DirCreate2System

تسليح ثغرات إنشاء الدلائل ذات الامتيازات للحصول على NT AUTHORITY\SYSTEM عبر Windows Error Reporting

وصف مختصر:

اكتشفت أن comctl32.dll (غير الموجودة في مجلد النظام، أي أنها غير موجودة فعليًا هناك) تم تحميلها بواسطة wermgr.exe عبر Windows Error Reporting عند تشغيل schtasks. هذا يعني أنه إذا تمكنا من إنشاء مجلد باسم C:\windows\system32\wermgr.exe.local مع صلاحيات وصول كاملة (ACL)، يمكننا اختطاف comctl32.dll في تلك المجلدات. بعد ذلك، أنشأت هذه الـ POC كطريقة للانتقال من إنشاء دليل إلى شل بصلاحيات NT AUTHORITY\SYSTEM.

فيديو POC

POC.wmv (مع ثغرة إنشاء الدلائل في backblaze)

ملاحظة: لقد أبلغت backblaze بالفعل وردّوا عليّ بأنها مشكلة معروفة. لذلك، قمت بعمل فيديو POC لأغراض تعليمية لهذا الـ dircreate2system.

لأغراض الاختبار:

(إذا كان لديك ثغرة إنشاء دلائل عبر ثغرات الخدمات، فلست بحاجة إلى صلاحيات المسؤول)

1. كمسؤول، أنشئ دليلاً باسم wermgr.exe.local في C:\Windows\System32\
2. ثم، امنحه صلاحيات الوصول cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. ضع ملف spawn.dll و dircreate2system.exe في نفس الدليل.
4. بعد ذلك، شغّل dircreate2system.exe.
5. استمتع بشل بصلاحيات NT AUTHORITY\SYSTEM.

ملاحظة:

يمكنك أيضًا استخدام طرق أخرى من خلال الاطلاع على هذا dir_create2system.txt