विश्वसनीय निर्देशिकाओं की नकल करके उपयोगकर्ता खाता नियंत्रण (UAC) को बायपास करें

सूचना सुरक्षा विशेषज्ञ डेविड वेल्स ने विंडोज 10 में यूएसी उपयोगकर्ता खाता नियंत्रणों को बायपास करने का एक तरीका प्रकाशित किया है

सभी को नमस्कार!

उपयोगकर्ता खाता नियंत्रण (यूएसी) के लिए कुछ नए वर्कअराउंड पर शोध करते हुए, मैंने इस लेखन के समय यूएसी के लिए पूरी तरह से नया समाधान खोज लिया। यह ध्यान देने योग्य है कि Microsoft UAC को सुरक्षा सीमा नहीं मानता है, हालाँकि, हम अभी भी Microsoft पर विभिन्न बगों की रिपोर्ट करते हैं और मैं यहां मिली भेद्यता का विवरण साझा करना चाहता हूं। इस विधि का विंडोज 10 बिल्ड 17134 पर सफलतापूर्वक परीक्षण किया गया है। इससे पहले कि मैं अपने खोज के विवरण में डुबकी लगाऊं, मैं पहले आपको थोड़ा स्पष्टीकरण दूंगा कि यूएसी सेवा कैसे काम करती है।

उक प्राइमर

जब एक उपयोगकर्ता जो प्रशासक समूह का सदस्य है, एक एप्लिकेशन चलाना चाहता है जिसे उन्नत विशेषाधिकारों की आवश्यकता होती है, तो UAC एक संबंधित अनुरोध प्रदर्शित करता है और एक उपयोगकर्ता जो व्यवस्थापक समूह का सदस्य है, को कार्रवाई की पुष्टि करने की आवश्यकता है। हालांकि, यह UAC अनुरोध Windows पर सभी व्यवस्थापकीय निष्पादन योग्य फ़ाइलों के लिए नहीं है। । कुछ अपवाद हैं जो "स्वचालित रूप से" एक यूएएसी अनुरोध के बिना एक निष्पादन योग्य फ़ाइल के विशेषाधिकारों को बढ़ाते हैं, यूएसी को दरकिनार करते हुए (आपके आश्चर्य के लिए बहुत कुछ!)। चयनित विश्वसनीय निष्पादकों का यह विशेष समूह यह सुनिश्चित करने के लिए सिस्टम द्वारा अतिरिक्त सुरक्षा जांच से गुजरता है कि ये फाइलें वास्तव में विश्वसनीय हैं, इसलिए सूचना हमलावर आमतौर पर इस सुविधा का दुरुपयोग नहीं करते हैं। इस दृष्टिकोण का उपयोग पिछले यूएसी बाईपास विधियों में किया गया था और यह मेरी नई बाईपास पद्धति का आधार होगा। हालांकि, कुछ कमियां हैं जिन्हें हमें अपने हमले के सफल होने के लिए लेने की आवश्यकता है। आइए हम उन आवश्यकताओं को देखें जिन्हें पूरा करना चाहिए यदि हम चाहते हैं कि हमारा निष्पादन योग्य "विशेषाधिकारों के लिए स्वचालित रूप से उन्नत" हो। ऐसा करने के लिए, मैं appinfo.dll असंतुष्ट पुस्तकालय (एआईएस सेवा है कि विशेषाधिकार वृद्धि अनुरोधों को UAC के मुख्य घटकों में से एक है) की कुछ तस्वीरें दिखाएगा।

आवश्यकता 1: विशेषाधिकारों को स्वचालित रूप से बढ़ाने के लिए कॉन्फ़िगर की गई फ़ाइल

जब किसी कार्यक्रम के लिए विशेषाधिकार वृद्धि का अनुरोध उठता है, तो AIS सेवा (appinfo.dll) एक RPC कॉल को लक्ष्य निष्पादन योग्य पथ के साथ तर्क के रूप में पारित करती है। यह सेवा तब पढ़ने के लिए फ़ाइल के लक्ष्य निष्पादन योग्य सामग्री को मैप करेगी। निष्पादन योग्य फ़ाइल के प्रकटन में, कुंजी को "ऑटो एलेवेट" (यदि यह मौजूद है) प्राप्त करने के लिए मूल्य को पढ़ने का प्रयास किया जाता है।

