Windows 组策略（Group Policy Object）机制的漏洞分析

Windows 组策略（Group Policy Object）机制的漏洞类大约有60个，专门针对策略更新步骤，允许域环境中的标准用户执行文件系统攻击，进而使恶意用户可以逃避反恶意软件解决方案，绕过安全性强化并可能导致对Windows 2000的严重攻击。组织的网络。这些漏洞会影响任何Windows计算机（2008或更高版本），并在域环境中提升其特权。

如果你对这项研究的其他发现感兴趣，请查阅详细信息（第1部分和第2部分）。

GPSVC使所有加入域的Windows计算机暴露给一个特权升级（EoP）漏洞，通过运行gpudate.exe，你可以通过文件操作攻击升级为特权用户。如果你了解Windows的组策略，你就会知道系统在用户登录时会重新同步并应用当前已修改的组策略，但此时我们修改过的策略很可能会被覆盖掉。虽然我们可以通过将“SYSTEM”从构造注册表键值的ACL中移除来避免这种情况，但是Windows组策略客户端-GpSvc将会检测到这种操作，并在用户登录时修复ACL以便获取到写入权限，然后重写组策略。

通过分析GpSvc对这种ACL的处理过程，我发现当GpSvc在检测到注册表中的组策略键值时，会调用内部函数ForceRegCreateKeyEx，这个函数会尝试利用写入权限来打开我们的组策略键值，如果失败，则会调用AddPolicyPermissionOnKey来获取该注册表项的相应权限，以恢复“SYSTEM”在该表项上的写入权限，并重新打开它然后覆盖组策略。

Windows的组策略机制已经存在了很长时间，这是在域环境中（从打印机到备份设备）传播设置的一种相对安全的方法，即随便命名。因此，它需要与许多组件进行交互。奇热许多交互可以造成许多潜在的漏洞，这就是我们要谈论的。

以下是该漏洞的工作原理：

背景

组策略或GPO对象最初是在Windows 2000的环境中使用的。虽然已经有一段时间了，它们有所变化，但是本质上还是相同的。管理员使用GPO在整个托管环境中实施其策略，并且功能非常强大。从禁用Windows Defender和防火墙到安装软件和打印机，管理员基本上可以使用GPO做任何他们想做的事情。

在Windows中，每个用户都有一组可由本地管理员修改的本地组策略，这使他们可以为本地计算机设置规则。在加入了域环境的计算机上，域管理员常常对适用于你的计算机的GPO感到一头雾水。

遵循最小特权原则是一种众所周知的安全最佳实践，该原则基于将用户的特权级别限制为最低限度。在这种情况下，这意味着不允许域用户成为本地管理员组的一部分。原因是本地管理员可以覆盖域管理员所应用的每个组策略，从而使GPO成为在公司网络上强制设置的一种非常无效的方法。

有趣的是，本地非特权用户可以手动请求组策略更新。因此，如果你在组策略更新过程中发现了一个漏洞，你可以在任何你想要的时候触发它，使潜在的攻击变得更容易。管理员不必等待90分钟（域环境中推送组策略更新的默认时间间隔为30分钟），而是在域环境上推送组策略更新的默认时间，管理员可以立即强制执行。

我们的兴趣在于名为gpsvc的本地组策略服务。该服务需要特权才能执行，因此它在NT AUTHORITY