الوصف

• يستغل برنامج PoC برنامج التشغيل IMFForceDelete الذي يكشف عن ioctl يسمح للمستخدمين غير ذوي الامتيازات بحذف الملفات والمجلدات. يمكننا تحويل هذا إلى تصعيد للامتيازات باستخدام تقنية شرحها ZDI وHalov، والتي تستغل آلية التراجع عن MSI المصممة للحفاظ على سلامة النظام في حالة حدوث مشكلات. من خلال حذفه وإعادة إنشائه باستخدام DACL ضعيف وملفات RBF وRBS مزيفة، يمكننا الحصول على القدرة على إجراء تغييرات عشوائية على النظام بصلاحيات NT AUTHORITY\SYSTEM.

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

ملاحظة

• لا فكرة لديّ إن كان قد تم إصلاحه أم لا. في وقت نشر PoC، كان لا يزال غير مُصلح. لقد تم الإبلاغ بالفعل عن الحذف العشوائي للملفات/المجلدات من قبل باحث آخر وكان معروفًا لدى المورّد ولم يقوموا بإصلاحه، لقد قمت فقط بتصعيده من خطأ غير مثير إلى خطأ أكثر إثارة بكثير وبتأثير أعلى، انظر الكتابة التفصيلية أدناه.

الكتابة التفصيلية

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

الشكر

• Halov
• ZDI
• vx-underground and #ifndef hjonk