SeManageVolumeExploit

يمنح هذا الاستغلال صلاحية كاملة على محرك الأقراص C:\ لجميع المستخدمين على الجهاز.

• تمكين الامتياز في رمز الوصول (token)
• إنشاء مقبض (handle) إلى \.\C: مع SYNCHRONIZE | FILE_TRAVERSE
• إرسال FSCTL_SD_GLOBAL_CHANGE لاستبدال S-1-5-32-544 بـ S-1-5-32-545

استبدال "Printconfig.dll" للوصول إلى غلاف SYSTEM

القدرة على إنشاء ملف تحت سيطرة المستخدم داخل أدلة محمية تفتح عددًا كبيرًا من الاحتمالات لتصعيد الامتيازات. إحدى التقنيات المباشرة نسبيًا تتضمن استبدال ملف "Printconfig.dll" الموجود في "C:\Windows\System32\spool\drivers\x64\3" بـ DLL خبيث. من خلال استدعاء كائن PrintNotify، ستقوم الخدمة بتحميل ملف PrintConfig.dll الخبيث الخاص بنا، مما يمنحنا غلاف SYSTEM بصلاحيات مرتفعة.

إثبات المفهوم:

1. قم بإنشاء DLL مخصص وضعه في C:\Windows\System32\spool\drivers\x64\3\Printconfig.dll.
2. استدعِ كائن PrintNotify عن طريق تنفيذ أوامر PowerShell التالية:

$type = [Type]::GetTypeFromCLSID("{854A20FB-2D44-457D-992F-EF13785D2B51}")
$object = [Activator]::CreateInstance($type)

3. احصل على وصول إلى غلاف النظام.

Credits :

• https://github.com/gtworek/PSBits/blob/master/Misc/FSCTL_SD_GLOBAL_CHANGE.c
• https://twitter.com/0gtweet/status/1303427935647531018
• https://github.com/xct/SeRestoreAbuse
• https://decoder.cloud/2023/02/16/eop-via-arbitrary-file-write-overwite-in-group-policy-client-gpsvc-cve-2022-37955/