wiredpulse/invoke-hivenightmarePoC لـ CVE-2021-36934، الذي يُمكّن المستخدم العادي من استرجاع خلايا التسجيل SAM وSecurity وSoftware في نظام Windows 10 الإصدار 1809 أو أحدث.
PoC مبني على PowerShell لـ CVE-2021-36934، والذي يتيح لمستخدم عادي استرجاع خلايا الريجستري SAM وSecurity وSoftware في نظام Windows 10 الإصدار 1809 أو أحدث.
في إصدارات محددة من Windows 10، يتمتع المستخدمون العاديون بحقوق القراءة/التنفيذ على الملفات الموجودة في مجلد [SYSTEMROOT]\System32\Config، وهو المكان الذي توجد فيه خلايا الريجستري على القرص. ومع ذلك، لا يمكن للمرء ببساطة الانتقال إلى المجلد والنسخ/اللصق لأن الخلايا تُحمَّل في الذاكرة عند إقلاع النظام وتكون مقفلة. يمكن للمستخدم العادي استرجاع الخلايا من Volume Shadow Copies إذا كانت موجودة.
/ ! [](name-of-gif-file. gif)
يعتمد نجاح هذا الاستغلال على حقيقة أن Volume Shadows Copies موجودة... بدونها لا يكون الكود مفيدًا.
تم اكتشاف الثغرة بواسطة @jonasLyk.
