AD

ASUS预装更新组件提权

概述

ASUS 的预装更新组件软件(LiveUpdate),在下载更新和执行的流程中缺乏验证,可以导致提权到 SYSTEM

细节

       LiveUpdate(以下简称LU)是华硕的预装在笔记本上面的一个软件,用于更新BIOS/UEFI固件,以及其他笔记本上面安装的华硕的软件。LU通过HTTP模式下载ZIP格式的更新文件,将更新文件下载到一个临时目录中,然后以“Administrators”组中的用户权限进行执行。在整个过程中,对文件没有任何验证措施。
       LU根据版本不同,通过liveupdate01.asus.com 或者dlcdnet.asus.com两个站点下载更新。(大数据分析,可以通过这些更新地址判断使用者笔记本型号)。然后解析为XML文件。
       UX303UA设备上,LU会尝试下载如下URL
http://liveupdate01.asus.com/pub/ASUS/LiveUpdate/Release/Notebook/UX303UA.ide
http://liveupdate01.asus.com/pub/ASUS/LiveUpdate/Release/Notebook/UX303UA.idx
http://dlcdnet.asus.com/pub/ASUS/LiveUpdate/Release/Eee%20Book/UX303UA.ide
这些".idx"文件包含很多更新,例如更新BIOS,安装驱动等,下面的是一个ET1602笔记本的ACPI驱动。
      ATK0110 ACPI Utility
      ATK0110 ACPI Utility
      ATK0110 ACPI Utility
      driver
      ACPI\ATK0110
      WinXP
      1043.2.15.37
      837015
      1219104000
      pub/ASUS/DigitalHome/DAV/B202/ACPI_V104321537.zip
      .\AsusSetup.exe
      1
   
更新BIOS的如下:
      To solve the issue which charge speed will be slower when battery capacity is above 60%
      解決當電池容量大於60%時,充電速度變慢的問題
      解决当电池容量大于60%时,充电速度变慢的问题
      BIOS
     
      210
      2717731
      1422628620
      pub/ASUS/nb/X453MA/X453MAAS210.zip
      X453MAAS.210
      1
   
更重要的是,LU会自动启动安装更新,无需用户干预。LU有一个每小时自动运行一次,如果坚持到有重要更新,则会自动安装。

POC

       构造一个UX303UA合法的更新请求:
      
     
        Shoutout to Joey.
        AP
        Win10(64)
        48
        199465
        1459468800
        pub/ASUS/nb/Apps/LiveUpdate/LiveUpdate.zip
        update.bat
        22
        1
        SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{FA540E67-095C-4A1B-97BA-4D547DEC9AF4}\DisplayVersion
     
   

    其中payloadzip包含psexec.exepoc4.exeupdate.bat三个文件。

在笔记本上可以看到,LU认为这个是一个重要的更新

然后会自动安装更新。执行zip文件中的程序。


       

评论

此博客中的热门博文

简单粗暴导出小米便签

我——终于一个人了

Ubiquiti_Networks_UniFi_Cloud_Key_authed_rce