SeManageVolumeExploit

Este exploit otorga permiso completo en la unidad C:\ para todos los usuarios de la máquina.

• Habilita el privilegio en el token
• Crea un identificador (handle) a \.\C: con SYNCHRONIZE | FILE_TRAVERSE
• Envía el FSCTL_SD_GLOBAL_CHANGE para reemplazar S-1-5-32-544 con S-1-5-32-545

Sobrescribiendo "Printconfig.dll" para acceso a una shell SYSTEM

La capacidad de crear un archivo bajo control del usuario dentro de directorios protegidos abre una multitud de posibilidades para la escalada de privilegios. Una de las técnicas relativamente sencillas consiste en reemplazar el archivo "Printconfig.dll" ubicado en "C:\Windows\System32\spool\drivers\x64\3" con una DLL maliciosa. Al iniciar el objeto PrintNotify, el servicio cargará nuestro PrintConfig.dll malicioso, otorgándonos así una shell SYSTEM privilegiada.

Prueba de concepto:

1. Genere una DLL personalizada y colóquela en C:\Windows\System32\spool\drivers\x64\3\Printconfig.dll.
2. Inicie el objeto PrintNotify ejecutando los siguientes comandos de PowerShell:

$type = [Type]::GetTypeFromCLSID("{854A20FB-2D44-457D-992F-EF13785D2B51}")
$object = [Activator]::CreateInstance($type)

3. Obtenga acceso a una shell del sistema.

Créditos :

• https://github.com/gtworek/PSBits/blob/master/Misc/FSCTL_SD_GLOBAL_CHANGE.c
• https://twitter.com/0gtweet/status/1303427935647531018
• https://github.com/xct/SeRestoreAbuse
• https://decoder.cloud/2023/02/16/eop-via-arbitrary-file-write-overwite-in-group-policy-client-gpsvc-cve-2022-37955/