wiredpulse/invoke-hivenightmarePoC para CVE-2021-36934, que permite a un usuario estándar recuperar los archivos SAM, Security y Software Registry en Windows 10 versión 1809 o posterior
PoC basado en PowerShell para CVE-2021-36934, que permite a un usuario estándar recuperar los archivos SAM, Security y Software Registry en Windows 10 versión 1809 o posterior.
En versiones específicas de Windows 10, los usuarios estándar tienen permisos de lectura/ejecución en los archivos del directorio [SYSTEMROOT]\System32\Config, que es donde residen los archivos del Registro en el disco. Sin embargo, no se puede simplemente navegar al directorio y copiar/pegar, ya que los archivos están cargados en memoria al iniciar el sistema y están bloqueados. Un usuario estándar puede recuperar los archivos desde Volume Shadow Copies si existen.
/ ! [](name-of-gif-file. gif)
El éxito de este exploit reside en el hecho de que existan Volume Shadow Copies... sin ellas, el código no es útil.
La vulnerabilidad fue descubierta por @jonasLyk.
