通过第三方 Windows 安装程序升级权限

asmani000

想象一下：您终于突破了高度安全的组织的边界。您对自己感到非常满意，直到您意识到自己只拥有新聘实习生的 Active Directory 权限，兴奋感逐渐消失。然而，凭借一些狡猾的技巧和一点运气，你也许能够爬上公司的阶梯并晋升到系统。欢迎来到特权升级的高风险游戏！

对于红队成员来说，权限提升攻击有两种形式：域权限提升和本地权限提升。域权限升级攻击主要针对 Active Directory 或云错误配置和漏洞的利用。此类攻 B2B 电子邮件列表 击包括 Kerberoasting、文件共享枚举和臭名昭著的 Zerologon ( CVE-2020-1472 ) 漏洞。鉴于现代网络中 Active Directory 错误配置的普遍存在，域权限升级攻击是红队成员在内部网络中获得立足点后首先要寻找的东西之一。但是，当传统的域升级失败时会发生什么？作为红队成员，通常唯一的出路是在本地进行升级，有时这可能需要后退几步并研究这些升级漏洞。

本地权限提升攻击的重点是将系统上的标准用户权限提升为本地管理员权限。此类攻击可能包括利用不安全的服务权限或不安全的文件权限。与域权限升级攻击不同，许多红队成员忽视了本地权限升级攻击。这是因为域权限升级路径通常更有效且更容易利用。然而，对本地系统的成功利用可能会在域级别引发更严重的攻击。对Microsoft系统中心配置管理器 (SCCM) 网络访问帐户的Active Directory 证书服务 (AD CS) 错误配置和凭据恢复的研究已经证明了这一点（NAA）。毕竟，这是互联网，一切都是互联的。

在这篇博文中，我们将分享 Mandiant 的红队如何研究和利用第三方 Windows 安装程序中的零日漏洞、软件开发人员应该采取哪些措施来降低利用风险，并介绍一种新工具来简化缓存的 Microsoft 软件安装程序的枚举(MSI) 文件：msi_search。

微软软件安装程序背景
MSI 文件是数据库文件，包含在 Windows 操作系统上安装和卸载软件的数据和说明。组织通常使用 MSI 文件作为其标准化格式，这使得管理软件的安装、维护和删除变得容易。MSI 文件还为软件开发人员提供了灵活性，允许他们在安装、删除或修复过程中通过自定义操作执行附加代码。这些操作使开发人员能够自定义安装过程并根据需要执行特定任务。



使用 MSI 文件安装软件时，WindowsC:\Windows\Installer使用随机文件名（由字母数字字符后展名组成）将它们缓存在文件夹中。这允许标准用户访问和使用“修复”功能，该功能旨在解决各种问题，例如丢失文件、损坏的快捷方式、不正确的注册表项和其他软件故障。在 MSI 修复期间，即使是由标准用户启动，也 可能会从上下文触发多个操作，例如文件创建或执行。NT AUTHORITY\SYSTEM

潜在的滥用行为
NT AUTHORITY\SYSTEM如果管理不当，从上下文启动操作的能力可能会带来潜在的安全风险。例如，攻击者可以利用配置错误的自定义操作来执行本地权限提升攻击。一种特殊的错误配置涉及在标准用户具有写入权限的文件夹中执行文件操作。