WINDOWS错误报告服务权限提升漏洞-CVE-2023-36874（复现）

太久没写博客了，最近这段时间项目太多了有点忙，简单把最近跟进的cve复现一下，因为这个是提权漏洞，提权后需要运行自己的exp文件，因为考虑到可能会被查杀，所以文件就不放出来了。

简介

Windows错误报告服务是一项用于收集和分析系统和应用程序错误的服务。当发生应用程序崩溃、操作系统故障或其他错误时，Windows错误报告服务会自动收集有关错误的信息。

漏洞成因：
WER服务从wer.dll调用WerpSubmitReportFromStore函数
↓
该函数会运行UtilLaunchWerManager函数
↓
导致执行CreateProcess函数。
↓
最终去执行C:\Windows\System32\wermgr.exe文件。
而攻击者通过控制重定向后的文件，来使他执行恶意的wermgr.exe文件。

![漏洞造成原因](1.png %}

打包流程

打开x64 Native VS命令提示符并转到项目目录
## 打包. res文件
rc.exe Resource.rc

## 编译主文件
cl main.cpp /EHsc /DUNICODE /link ole32.lib oleaut32.lib Resource.res

## CD到wermgr目录wermgr.exe打包

cl main.cpp /EHsc /DUNICODE /Fewermgr.exe

使用流程

编译后的wermgr. exe，在C:\下新建test\System32文件夹。
复制到c:\test\system32\wermgr.exe

![文件位置](2.png %}

编译后的漏洞利用复制到易受攻击的机器并运行它。确保您运行它的用户不是本地管理员。
这应该会在机器上创建“admin”用户。

创建管理员账户

编写自己的恶意程序，默认给的添加账户因为太简单，会被火绒查杀。添加账户、设为管理员、添加远程登陆

.\main.exe

![实现效果](3.png %}

参考项目

https://github.com/Wh04m1001/CVE-2023-36874
https://github.com/crisprss/CVE-2023-36874
https://www.crowdstrike.com/blog/falcon-complete-zero-day-exploit-cve-2023-36874/