看我如何利用sdclt.exe实现无文件绕过UAC

r囧r小猫 2022-06-02 05:38 363阅读 0赞

**原文地址：[https://enigma0x3.net/2017/03/17/fileless-uac-bypass-using-sdclt-exe/][https_enigma0x3.net_2017_03_17_fileless-uac-bypass-using-sdclt-exe]**

**0x00 前言**

最近，我发布了一篇文章“[使用sdclt.exe绕过UAC][sdclt.exe_UAC]”。你可能记得APP Path需要一个文件才能有效。因为sdclt.exe在那里，我将发布另一种绕过的方法，是无文件的。在我[上一篇文章][sdclt.exe_UAC]中我提过它，但是[Vault7 泄漏][Vault7]确认了绕过UAC在操作上是有趣的，在转储中详细记录了几种UAC绕过的方法。目前为止公布的绕过方法中，尤其突出的是[@hfiref0x][hfiref0x]的[UACME项目][UACME]，该项目是对公开的技术的集合。

在更新版本的Windows中，显示了微软[很重视绕过UAC][UAC]。这刺激了我花更多的时间在UAC上，且尝试不同的方法。

**0x01 分析**

正如一些你知道的，有一些微软签名的二进制文件由于他们的清单文件会自动提权。你能在[这里][Link 1]阅读到这些二进制和他们的清单文件。通过SysInternals的工具[sigcheck][]能搜索更多有这种特征的二进制文件，我发现了sdclt.exe，并验证了它会由于它的清单文件自动提权：

![http://p6.qhimg.com/t01c26b1c53bf3d29e6.png][http_p6.qhimg.com_t01c26b1c53bf3d29e6.png]

注意：这只能在Windows10上起作用。这个Windows 7上的sdclt.exe的清单文件中requestedExecutionLevel为AsInvoker，以防止从中级特权启动时的自动提权。

正如我[上文][sdclt.exe_UAC]中提到的，用于调查Windows上的加载常见的技术是使用[Sysinternals Process Monitor][]来分析一个进程执行时的行为。我经常对与我调查的进程做一些二进制分析以便找到其他的机会。

当分析自动提权的二进制时，首先该做的是寻找潜在的命令行参数。我是用IDA做这个，但是你能使用你喜欢的工具。当分析sdclt.exe时，由于一些有趣的关键字我注意到一些参数：

![http://p3.qhimg.com/t0115a6325c5c0257b8.png][http_p3.qhimg.com_t0115a6325c5c0257b8.png]

这些是有趣的，因为sdclt.exe在它的清单文件中被设置为自动提权。在IDA中查看sdclt.exe，它校验参数是否为“/kickoffelev”。如果是，设置sdclt.exe的全路径，添加“/KickOffJob”作为一个参数，然后调用SxShellExcuteWithElevate。

![http://p2.qhimg.com/t01e718712a343548ca.png][http_p2.qhimg.com_t01e718712a343548ca.png]

SxShellExecuteWithElevate使用Runas [verb][]启动%systemroot%\\system32\\sdclt.exe /kickoffjob。当你右键一个二进制文件时，就是执行RunAsAdministrator选项。

![http://p6.qhimg.com/t014b5044a7e144980e.png][http_p6.qhimg.com_t014b5044a7e144980e.png]

下一步是运行sdclt.exe /Kickoffelev，并用procmon监控。在得到输出后，我们看到HKEY\_CURRENT\_USER中受信的“shell<verb>command”注册表搜索路径。

![http://p6.qhimg.com/t0154543534791ab950.png][http_p6.qhimg.com_t0154543534791ab950.png]

下一步是添加这些键，并根据我们的二进制和参数执行。不幸的是，在添加这些键后什么也不执行，并启动了sdclt.exe /kickoffelev。回到procmon中，我们的键是需要的，但是sdclt.exe能在另一个command键中找到：IsolatedCommand。

![http://p3.qhimg.com/t01ea11cb806911300f.png][http_p3.qhimg.com_t01ea11cb806911300f.png]

