AXYQ6AEwA3oECAcQAQ#v=onepage&q=%22SYSPRTJ.SEP%22%20windows%2010&f=false
• “在 Windows Server 2012/2016 中创建自定义分隔页”
  • https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj149734(v=ws.11)?redirectedfrom=MSDN
• “在 Windows 中打印时使用分隔页”
  • https://computingondemand.com/use-a-separator-page-when-printing-in-windows/
• “如何配置打印分隔页？”
  • https://www.itprotoday.com/cloud-computing/how-do-i-configure-print-separator-page