Investigación de seguridad por diversión

Todo enfocado en el sistema operativo Microsoft Windows

CVE-2019-0986

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2019-0986
Este es el PoC que envié a Microsoft cuando reporté la vulnerabilidad anterior.
Este PoC explota "User Profile Service" (ProfSvc.dll).
Eliminará todos los archivos dentro de un directorio arbitrario a pesar de los permisos establecidos en ese directorio.
(excepto los archivos que estén bloqueados exclusivamente por procesos de SYSTEM).

Requisito para esto:

1. el usuario atacante no puede tener una sesión activa actual (debe haber cerrado la sesión del sistema).
2. el usuario atacante debe tener un directorio HOME existente.

Por eso vamos a eliminar el archivo NTUSER.DAT (en el directorio HOME del atacante) para activar la condición correcta para la explotación.
Por lo tanto, el siguiente paso: debes iniciar sesión con otro usuario arbitrario "user_2" y ejecutar el exploit con las credenciales de user_1 (atacante).

Encontrarás un ejecutable precompilado en el directorio bin\x64\Debug

Usage :
NtDataPoc.exe USERNAME DOMAINNAME PASSWORD DIRECTORY_TO_DELETE  
  
Example :  
NtDataPoc.exe theuser win10-dev MySecretPwd c:\secureDirectory  

IDE VS 2015/2017 | CSproj está disponible. La elección de la plataforma de compilación es tuya: se sugiere x64

Esto ha sido probado en:

OS Name:                   Microsoft Windows 10 Enterprise N  
OS Version:                10.0.17763 N/A Build 17763

OS Name:                   Microsoft Windows 8.1 Pro
OS Version:               6.3.9600 N/D build 9600

Invítame a una cerveza si te gusta ;-)