然后我们能在IsolatedCommand键中以一个字符串（REG\_SZ）添加我们的payload和参数：

![http://p1.qhimg.com/t016b2f3cc30a8cc08c.png][http_p1.qhimg.com_t016b2f3cc30a8cc08c.png]

这是和eventvwr.exe绕过方法中相同的bug。你能在这阅读eventvwr.exe绕过和使用的键。注意，取代shellopencommand，我们现在看到了shellrunascommand。这是因为使用RunAs调用SxShellExecuteWithElevate时sdclt.exe会被再次调用。

在添加我们的payload作为IsolatedCommand的值后，运行sdclt.exe /KickOffElev将在高特权级执行我们的payload（及任何参数）：

![http://p3.qhimg.com/t01ccd333346bf8bd9d.png][http_p3.qhimg.com_t01ccd333346bf8bd9d.png]

为了描述这个技术，你能在这里找到一个脚本：[https://github.com/enigma0x3/Misc-PowerShell-Stuff/blob/master/Invoke-SDCLTBypass.ps1][https_github.com_enigma0x3_Misc-PowerShell-Stuff_blob_master_Invoke-SDCLTBypass.ps1]

这个脚本包含你的payload和任何参数的一个全路径。“C:Windows\\System32\\cmd.exe /c notepad.exe”是一种好的验证方式。它将自动添加键，启动sdclt.exe /kickoffelev，并清理。

这个特别的技术能通过设置UAC等级为总是通知或者将当前用户移出本地管理员组来补救或修复。而且，如果你想监控这个行为，你能利用特征寻找和注册表操作告警：

HKCU:Software\Classes\exefile\shell\runas\command\isolatedCommand

[https_enigma0x3.net_2017_03_17_fileless-uac-bypass-using-sdclt-exe]: https://enigma0x3.net/2017/03/17/fileless-uac-bypass-using-sdclt-exe/
[sdclt.exe_UAC]: https://enigma0x3.net/2017/03/14/bypassing-uac-using-app-paths/
[Vault7]: https://wikileaks.org/ciav7p1/cms/page_3375231.html
[hfiref0x]: https://twitter.com/hfiref0x
[UACME]: https://github.com/hfiref0x/UACME
[UAC]: http://www.winhelponline.com/blog/microsoft-fixes-eventvwr-exe-uac-bypass-exploit-windows-10-creators-update/
[Link 1]: https://technet.microsoft.com/en-us/magazine/2009.07.uac.aspx
[sigcheck]: https://technet.microsoft.com/en-us/sysinternals/bb897441.aspx
[http_p6.qhimg.com_t01c26b1c53bf3d29e6.png]: /images/20220602/7db4d7182b774d7f818d31e2cdcb84e1.png
[Sysinternals Process Monitor]: https://live.sysinternals.com/
[http_p3.qhimg.com_t0115a6325c5c0257b8.png]: /images/20220602/3c9105af63ef483eb5d85d184ce3e3ea.png
[http_p2.qhimg.com_t01e718712a343548ca.png]: /images/20220602/384984bb48ec4288ace2990ce89c8195.png
[verb]: https://msdn.microsoft.com/en-us/library/windows/desktop/cc144175%28v=vs.85%29.aspx
[http_p6.qhimg.com_t014b5044a7e144980e.png]: /images/20220602/842ff93d3d8a4513ae9c53b8da26d022.png
[http_p6.qhimg.com_t0154543534791ab950.png]: /images/20220602/aa2919a256824d019d53a578f6059cf9.png
[http_p3.qhimg.com_t01ea11cb806911300f.png]: /images/20220602/9a8a506d52df49a7a081b961bb6b6920.png
[http_p1.qhimg.com_t016b2f3cc30a8cc08c.png]: /images/20220602/f291383193c74b79a106e6d4fc299c15.png
[http_p3.qhimg.com_t01ccd333346bf8bd9d.png]: /images/20220602/7f10873149d4470a95f8897eff0dcf35.png
[https_github.com_enigma0x3_Misc-PowerShell-Stuff_blob_master_Invoke-SDCLTBypass.ps1]: https://github.com/enigma0x3/Misc-PowerShell-Stuff/blob/master/Invoke-SDCLTBypass.ps1