记一次对CVE-2024-20656（VS提权漏洞）的复现与分析
💡
原文中文，约1800字，阅读约需5分钟。
📝
内容提要
Visual Studio的VSStandardCollectorService150服务在NT AUTHORITY\SYSTEM上下文中运行，存在权限提升漏洞。通过分析服务配置和文件操作，可以利用特定工具进行渗透测试，触发服务并执行任意文件的DACL重置。
🎯
关键要点
- Visual Studio的VSStandardCollectorService150服务存在权限提升漏洞。
- 该服务在NT AUTHORITY\SYSTEM上下文中运行，可能被滥用以执行任意文件的DACL重置。
- 服务配置为按需运行，使用COM作为服务启动的触发器。
- 建议使用Sysinternals的Procmon工具监控该服务的文件操作行为。
- POC编译过程包括配置文件、创建虚拟目录和触发服务等步骤。
❓
延伸问答
CVE-2024-20656漏洞的主要影响是什么？
该漏洞允许攻击者在NT AUTHORITY\SYSTEM上下文中执行任意文件的DACL重置，从而提升权限。
如何检测VSStandardCollectorService150服务的配置？
可以使用命令sc.exe qc VSStandardCollectorService150来查询该服务的配置。
使用哪个工具可以监控VSStandardCollectorService150的文件操作？
建议使用Sysinternals的Procmon工具来实时监控该服务的文件操作行为。
POC编译过程中需要哪些步骤？
POC编译包括配置文件、创建虚拟目录和触发服务等步骤。
VSStandardCollectorService150服务是如何启动的？
该服务配置为按需运行，通常通过COM机制作为服务启动的触发器。
该漏洞的利用方式是什么？
攻击者可以通过特定工具进行渗透测试，利用服务配置和文件操作来提升权限。
➡️
