mandiant/msi-searchIdentifica paquetes MSI de Windows Installer en caché y recupera los archivos correspondientes para investigar vulnerabilidades de escalada de privilegios locales mediante ataques de reparación de MSI.
Windows almacena en caché los archivos MSI en C:\Windows\Installer\ con nombres de archivo aleatorios compuestos por letras y números seguidos de la extensión ".msi". Esta herramienta simplifica la tarea de los operadores de red team y los equipos de seguridad para identificar qué archivos MSI corresponden a qué software, y les permite descargar el archivo pertinente para investigar vulnerabilidades de escalada de privilegios locales mediante reparaciones de MSI. Obtenga más información sobre las vulnerabilidades de reparación de MSI en Escalada de privilegios mediante instaladores de Windows de terceros.
Autor: Andrew Oliveau (@AndrewOliveau)
x86_64-w64-mingw32-gcc -c msi_search.c -o msi_search.x64.o
i686-w64-mingw32-gcc -c msi_search.c -o msi_search.x86.o
Script de Aggressor incluido. Impórtelo en Cobalt Strike y ejecute msi_search. Alternativamente, ejecute el script de PowerShell msi_search.ps1.
