🗑️ delete-self-poc

Das delete-self-poc ist eine Demonstration einer Methode, um eine gesperrte ausführbare Datei oder eine aktuell laufende Datei von der Festplatte zu löschen. Dieses Konzept wurde ursprünglich von Jonas Lykkegaard entdeckt, und ich habe den Proof of Concept (POC) dafür erstellt. Darüber hinaus kann es verwendet werden, um gesperrte Dateien auf der Festplatte zu löschen, sofern der aufrufende Prozess über die erforderlichen Berechtigungen verfügt, um auf sie zuzugreifen und sie zu löschen.

Wie funktioniert das nun – in diesem POC?

1. Öffne ein HANDLE zum aktuell laufenden Prozess mit DELETE-Zugriff. Beachte, dass nur DELETE-Zugriff erforderlich ist.
2. Verwende die Funktion SetFileInformationByHandle, um den primären Dateistream :$DATA in :wtfbbq umzubenennen.
3. Schließe das HANDLE.
4. Öffne ein HANDLE zum aktuellen Prozess und setze das DeleteFile-Flag der FileDispositionInfo-Klasse auf TRUE.
5. Schließe das HANDLE, um die Dateidiposition auszulösen.
6. Voilà! Die Datei ist jetzt weg.

Veröffentlichungen

Ich habe ein statisch gelinktes Release in dieses Repository aufgenommen, falls du dir die Mühe sparen willst, den ursprünglichen Quellcode zu kompilieren.