CVE-2022-22718:Windows Print Spooler提权

最新推荐文章于 2023-04-23 11:53:26 发布
原创 最新推荐文章于 2023-04-23 11:53:26 发布 · 672 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#windows #microsoft #服务器 #权限提升

影响范围

  • Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

  • Windows Server 2008 for x64-based Systems Service Pack 2

  • Windows 7 for 32-bit Systems Service Pack 1

  • Windows Server 2016 (Server Core installation)

  • Windows Server 2016

  • Windows 10 Version 1607 for x64-based Systems

  • Windows 10 Version 1607 for 32-bit Systems

  • Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

  • Windows Server 2008 for 32-bit Systems Service Pack 2

  • Windows RT 8.1

  • Windows 8.1 for x64-based systems

  • Windows 8.1 for 32-bit systems

  • Windows 7 for x64-based Systems Service Pack 1

  • Windows 10 for x64-based Systems

  • Windows 10 for 32-bit Systems

  • Windows 10 Version 21H2 for x64-based Systems

  • Windows 10 Version 21H1 for x64-based Systems

  • Windows 10 Version 1909 for ARM64-based Systems

  • Windows 10 Version 1909 for x64-based Systems

  • Windows 10 Version 1909 for 32-bit Systems

  • Windows Server 2012 R2 (Server Core installation)

  • Windows Server 2012 R2

  • Windows Server 2012 (Server Core installation)

  • Windows Server 2012

  • Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

  • Windows Server 2008 R2 for x64-based Systems Service Pack 1

  • Windows 10 Version 21H2 for ARM64-based Systems

  • Windows 10 Version 21H2 for 32-bit Systems

  • Windows 11 for ARM64-based Systems

  • Windows 11 for x64-based Systems

  • Windows Server, version 20H2 (Server Core Installation)

  • Windows 10 Version 20H2 for ARM64-based Systems

  • Windows 10 Version 20H2 for 32-bit Systems

  • Windows 10 Version 20H2 for x64-based Systems

  • Windows Server 2022 Azure Edition Core Hotpatch

  • Windows Server 2022 (Server Core installation)

  • Windows Server 2022

  • Windows 10 Version 21H1 for 32-bit Systems

  • Windows 10 Version 21H1 for ARM64-based Systems

  • Windows Server 2019 (Server Core installation)

  • Windows Server 2019

  • Windows 10 Version 1809 for ARM64-based Systems

  • Windows 10 Version 1809 for x64-based Systems

  • Windows 10 Version 1809 for 32-bit Systems

漏洞类型

本地权限提升

利用条件

影响范围应用

漏洞概述

2022年02月09日，微软发布了安全更新，修复了48个安全漏洞(不包括22个Microsoft Edge漏洞)，其中CVE-2022-22718为Windows后台打印程序特权提升漏洞，CVSS评分7.7

漏洞复现

使用说明：

PS C:\SpoolFool> .\SpoolFool.exe
SpoolFool  By Oliver Lyak (@ly4k_)
Examples:  C:\SpoolFool\SpoolFool.exe -dll add_user.dll  C:\SpoolFool\SpoolFool.exe -dll add_user.dll -printer 'My Printer'  C:\SpoolFool\SpoolFool.exe -dll add_user.dll -dir 'SECRET'  C:\SpoolFool\SpoolFool.exe -dll add_user.dll -printer 'My Printer' -dir 'SECRET'

powershell：​​​​​​​

PS C:\SpoolFool> ipmo .\SpoolFool.ps1PS C:\SpoolFool> Invoke-SpoolFool
SpoolFool  By Oliver Lyak (@ly4k_)
Examples:   -dll add_user.dll   -dll add_user.dll -printer 'My Printer'   -dll add_user.dll -dir 'SECRET'   -dll add_user.dll -printer 'My Printer' -dir 'SECRET'

安全建议

升级到最新版本~

后台回复"Print Spooler"，获取POC
后台回复"Print Spooler"，获取POC
后台回复"Print Spooler"，获取POC

 