चित्रा 1 - कुंजी मूल्य "ऑटो एलेवेट" प्राप्त करने के लिए निष्पादन योग्य फ़ाइल के प्रकटन को पढ़ना।



यदि मान प्राप्त होता है और यह सत्य है, तो फ़ाइल को "स्वचालित" उन्नत विशेषाधिकार निष्पादन योग्य फ़ाइल के रूप में माना जाएगा, जिसे विशेषाधिकार उन्नयन के साथ चलाया जाएगा और UAC सेवा संवाद बॉक्स को लागू नहीं किया जाएगा (बशर्ते कि यह नीचे दी गई आवश्यकताओं को पारित कर दे)।

चित्र 2 - "ऑटो एलिवेटिंग" की निष्पादन योग्य सूची में निष्पादन योग्य फ़ाइल का नाम जाँचने के लिए "bsearch" कॉल करना



इन फ़ाइलों में से कुछ जो सिस्टम में हार्ड-प्रोग्राम्ड हैं, उन्हें श्वेत सूची में डाला गया है:
'cttunesvr.exe', 'inetmgr.exe', 'migsetup.exe', 'mmc.exe', 'oobe.exe', 'pkgmgr.exe', 'प्रावधानोंश्रे ..exe', 'प्रोविजनस्टोर', '' की स्थापना .exe ',' winat.exe '

आवश्यकता 2: उचित रूप से हस्ताक्षरित

यह माना जाता है कि UAC को अनुरोध भेजने के बाद "स्वचालित रूप से" विशेषाधिकार बढ़ाने के लिए दूसरी शर्त "पिनट्रस्ट" का उपयोग करके एक हस्ताक्षर जांच करना है! WTGetSignatureInfo ”।

इसका मतलब यह है कि हमलावर केवल "स्वचालित" विशेषाधिकार वृद्धि के लिए अपनी स्वयं की प्रकट या निष्पादन योग्य फ़ाइल बनाने में सक्षम नहीं होगा, क्योंकि हमलावर की बाइनरी फ़ाइल को सबसे अधिक गलत तरीके से हस्ताक्षरित किया जाएगा, और अंतिम आवश्यकता, निष्पादन भी विफल हो जाएगा। एक विश्वसनीय निर्देशिका से।

आवश्यकता 3: एक विश्वसनीय निर्देशिका से निष्पादन

विशेषाधिकारों की "स्वचालित" ऊंचाई प्राप्त करने के लिए अंतिम आवश्यकता यह है कि लक्ष्य निष्पादन योग्य एक "विश्वसनीय निर्देशिका" में है, उदाहरण के लिए, "C: \ Windows \ System32"। चित्र 3 दिखाता है कि AIS अपग्रेड अनुरोध के साथ पथ की यह जाँच करता है, जिस स्थिति में "विश्वसनीय" माने जाने वाले पथों में से एक "C: \ Windows \ System32" है।

चित्र 3



इस लेख का शीर्षक "विश्वसनीय निर्देशिकाओं की नकल करके बाईपास उपयोगकर्ता खाता नियंत्रण (यूएसी)" है, इसलिए आप शायद आसानी से अनुमान लगा सकते हैं कि आगे क्या होगा।

यूएसी बाईपास

जैसा कि UAC प्राइमर अनुभाग में पहले उल्लेख किया गया है, ऑटो-विशेषाधिकार (UAC बाईपास) निष्पादन योग्य फ़ाइलों के लिए किया जाएगा:

1. "स्वचालित" विशेषाधिकार वृद्धि प्राप्त करने के लिए कॉन्फ़िगर किया गया है
2. सही ढंग से हस्ताक्षरित
3. विश्वसनीय निर्देशिका से चलाएँ ("C: \ Windows \ System32")

Appinfo.dll (एआईएस) RtlPrefixUnicodeString एपीआई का उपयोग करता है यह जांचने के लिए कि निष्पादन योग्य फ़ाइल पथ "C: \ Windows \ System32 \" में से एक विश्वसनीय निर्देशिकाओं की जांच करता है। यह एक काफी प्रबलित कंक्रीट परीक्षण है, इसकी तुलना विहित फ़ाइल स्थान के साथ की गई है।

