الوصف

• يستغل البرنامج التجريبي PoC برنامج تشغيل IMFForceDelete الذي يعرض ioctl يسمح للمستخدمين غير المميزين بحذف الملفات والمجلدات. يمكننا تحويل هذا إلى تصعيد امتيازات باستخدام تقنية شرحتها ZDI و Halov، والتي تستغل آلية التراجع عن MSI المصممة للحفاظ على سلامة النظام في حالة حدوث مشكلات. من خلال حذفها وإعادة إنشائها باستخدام DACL ضعيف وملفات RBF و RBS مزيفة، يمكننا الحصول على القدرة على إجراء تغييرات تعسفية على النظام كـ NT AUTHORITY\SYSTEM.

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

شرح

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

الإسناد

• Halov
• ZDI
• vx-underground and #ifndef hjonk