🗑️ delete-self-poc

أداة delete-self-poc هي عرض توضيحي لطريقة حذف ملف تنفيذي مقفل أو ملف قيد التشغيل حاليًا من القرص. تم اكتشاف هذا المفهوم في البداية بواسطة Jonas Lykkegaard، وقد قمت بإنشاء إثبات المفهوم (POC) له. بالإضافة إلى ذلك، يمكن استخدامه لحذف الملفات المقفلة على القرص، بشرط أن تمتلك العملية المستدعِية الحالية الأذونات اللازمة للوصول إليها وحذفها.

ولكن كيف يعمل هذا - في إثبات المفهوم هذا؟

1. افتح مقبضًا (HANDLE) إلى العملية الجارية الحالية مع صلاحية DELETE. لاحظ أن صلاحية DELETE فقط هي المطلوبة.
2. استخدم الدالة SetFileInformationByHandle لإعادة تسمية دفق الملف الأساسي، :$DATA، إلى :wtfbbq.
3. أغلق المقبض (HANDLE).
4. افتح مقبضًا (HANDLE) إلى العملية الحالية واضبط علامة DeleteFile لفئة FileDispositionInfo على TRUE.
5. أغلق المقبض (HANDLE) لتفعيل إجراء حذف الملف.
6. ها هو ذا! لم يعد الملف موجودًا الآن.

الإصدارات

لقد أدرجت إصدارًا مرتبطًا ثابتًا (statically linked) داخل هذا المستودع، إذا كنت لا تريد عناء تجميع الكود المصدري الأصلي.