复现CVE-2019-1388：UAC提权

声明：仅供学术交流，本地环境进行。

Ax_Introduction

用windows系统的guest来宾用户提权到system系统用户

原理

该Bug可在UAC(用户帐户控制)机制中找到。默认情况下，Windows在称为“安全桌面”的单独桌面上显示所有UAC提示。提示本身是由名为的可执行文件生成的，该可执行文件以System的完整性级别consent.exe运行NT AUTHORITY\SYSTEM。由于用户可以与此UI进行交互，因此有必要对UI进行严格限制。否则，低特权用户可能能够通过UI操作的circuit回路径以SYSTEM的身份执行操作。即使是孤立地看起来无害的单独UI功能也可能是导致任意控制的一系列动作的第一步。确实，您会发现UAC对话框已被精简，仅包含最少的可单击选项。

影响

cpe：/ o：microsoft：windows_10：-
cpe：/ o：microsoft：windows_10：1607
cpe：/ o：microsoft：windows_10：1709
cpe：/ o：microsoft：windows_10：1803
cpe：/ o：microsoft：windows_10：1809
cpe：/ o：microsoft：windows_10：1903
cpe：/ o：microsoft：windows_7：-：sp1
cpe：/ o：microsoft：windows_8.1：-
cpe：/ o：microsoft：windows_rt_8.1：-
cpe：/ o：microsoft：windows_server_2008：-：sp2
cpe：/ o：microsoft：windows_server_2008：r2：sp1：~~~~ itanium〜
cpe：/ o：microsoft：windows_server_2008：r2：sp1：~~~~ x64〜
cpe：/ o：microsoft：windows_server_2012：-
cpe：/ o：microsoft：windows_server_2012：r2
cpe：/ o：microsoft：windows_server_2016：-
cpe：/ o：microsoft：windows_server_2016：1803
cpe：/ o：microsoft：windows_server_2016：1903
cpe：/ o：microsoft：windows_server_2019：-

利用过程简述

首先在一个普通用户下安装HHUPD工具，然后使用管理员权限打开，点击显示细节内证书的链接，关闭窗口后保存弹出的页面，在保存窗口输入CMD所处的目录，确定后发现以及在该目录下了，使用管理员打开CMD达到系统权限目的。

Bx_Preparation

• windows 7 SP1
• VMware Workstation pro 16
• HHUPD Download

Cx_Processes

》创建用户UAC并切换到该用户。

》下载HHUPD工具，右键使用管理员打开。显示详细信息，然后显示证书信息。

》点击颁发者，关闭窗口，会弹出IE浏览器网页。

》页面，另存为。

》这时会出现报错，确定后在文件名中输入C:\Windwos\System32\*.*，保存。

》加入CMD所在目录，使用管理员权限打开CMD，权限提升成功。