Beschreibung

Das PoC-Programm nutzt den IMFForceDelete-Treiber aus, der einen ioctl bereitstellt, der es unprivilegierten Benutzern ermöglicht, Dateien und Ordner zu löschen. Wir können dies in eine Privilegienausweitung umwandeln, indem wir eine von ZDI und Halov erklärte Technik verwenden, die den MSI-Rollback-Mechanismus ausnutzt, der entwickelt wurde, um die Systemintegrität bei Problemen zu wahren. Durch Löschen und Neuerstellen mit einer schwachen DACL und gefälschten RBF- und RBS-Dateien können wir die Fähigkeit erlangen, beliebige Änderungen am System als NT AUTHORITY\SYSTEM vorzunehmen.

VID