主机安全技术剖析- Windows本地提权(应用篇)
- https://mp.weixin.qq.com/s/qhyLfitWQdJmza8oKvfeZw

UAC的逆向分析

发起dll windows_storage.dll 调用 AicLaunchAdminProcess
AicLaunchAdminProcess 使用rpc协议调用appinfo服务,对应接口的DLL为appinfo.dll
整个过程是 appinfo服务完成提权过程

弹窗流程

RAiLaunchAdminProcess -> AiCheckLUA -> AiLaunchConsentUI

AiLaunchConsentUI -> AiLaunchProcess -> 调用consent.exe
consent的命令行中传入了父进程的pid（appinfo服务的进程pid），一个结构体长度以及一个指向结构体的指针，随后consent调用NtReadVirtualMemory从父进程的内存中读取结构体的内容，这个结构体中就包含了需要特权提升的进程信息。
consent 调用 NtWriteVirtualMemory 写内存传递到appinfo

请求进程将要请求的进程cmdline和进程路径通过LPC接口传递给appinfo的RAiLuanchAdminProcess函数，该函数首先验证路径是否在白名单中，并将结果传递给consent.exe进程，该进程验证被请求的进程签名以及发起者的权限是否符合要求，然后决定是否弹出UAC框让用户进行确认。这个UAC框会创建新的安全桌面，屏蔽之前的界面。同时这个UAC框进程是SYSTEM权限进程，其他普通进程也无法和其进行通信交互。用户确认之后，会调用CreateProcessAsUser函数以管理员权限启动请求的进程。

提权方式

COM提权 + MasqueradePEB
劫持白文件
- 如 Fodhelper.exe，运行时会根据注册表运行，修改注册表即可

服务账户提权

HotPotato
- 利用NTLM Relay中继到SMB,最后调用svcctl.CreateServiceW创建指定的服务
- Microsoft通过使用已经在进行中的质询来禁止相同协议的NTLM身份验证来修补此问题 (MS16-075)。这意味着从一台主机到其自身的SMB->SMB NTLM中继将不再起作用。MS16-077 WPAD名称解析将不使用NetBIOS 并且在请求 PAC 文件时不发送凭据,因此WAPD Attack已修补。
Rotten Potato
- 利用远程过程调用(RPC)通过CoGetInstanceFromIStorage进行NTLM中继,在本地协商得到NT AUTHORITY\SYSTEM账户的安全令牌，在模拟安全令牌后调用CreateProcessWithToken等API来使用指定的令牌来创建进程
- 因此，此技术不适用于 >= Windows 10 1809 和 Windows Server 2019 的版本。
Pipepotato(BadPotato)
- 该利用的核心原理是通过打印机漏洞强迫运行Spooler服务的任何主机通过Kerberos或者NTLM向攻击者选择的目标发起身份认证请求,这里可以强迫一个特权进程来访问我们的恶意管道,当我们拥有SecurityImpersonation权限时便可以通过模拟管道安全上下文的方式,来模拟该特权进程,得到该特权进程的模拟令牌,通过将其转化为主令牌的方式最终调用CreateProcessWithToken等方式来以SYSTEM权限运行程序。
- 已有较为完善的工具:https://github.com/itm4n/PrintSpoofer
- 该手段由于并不是微软承认的一个漏洞,因此实际上还是比较实用和不受限制的,但是由于近年来在PrintNightmare爆发之后，很多企业会选择关闭spoolss服务，因此使得Printerbug失效,从而导致pipePotato的失效。
PetitPotam
- 从名字上看该方式并不是传统的Potato,但是从利用手法上,笔者仍然认为其本质也可以通过模拟管道客户端进而实现提权,并且PetitPotam更多用于域横向渗透中,同时也能够用于本地提权(LPE)。
- 通过利用特定UNC路径成功欺骗lsass.exe进程去连接指定的管道，因此为了实现本地提权，我们只需要创建这样一个特定管道去模拟RPC客户端安全上下文即可。
- 利用PetitPotam进行本地提权:https://github.com/crisprss/PetitPotam。

Windows 安全研究 #37

Description

Metadata

Metadata

Assignees

Labels

Projects

Milestone

Relationships

Development

Issue actions