CVE-2022-21999 Windows Print Spooler(打印服务)特权提升漏洞
李火火的安全圈
03-19 6753
文章目录一、Print Spooler 简介二、漏洞简介三、影响版本四、本地复现五、漏洞修复 一、Print Spooler 简介 Print Spooler是打印后台处理服务，即管理所有本地和⽹络打印队列及控制所有打印⼯作。如果此服务被停⽤，本地计算机上的打印将不可⽤。如果此服务被禁⽤，任何依赖于它的服务将⽆法启⽤，被⼴泛应⽤于本地和内⽹中！ 二、漏洞简介 2021年6⽉29⽇，安全研究⼈员在GitHub上公开了CVE-2021-1675 Windows Print Spooler远程代码执⾏漏洞的Po
CVE-2021-1675 Windows Print Spooler 域内提权漏洞记录
small_cat's home
12-19 308
记录CVE-2021-1675的复现过程
Spool Print Fool（CVE-2022-21999 ）提权漏洞
IerkeU的博客
03-19 959
程序介绍 Spooler（打印后台处理服务）的进程名是spoolsv.exe，WinXP Home/PRO默认安装的启动类型是自动，依赖于Remote Procedure Call。Spooler是为了提高文件打印效率，将多个请求打印的文档统一进行保存和管理，先将要打印的文件拷贝到内存，待打印机空闲后，再将数据送往打印机处理。这样处理速度更快些。建议将其设置为手动，有打印任务时再打开。 打印机程序无论是个人机还是服务器都是默认启动！！！（该漏洞利用应在所有Windows桌面版本上工作）
CVE-2021-1675 Print Spooler漏洞复现远程执行及提权
m0_55937801的博客
04-09 5447
CVE-2021-1675
CVE-2022-21882 分析&POC
qq_41252520的博客
04-29 2598
0x0 漏洞描述 该漏洞的成因和CVE-2021-1732类似，如果不了解，请先阅读我之前的分析：https://blog.youkuaiyun.com/qq_41252520/article/details/119349398 主要因为xxxClientAllocExtraBytesFunc\textcolor{cornflowerblue}{xxxClientAllocExtraBytesFunc}xxxClientAllocExtraBytesFunc函数会回调用户空间中的 user32!_xxxClientA
CVE-2022–26923漏洞分析
阿道夫的博客
01-31 1362
本次漏洞产生的主要原因是计算机账户关键属性的ACL设置问题和ADCS检查客户端身份不严格导致，结合之前的samAccountName欺骗漏洞，AD域中涉及身份认证标识的问题不止一次，微软在AD域中不用具有唯一性的自动编号字段SID而是其他字段作为身份认证标识在安全方面着实欠妥。本次漏洞利用简单，流量特征不明显难以检测，同时获取的AD域证书有效时间长，因此对于AD域的提权和权限维持都有很高的利用价值。一次，微软在AD域中不用具有唯一性的自动编号字段SID而是其他字段作为身份认证标识在安全方面着实欠妥。
CVE-2022-26937 Windows NFS 栈溢出漏洞分析
顶峰
01-31 735
运维
Windows Print Spooler服务最新漏洞CVE-2021-34527详细分析
HBohan的博客
07-19 1673
近日，有安全研究员在github上公开了”CVE-2021-1675”的exp PrintNightmare，后经验证公开的exp是一个与CVE-2021-1675不同的漏洞，微软为其分配了新的编号CVE-2021-34527。这篇文章记录了CVE-2021-34527的复现过程，并对漏洞成因进行了简单的分析。 漏洞复现 【学习网络安全但不知道怎么开始的来call me】 ​ 这里记录域控环境下使用普通权限域账户实现RCE反弹nt authority\system shell的过程。下面的漏洞复现和漏洞分.
CVE-2021-1675 Windows Print Spooler权限提升漏洞复现
m0_56642842的博客
07-26 3450
0x00 简介 微软6月发布的安全更新补丁中包括了一个Windows Print Spooler权限提升漏洞，漏洞CVE编号：CVE-2021-1675。未经身份验证的远程攻击者可利用该漏洞以SYSTEM权限在域控制器上执行任意代码，从而获得整个域的控制权。建议受影响用户及时更新漏洞补丁进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。 0x01 漏洞概述 Print Spooler是Windows系统中管理打印相关事务的服务，用于管理所有本地和网络打印队列并控制所有打印工作。Windows系统默认开启
CVE-2022-40871 Dolibarr任意添加管理员与RCE漏洞分析
渗透测试研究中心
11-14 3519
0x01 漏洞简介 Dolibarr ERP & CRM <=15.0.3 is vulnerable to Eval injection. By default, any administrator can be added to the installation page of dolibarr, and if successfully added, malicious co...
免杀方法（二）printspoofer
qq_56426046的博客
10-03 774
Vindows10和Windows Service20l6/2019提权工具，现在主流的提供工具之一，360安全会自动查杀，其他杀毒软件并不会查杀，往后可能更多的防护软件会对其进行拦截查杀。对其进行源码免杀，首先下载源码https://github.com/whojeff/PrintSpoofer。-———————————————————我不敢去，但必须去，有些事是必须要做的逃避不了。1.github下载源码压缩包解压，vs2019打开。用vs2019选择release x64编译。
【春秋云境】CVE-2022-28512
