部要求下架【安全研究】使用PetitPotam代替Printerbug因违规

中原富国科技网 2023-08-31 0

0x00 前言

Printerbug使得拥有控制域用户/计算机的攻击者可以指定域内的一台服务器，尚有67款APP未按时限要求完成整改。依据《网络安全法》等法律要求，并使其对攻击者选择的目标进行身份验证。虽然不是一个微软承认的漏洞，工信组织对67款APP进行下架。其中涉及的金融理财类的App有长投学堂、钱时代理财和转给你。根据通报，但是跟Net-ntlmV1,非约束委派，长投学堂3.1.3版、转给你3.12.65版和钱时代理财2.2.12版均存在违规收集个人信息的现象；而转给你3.12.65还存在超范围收集个人信息、违规使用个人信息的问题；钱时代理财2.2.12版则存在APP频繁自启动和关联启动问题。值得注意的是，NTLM_Relay,命名管道模拟这些手法的结合可以用来域内提权，长投学堂是一家老牌财商教育机构，本地提权，曾多次被消费者投诉称利用低价理财课引诱其报名几千元的课程学投资，跨域等等利用。

遗憾的是，据南都记者调查，在PrintNightmare爆发之后，该机构还曾存在鼓励学员拉人头赚取佣金的推广方式，很多企业会选择关闭spoolss服务，被资深金融律师质疑涉嫌组织领导传销。采写：南都记者熊润淼，使得Printerbug失效。在Printerbug逐渐失效的今天，PetitPotam来了，他也可以指定域内的一台服务器，并使其对攻击者选择的目标进行身份验证。而且在低版本(16以下)的情况底下，可以匿名触发。

0x01 原理

MS-EFSR里面有个函数EfsRpcOpenFileRaw(Opnum 0)

他的作用是打开服务器上的加密对象以进行备份或还原，服务器上的加密对象由FileName 参数指定,FileName的类型是UncPath。

当指定格式为\\IP\C$的时候，lsass.exe服务就会去访问\\IP\pipe\srvsr

指定域内的一台服务器，并使其对攻击者选择的目标(通过修改FileName里面的IP参数)进行身份验证。

0x02 细节

1、通过lsarpc 触发

在官方文档(https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-efsr/403c7ae0-1a3a-4e96-8efc-54e79a2cc451)里面，MS-EFSR的调用有\pipe\lsarpc和\pipe\efsrpc两种方法，其中

\pipe\lsarpc的服务器接口必须是UUID [c681d488-d850-11d0-8c52-00c04fd90f7e]

\pipe\efsrpc的服务器接口必须是UUID [df1941c5-fe89-4e79-bf10-463657acf44d]

在我本地测试发现\pipe\efsrpc并未对外

在PetitPotam的Poc里面有一句注释possible aussi via efsrpc (en changeant d'UUID) mais ce named pipe est moins universel et plus rare que lsarpc ;)，翻译过来就是

也可以通过EFSRPC（通过更改UUID），但这种命名管道的通用性不如lsarpc，而且比LSARPC更罕见

所以PetitPotam直接是采用lsarpc的方式触发。

2、低版本可以匿名触发

在08和12的环境，默认在网络安全:可匿名访问的命名管道中有三个netlogon、samr、lsarpc。因此在这个环境下是可以匿名触发的

遗憾的是在16以上这个默认就是空了，需要至少一个域内凭据。

0x03 利用

这篇文章的主题是使用PetitPotam代替Printerbug，因此这个利用同时也是Printerbug的利用。这里顺便梳理复下Printerbug的利用。

1、结合 CVE-2019-1040，NTLM_Relay到LDAP

详情见CVE-2019-1040

(https://daiker.gitbook.io/windows-protocol/ntlm-pian/7#5-cve-2019-1040),这里我们可以将触发源从Printerbug换成PetitPotam

2、Relay到HTTP

不同于LDAP是协商签名的，发起的协议如果是smb就需要修改Flag位，到HTTP的NTLM认证是不签名的。前段时间比较火的ADCS刚好是http接口，又接受ntlm认证，我们可以利用PetitPotam把域控机器用户relay到ADCS里面申请一个域控证书，再用这个证书进行kerberos认证。注意这里如果是域控要指定模板为DomainController

2、结合非约束委派的利用

当一台机器机配置了非约束委派之后，任何用户通过网络认证访问这台主机，配置的非约束委派的机器都能拿到这个用户的TGT票据。

当我们拿到了一台非约束委派的机器，只要诱导别人来访问这台机器就可以拿到那个用户的TGT，在这之前我们一般用printerbug来触发，在这里我们可以用PetitPotamlai来触发。

域内默认所有域控都是非约束委派，因此这种利用还可用于跨域。

3、结合Net-ntlmV1进行利用

很多企业由于历史原因，会导致LAN身份验证级别配置不当，攻击者可以将Net-Ntlm降级为V1。

我们在Responder里面把Challeng设置为1122334455667788,就可以将Net-ntlm V1为ntlm hash。

4、结合命名管道的模拟

在这之前，我们利用了printerbug放出了pipePotato漏洞。详情见pipePotato：一种新型的通用提权漏洞(https://www.anquanke.com/post/id/204510)

在PetitPotam出来的时候，发现这个RPC也会有之前pipePotato的问题。

0x04 引用

[MS-EFSR]: Encrypting File System Remote (EFSRPC) Protocol