RegPwn BOF لـ Brute Ratel C4

إعادة تنفيذ BOF الخاصة بي لـ Brute Ratel C4 لنسخة من استغلال RegPwn بواسطة Filip Dragovic (@Wh04m1001) / MDSec ActiveBreach.

هذه إعادة تنفيذ BOF أكثر فوضوية لـ BRc4 لنسخة Flangvik إعادة تنفيذ CS BOF من الاستغلال الأصلي بلغة C#. كل الفضل في البحث عن الثغرة والاستغلال يعود إلى Filip Dragovic و MDSec.

• إعادة تنفيذ CS BOF لـ Flangvik: https://github.com/Flangvik/RegPwnBOF
• مقال المدونة: https://www.mdsec.co.uk/2026/03/rip-regpwn/
• المستودع الأصلي: https://github.com/mdsecactivebreach/RegPwn
• CVE: CVE-2026-24291

ماذا يفعل

يستغل حالة سباق الارتباط الرمزي (symlink) في السجل في آلية Windows Accessibility ATConfig لكتابة قيم عشوائية إلى مفاتيح HKLM المحمية في السجل من سياق مستخدم عادي (تصعيد الامتيازات المحلية).

يستهدف Windows 11 25H2/24H2 و Windows 10 21H2 و Windows Server 2016/2019/2022 قبل تصحيح مارس 2026.

تحذير: هذا الاستغلال يقفل محطة العمل كجزء من حالة السباق.

الهدف الافتراضي

خدمة msiserver (مثبّت Windows) ImagePath. تعمل هذه الخدمة بصلاحيات SYSTEM ويمكن تشغيلها بواسطة المستخدمين العاديين.

الاستخدام

Brute Ratel C4

badger> coffexec c:\maldev\projects\RegPwnBRc4BOF\regpwn.x64.o C:\JustAnotherPath\badger.exe SYSTEM\ControlSet001\Services\msiserver ImagePath

البناء

يتطلب x86_64-w64-mingw32-gcc (مترجم MinGW-w64 المتقاطع).

make        # بناء BOF (regpwn.x64.o)
make test   # بناء EXE مستقل (regpwn.x64.exe)
make clean

x64 فقط.