DirCreate2System

Ausnutzung, um NT AUTHORITY\SYSTEM für privilegierte Verzeichniserstellungs-Bugs mit Windows Error Reporting zu erlangen

Kurzbeschreibung:

Ich habe entdeckt, dass comctl32.dll (die im Systemverzeichnis fehlt, das nicht wirklich existiert) von wermgr.exe über die Windows-Fehlerberichterstattung durch Ausführen von schtasks geladen wurde. Das bedeutet, wenn wir einen Ordner namens C:\windows\system32\wermgr.exe.local mit einer ACL mit voller Berechtigung erstellen können, können wir die comctl32.dll in diesem Ordner kapern. Dann habe ich diesen PoC als Methode zur Verzeichniserstellung für eine NT AUTHORITY\SYSTEM-Shell erstellt.

POC-Video

POC.wmv (mit dem Verzeichniserstellungs-Bug von Backblaze)

Anmerkung: Ich habe dies bereits an Backblaze gemeldet und sie antworteten mir, dass es ein bekanntes Problem sei. Deshalb habe ich ein Video-PoC für Bildungszwecke dieses DirCreate2System-PoC erstellt.

Für Testzwecke:

(Wenn du einen Verzeichniserstellungs-Bug über Dienst-Schwachstellen hast, benötigst du keinen Administratorzugriff.)

1. Als Administrator erstelle das Verzeichnis wermgr.exe.local in C:\Windows\System32\
2. Gewähre ihm dann Zugriffssteuerung cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. Platziere die Datei spawn.dll und dircreate2system.exe in demselben Verzeichnis.
4. Führe dann dircreate2system.exe aus.
5. Genieße eine Shell als NT AUTHORITY\SYSTEM.

Hinweis:

Du kannst auch andere Methoden verwenden, indem du dir dieses dir_create2system.txt ansiehst.