deepinstinct/shimmePoC für Windows-Privilegienausweitung und Code-Injection mittels OfficeClickToRun-RPC und undokumentierter Shim-Manipulation, um DLLs in SYSTEM-Prozesse zu injizieren.
Werkzeuge aus dem DEFCON-32-Vortrag „SHIM me what you got - Manipulating Shim and Office for Code Injection"
Office Injector – Ruft eine RPC-Methode im OfficeClickToRun-Dienst auf, die eine DLL in einen angehaltenen Prozess injiziert, der als NT AUTHORITY\SYSTEM läuft und vom Taskplaner-Dienst gestartet wurde, wodurch eine Rechteausweitung von Administrator zu SYSTEM erreicht wird.
Shim Injector – Schreibt eine undokumentierte Shim-Datenstruktur in den Speicher eines anderen Prozesses, die apphelp.dll dazu veranlasst, den Fix „Inject Dll" auf den Prozess anzuwenden, ohne eine neue SDB-Datei im System zu registrieren oder eine solche Datei überhaupt auf die Festplatte zu schreiben.
