Romain et Maël présentent Mardi 12 Janvier à l'OSSIR sur le thème "Exploitation des failles dans le moteur PHP". La présentation sera alimentée d'une petite démonstration. N'hésitez donc pas à aller les rencontrer si vous souhaitez davantage d'explications à propos des travaux qu'ils ont pu réaliser.
Par ailleurs, ATLAB a publié 2 articles dans le dernier MISC 47, à savoir un article sur les vulnérabilités du moteur PHP (rubrique "Exploit Corner") écrit par Romain et Maël, et un article sur les tâches planifiées et la gestion de credentials sous Windows XP et 2003 (rubrique "Code") écrit par Roderick. Ce dernier complète alors les travaux d'Ivanlef0u sur ce sujet[1][2].
Sous Windows, une tâche planifiée est authentifiée au moment de son exécution impliquant alors une sauvegarde de credentials par le système. Un attaquant passé Administrateur local peut alors obtenir les credentials associés au compte ayant servi à la planification d'une ou plusieurs tâches sur le système compromis. Une telle attaque est intéressante puisqu'elle permet potentiellement une élévation de privilèges sur un domaine Windows.
Les travaux d'Ivanlef0u et l'article de Roderick décrivent chacun une méthode pour y parvenir :
- L'outil TaskPwDump(-ng) d'Ivanlef0u hook()e la fonction "DecryptCredentials" dans l'instance du processus svchost ayant chargé schedsvc.dll pour intercepter les credentials une fois ceux-ci déchiffrés.
- L'outil TaskPwDump2 d'ATLAB récupère les crédentials chiffrés dans la base de registre puis émule le comportement de la fonction "DecryptCredentials" pour les déchiffrer.
L'article dans MISC de Roderick décrit ces deux attaques et discute de leurs avantages et inconvénients respectifs.
--
