DirCreate2System

Explotando bugs de creación de directorios privilegiados con Windows Error Reporting para obtener NT AUTHORITY\SYSTEM

Breve descripción:

He descubierto que comctl32.dll (que falta en el directorio del sistema que realmente no existe) es cargado por wermgr.exe a través del informe de errores de Windows al ejecutar schtasks. Esto significa que si podemos crear una carpeta llamada C:\windows\system32\wermgr.exe.local con una ACL de permisos completos, podemos secuestrar comctl32.dll en esa carpeta. Después, creé este PoC como un método de creación de directorio para obtener una shell como NT AUTHORITY\SYSTEM.

Vídeo del PoC

POC.wmv (con el bug de creación de directorios de Backblaze)

Comentario: Ya informé a Backblaze y me respondieron que son problemas conocidos. Por eso, hice un vídeo PoC con fines educativos sobre este PoC dircreate2system.

Para fines de prueba:

(si tienes un bug de creación de directorios mediante vulnerabilidades de servicio, no necesitas acceso de administrador)

1. Como administrador, crea el directorio wermgr.exe.local en C:\Windows\System32\
2. Y luego, dale el control de acceso cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. Coloca el archivo spawn.dll y dircreate2system.exe en el mismo directorio.
4. Después, ejecuta dircreate2system.exe.
5. Disfruta de una shell como NT AUTHORITY\SYSTEM.

Nota:

También puedes usar otros métodos consultando este dir_create2system.txt