Sicherheitsforschung zum Spaß

Alles konzentriert auf Microsoft Windows OS

CVE-2019-0986

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2019-0986
Dies ist der PoC, den ich an Microsoft gesendet habe, als ich die obige Schwachstelle gemeldet habe

Dieser PoC nutzt den "User Profile Service" (ProfSvc.dll) aus.

Er wird alle Dateien in einem beliebigen Verzeichnis löschen, ungeachtet der darauf gesetzten Berechtigungen
(mit Ausnahme von Dateien, die ausschließlich von SYSTEM-Prozessen gesperrt sind).

Voraussetzungen dafür:

1. Der Angreifer-Benutzer darf keine aktive Sitzung haben (er muss vom System abgemeldet sein).
2. Der Angreifer-Benutzer muss ein vorhandenes HOME-Verzeichnis haben.

Deshalb werden wir die Datei NTUSER.DAT (im HOME-Verzeichnis des Angreifers) löschen, um die richtige Bedingung für die Ausnutzung auszulösen.
Also, nächster Schritt: Sie sollten sich mit einem anderen beliebigen "user_2" anmelden und den Exploit mit den Anmeldeinformationen von user_1 (Angreifer) ausführen.

Sie finden eine vorkompilierte exe im Verzeichnis bin\x64\Debug

Usage :
NtDataPoc.exe USERNAME DOMAINNAME PASSWORD DIRECTORY_TO_DELETE  
  
Example :  
NtDataPoc.exe theuser win10-dev MySecretPwd c:\secureDirectory  

IDE VS 2015/2017 | CSproj ist verfügbar. Die Wahl der Compile-Plattform liegt bei Ihnen: empfohlen wird x64

Getestet wurde dies auf:

OS Name:                   Microsoft Windows 10 Enterprise N  
OS Version:                10.0.17763 N/A Build 17763

OS Name:                   Microsoft Windows 8.1 Pro
OS Version:               6.3.9600 N/D build 9600

Kauf mir ein Bier, wenn du magst ;-)