ZXW_NUDT的博客
02-22 2482
【春秋云境】CVE-2022-28512
Cisco RV340命令执行漏洞（CVE-2022-20707）及关联历史漏洞分析
Jinmindong
01-29 671
本篇文章主要是对Cisco RV340命令执行漏洞(CVE-2022-20707)进行的研究分析，尽管利用此漏洞需要身份验证，但可以通过CVE-2022-20705绕过现有的身份验证机制实现无条件的命令执行。历史相关的漏洞还包括：CVE-2020-3451、CVE-2021-1473、CVE-2021-1472，我们会逐一进行分析。可在Cisco官网下载到固件：https://software.cisco.com/download/home/286287791/type/282465789/release/
Bitbucket Server and Data Center命令注入漏洞(CVE-2022-43781)
include_voidmain的博客
12-28 904
跟进看一下命令在哪里执行的以及环境变量用来干什么,在RemoteUserNioProcessConfigurer中的configure方法成功命中断点，这里发现已经传入了git命令，但是漏洞描述说的是使用用户名环境变量造成的注入，所以只需关注环境变量部分。这个函数是\com\atlassian\bitbucket\internal\-process\NioProcessParameters.java中新增的，其中调用的函数对key进行了非空判断，对key和valve都进行了空字节的检测。
CVE-2022-42889 Apache Commons Text 漏洞
王嘟嘟的博客
02-28 1195
所幸遇到，就简单看看，其中没有啥比较难的地方，仅做记录。10月13日的漏洞。
Windows 权限提升：PrintNightmare
weixin_46634434的博客
02-23 737
介绍 自从 Stuxnet 蠕虫利用 print spooler 的特权升级漏洞通过网络在伊朗的核浓缩离心机中传播并感染了 45000 多个网络以来，Print Spooler 就一直受到研究人员的关注。PrintNightmare 是 Microsoft Windows 操作系统中 Print Spooler 服务 (spoolsv.exe) 中远程代码执行漏洞的通用名称。该漏洞被分配了 CVE-2021-34527。最初，它被认为是本地权限提升 (LPE) 并分配了 CVE-2021-1675。LPE
vluhub漏洞复现笔记：CVE-2022-22965：Spring Framework
weixin_46497491的博客
02-09 697
vluhub漏洞复现笔记：CVE-2022-22965：Spring Framework
Microsoft Office （CVE-2017-11882、CVE-2022-30190） 漏洞复现
oiadkt的博客
04-23 937
Microsoft Office （CVE-2017-11882、CVE-2022-30190） 漏洞复现
CVE-2022-24329
最新发布
04-01
### CVE-2022-24329 安全漏洞概述 CVE-2022-24329 是一个影响 Windows 操作系统的远程代码执行 (RCE) 漏洞。该漏洞存在于 Microsoft 的 Print Spooler 组件中，允许经过身份验证的攻击者通过精心设计的打印作业触发此漏洞并执行任意代码[^6]。 #### 影响范围 受影响的产品版本包括但不限于以下操作系统： - Windows 10 所有支持的版本 - Windows Server, version 20H2 和更高版本 #### 漏洞成因 该漏洞的根本原因在于 Print Spooler 服务未能正确验证输入数据的安全性。当处理特定类型的打印请求时，Print Spooler 可能会访问未初始化或错误配置的数据结构，从而导致内存损坏问题[^7]。 #### 攻击向量 攻击者可以通过提交恶意构建的打印作业到目标系统上的 Print Spooler 服务来利用此漏洞。一旦成功利用，攻击者可以在 SYSTEM 权限下运行命令，完全控制受害者的计算机。 --- ### 修复方案与缓解措施 为了防止潜在的攻击行为，建议采取以下补救措施： #### 更新补丁程序 Microsoft 已发布针对 CVE-2022-24329 的官方安全更新。管理员应立即部署最新的累积更新包以解决此漏洞[^8]。具体操作如下： 1. 访问微软官网下载适用于对应平台的操作系统补丁。 2. 使用 `Windows Update` 自动检测可用更新，并完成安装过程。 #### 替代解决方案 如果无法及时应用上述补丁，则可以考虑启用内置防火墙规则阻止外部连接至 RPC Endpoint Mapper（端口 135），以此降低被攻击的风险水平[^9]: ```powershell New-NetFirewallRule -DisplayName "Block TCP Port 135" -Direction Inbound -LocalPort 135 -Protocol TCP -Action Block ``` 此外还可以禁用不必要的打印机功能模块作为临时应对策略之一： ```cmd sc config spooler start= disabled net stop spooler ``` 以上脚本分别用于修改启动类型以及停止当前正在运行的服务实例。 --- ### 技术细节补充说明 值得注意的是，在某些复杂场景下可能还需要额外调整注册表项或者重新编译源码等方式彻底消除隐患。然而这些高级手段通常仅适合具备深厚专业知识背景的技术人员实施。 对于企业级用户而言，除了常规性的打补丁之外，还应当建立健全的日志审计机制以便快速响应任何异常活动迹象；同时加强内部网络安全意识培训教育工作亦非常重要。 ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

FLy_鹏程万里

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值