2023年重磅域权限提升漏洞(PetitPotam)

Ancillary Function Driver for WinSock (简称afd) 是 Windows系统网络部分的核心工具，Windows中所有socket文件的操作都是通过afd来完成的，例如创建、销毁、读写等。由于应用程序没有正确地在 Windows Ancillary Function Driver for WinSock中施加安全限制，从而导致本地攻击者绕过安全限制，将权限提升至SYSTEM。

该漏洞是一个权限提升漏洞，经过身份认证的本地攻击者可通过在目标系统上运行特制程序利用此漏洞来获得 SYSTEM 权限。攻击者可通过使用PetitPotam工具，在受害主机上运行特定可执行程序并对普通用户权限提升至 nt authority system ，进而执行其他操作。

etitPotam 使用 MS-EFSR(远程加密文件系统)，这是一种用于对远程存储和通过网络访问的加密数据执行维护和管理操作的协议。有一系列类似于EfsRpcOpenFileRawMS-EFSR中的API。API的语法 EfsRpcOpenFileRaw 如下所示：

long EfsRpcOpenFileRaw(   [in] handle_t binding_h,   [out] PEXIMPORT_CONTEXT_HANDLE* hContext,   [in, string] wchar_t* FileName,   [in] long Flags);

此类API可以通过FileName参数指定UNC路径，以打开服务器上的加密对象以进行备份和还原。当指定格式的路径时，lsass.exe服务将以账户\IPpipesrvsvc权限访问 NT AUTHORITY SYSTEM。

如果我们可以调用EfsRpcOpenFileRawAPI强制本地计算机连接我们创建的恶意命名管道，那么我们就可以模拟命名管道客户端进程并最终获得 SYSTEM权限。

影响范围

测试环境为Windows Server 2022 Standard 21H2系统，‍‍使用编译好的程序进行验证，将当前权限提升为system权限。

Windows系统默认启用 Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

手动安装补丁

对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的安全补丁并安装：https://msrc.microsoft.com/update-guide/zh-CN/vulnerability/CVE-2023-21768

PetitPotam

由于相关补丁的限制，PetitPotam 不适用于较新版本的 Windows。但是，在调用 EFS 之前将 AuthnLevel 设置为RPC_C_AUTHN_LEVEL_PKT_PRIVACYviaRpcBindingSetAuthInfoW在最新系统上有效。‍

关注公众号，回复【CVE-2023-21768】获取漏洞利用工具（该工具仅限用于技术研究学习）‍‍

-=[感·谢·阅·读]=-