इसलिए, इस चेक के बायपास को व्यवस्थित करने के लिए, मैं "C: \ Windows \" नामक एक निर्देशिका बनाता हूं ("विंडोज" के बाद स्थान पर ध्यान दें)। बेशक, इस क्रिया का उपयोग करके आप अभी भी RtlPrefixUnicodeString चेक को पास नहीं कर सकते हैं, और मैं यह भी उल्लेख करूंगा कि यह कुछ हद तक अमान्य (या कम से कम "अमित्र") निर्देशिका नाम है, क्योंकि निर्देशिका बनाने के दौरान विंडोज को नाम के अंत में स्थान जोड़ने की अनुमति नहीं है (प्रयास करें) )।

हालाँकि, CreateDirectory API का उपयोग करके और "\\ जोड़ रहा है?" \ "निर्देशिका नाम जिसे मैं बनाना चाहता हूं, हम इनमें से कुछ नाम फ़िल्टरिंग नियमों को बायपास कर सकते हैं और निर्देशिका को सीधे फाइल सिस्टम में बनाने के लिए अनुरोध भेज सकते हैं।



यह एक असुविधाजनक निर्देशिका के निर्माण की ओर ले जाता है जो फ़ाइल सिस्टम में वास्तविक "सी: \ विंडोज \" के साथ सहवास करती है (जब तक कि आप इसके साथ विंडोज एक्सप्लोरर में कुछ करने की कोशिश नहीं कर रहे हैं)।



अब जब हमारे पास "C: \ Windows \" निर्देशिका है, तो हम इसमें "System32" निर्देशिका बना सकते हैं और हस्ताक्षरित निष्पादन योग्य फ़ाइलों में से एक की प्रतिलिपि बना सकते हैं (जो कि सिस्टम द्वारा "विशेषाधिकारों को स्वचालित रूप से" उन्नत करने की अनुमति दी गई है) "C: \ Windows \ System32 "।
ऐसा करने के लिए, मैंने "winSAT.exe" (सिस्टम द्वारा अनुमत विशेषाधिकारों की "स्वचालित" ऊंचाई के साथ विंडोज निष्पादन योग्य फ़ाइलों की श्वेत सूची में फ़ाइलों में से एक) की नकल की।
जब हम इस फ़ाइल को अपनी नई निर्देशिका "C: \ Windows \ System32 \ winSAT.exe" से चलाने का प्रयास करते हैं, तो यह एक विश्वसनीय निर्देशिका जाँच करने से पहले appinfo.dll में निम्न API (चित्र 6 देखें) के माध्यम से जाएगा। यह महत्वपूर्ण है, और इस वर्कअराउंड की नींव क्यों काम करती है।

चित्र 6



जब किसी स्थान के साथ यह असुविधाजनक पथ विशेषाधिकार वृद्धि का अनुरोध करने के लिए AIS को भेजा जाता है, तो पथ GetLongPathNameW के पास जाता है, जो इसे "C: \ Windows \ System32 \ winSAT.exe" (स्थान हटाया) में परिवर्तित करता है।

बहुत बढ़िया!

अब यह वह रेखा है जहाँ वैध निर्देशिका चेक पास हुआ (RtlPrefixUnicodeString का उपयोग करते हुए) बाकी चेक के लिए।

मेरे समाधान की सुंदरता यह है कि विश्वसनीय निर्देशिका की जांच करने के बाद, इस परिवर्तित पथ को निष्पादित किया जाता है, जिसे तब मुक्त किया जाता है, और शेष चेक (और विशेषाधिकार वृद्धि के लिए अंतिम अनुरोध) निष्पादन योग्य निर्देशिका के मूल नाम (एक अतिरिक्त स्थान के साथ) के साथ किए जाते हैं।

यह आपको अन्य सभी जांचों से गुजरने की अनुमति देता है और विनसमेट की मेरी कॉपी को स्वीकार करने के लिए appinfo.dll का कारण बनता है क्योंकि विशेषाधिकारों की "स्वचालित" ऊंचाई के साथ (चूंकि यह सही ढंग से हस्ताक्षरित है और "विशेषाधिकारों के स्वचालित" के लिए सफेद सूची में जोड़ा गया है)।

वास्तव में दुर्भावनापूर्ण कोड का उपयोग करने के लिए, मैंने स्थानीय dll को खराब करने के लिए अपनी वर्तमान निर्देशिका "C: \ Windows \ System32 \" में नकली WinMM.dll (आयातित winSAT.exe) की नकल की। नीचे दिए गए आंकड़े में पूर्ण अवधारणा देखी जा सकती है।

चित्र 7



→ जीथब से लिंक