使用PetitPotam代替Printerbug

原创

于 2021-08-19 17:56:41 发布 · 484 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#windows

本文介绍了PetitPotam，一种新的利用方式，可以替代Printerbug。PetitPotam通过lsarpc调用EfsRpcOpenFileRaw函数，使攻击者能指定域内服务器进行身份验证。在Windows低版本中，甚至可以匿名触发。文章详细讲解了其原理、触发细节以及多种利用场景，如NTLM Relay到LDAP、HTTP和非约束委派的利用，还提及了PetitPotam与Net-ntlmV1结合的可能性。

使用PetitPotam代替Printerbug

上帝关了一扇, 必定会再为你打开另一扇窗

0x00 前言

Printerbug使得拥有控制域用户/计算机的攻击者可以指定域内的一台服务器，并使其对攻击者选择的目标进行身份验证。虽然不是一个微软承认的漏洞，但是跟Net-ntlmV1,非约束委派，NTLM_Relay,命名管道模拟这些手法的结合可以用来域内提权，本地提权，跨域等等利用。

遗憾的是，在PrintNightmare爆发之后，很多企业会选择关闭spoolss服务，使得Printerbug失效。在Printerbug逐渐失效的今天，PetitPotam来了，他也可以指定域内的一台服务器，并使其对攻击者选择的目标进行身份验证。而且在低版本(16以下)的情况底下，可以匿名触发。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-hkvzkZo0-1629360463010)(imgaes/用PetitPotam代替Printerbug/image-20210723133443732.png)]

0x01 原理

MS-EFSR里面有个函数EfsRpcOpenFileRaw(Opnum 0)

long EfsRpcOpenFileRaw(
   [in] handle_t binding_h,
   [out] PEXIMPORT_CONTEXT_HANDLE* hContext,
   [in, string] wchar_t* FileName,
   [in] long Flags
 );

他的作用是打开服务器上的加密对象以进行备份或还原，服务器上的加密对象由FileName 参数指定,FileName的类型是UncPath。

当指定格式为<