Secuestro de objetos COM (COM Hijacking) y cómo opera

3 tareas · 40 min · Principiante

El modelo de objetos componentes (COM) de Windows consulta las definiciones de clases en el árbol del usuario (HKCU) con prioridad sobre el árbol de la máquina (HKLM). Esta jerarquía permite a un operador registrar una biblioteca DLL en HKCU para un GUID legítimo sin alterar la configuración del sistema.

0 de 3 · 0%

Objetivo de la sala

Consulta com_hijacking_mecanismo.txt en rt-runkeys-com-guia. Localiza el nombre del módulo DLL indicado como Dll Hijacked Referencia.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según com_hijacking_mecanismo.txt, ¿cuál es el nombre del archivo en Dll Hijacked Referencia?

Ver pista de ayuda

Revisa la línea que indica el nombre del archivo DLL de referencia.

Revisa el documento para identificar la subclave del registro donde se indica la ruta del módulo DLL a cargar en memoria.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué subclave bajo el CLSID almacena la ruta de la biblioteca dinámica que implementa el objeto COM?

LocalServer64 ProgID_Default InprocServer32 TypeLib_Reference

Ver pista de ayuda

InprocServer32 especifica la ruta de la DLL en el espacio de memoria del proceso cliente.

Analiza por qué el secuestro de objetos COM puede ejecutarse desde una cuenta sin permisos de administrador.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué un usuario estándar puede secuestrar un objeto COM de una aplicación del sistema?

Porque los objetos COM no ejecutan código en modo usuario Porque las bibliotecas DLL en Windows no requieren permisos de lectura Porque el protocolo COM deshabilita la seguridad del kernel de Windows Porque Windows consulta primero las clases en HKCU antes que en HKLM, y el usuario tiene control total sobre HKCU

Ver pista de ayuda

La precedencia de búsqueda favorece a HKEY_CURRENT_USER sobre HKEY_LOCAL_MACHINE.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: workstation-hkcu.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Biblioteca DLL de referencia para secuestro Lab

2 Subclave donde se define la biblioteca DLL Lab

3 Razón de éxito del secuestro sin privilegios Lab

Whoami-Labs Pro utiliza cookies