安全专家研发NoFilter工具,3种攻击方式获取Win10/Win11
,安全研究人员近日研发了名为 NoFilter 的工具,通过滥用 Windows 筛选平台,可以将用户权限提升到 SYSTEM 级别(Windows 上的最高权限级别)。
IT之家注:Windows 筛选平台 是一组 API 和系统服务,提供用于创建网络筛选应用程序的平台。
WFP API 允许开发人员编写与在操作系统网络堆栈中的多个层发生的数据包处理进行交互的代码,可以在网络数据到达目标之前对其进行筛选和修改。
网络安全公司 Deep Instinct 的研究人员开发了三种新的攻击方法,在不留下太多痕迹、且不会被主流安全产品检测到的情况下,提升用户在 Windows 设备上的权限。
第一种方式使用 WFP 来复制访问令牌,通过调用 NtQueryInformationProcess 函数获取访问令牌,然后再复制到要执行的任务中。
第二种技术涉及触发 IPSec 连接并滥用 Print Spooler 服务,然后将 SYSTEM 令牌插入到表中。
该工具使用 RpcOpenPrinter 函数按名称检索打印机的-handle。通过将名称更改为“\127.0.0.1”,服务将连接到本地主机。
调用 RPC 之后,检索 WfpAleQueryTokenById 的多个设备 IO 请求,从而获取 SYSTEM 令牌。
第三种技术获得登录到受损系统的另一个用户的令牌,操纵用户服务。
研究人员表示,如果可以将访问令牌添加到哈希表中,则可以使用登录用户的权限启动进程。
他查找以登录用户身份运行的远程过程调用服务器,并运行一个脚本来查找以域管理员身份运行的进程,并公开一个 RPC 接口。
研究人员滥用了 OneSyncSvc 服务和 SyncController.dll,从而使用登录用户的权限启动任意进程。
广告声明:文内含有的对外跳转链接,用于传递更多信息,节省甄选时间,结果仅供参考,IT之家所有文章均包含本声明。
声明:本网转发此文章,旨在为读者提供更多信息资讯,所涉内容不构成投资、消费建议。文章事实如有疑问,请与有关方核实,文章观点非本网观点,仅供读者参考。
推荐阅读
-
摩尔线程发布显卡Windows驱动v230.40:正式支持Dir...
,摩尔线程今日正式发布支持DirectX11的Windows驱动程序,版本号... -
微软Win10八月可选更新引入WindowsBackup应用,整...
,根据国外科技媒体BleepingComputer报道,微软Win10设备在... -
避免用户困惑,苹果通过Siri向用户解释AirPodsPro2耳...
,苹果在最新的iOS17测试版中,为AirPodsPro2增加了一项新功能:... -
科技昨夜今晨0823:Arm正式递交IPO申请、京东PLUS会员...
“科技昨夜今晨”时间,大家好,现在是2023年8月23日星期三,今天的重要科... -
云鲸扫拖机器人J4体验:滚刷0缠绕+机器轻集尘7800Pa飓风吸...
家庭卫生清洁是每个人都无法回避的事情,而近年来兴起的智能扫拖机器人成为当代年... -
石头P10Pro自清洁扫拖机器人官宣28日发布,可60℃热水复洗...
,石头科技今日宣布,将于8月28日推出一款石头P10Pro自清洁扫拖机器人,... -
安踏半年营收逼近300亿,“现金奶牛”FILA重回增长,始祖鸟母...
安踏继续稳坐国内运动鞋服行业头把交椅。 8月22日,安踏体育发布2023年... -
比亚迪汉DM-i冠军版121km精英型车型即将开启批量交付,18...
感谢IT之家网友雨雪载途的线索投递! ,比亚迪在今年5月推出了汉DM-i冠... -
《使命召唤:现代战争III2023》单人战役模式实机演示公布,1...
,在今日的2023科隆游戏展开幕典礼上,官方公布了《使命召唤:现代战争III... -
期市更好服务钢铁、煤焦产业高质量发展...
钢铁、煤焦作为我国重要的基础产业,也是大商所衍生品体系的重要板块,在推动国家... -
首届中国牛交易大会举行...
首届中国牛交易大会23日在内蒙古兴安盟科尔沁右翼中旗开幕。本届大会以“做大做... -
印度“月船3号”探测器今日晚间将尝试登陆月球,有望成为第四个在月...
感谢IT之家网友软媒用户1520111的线索投递! ,印度“月船3号”探测...