Descripción

• El programa PoC explota el controlador IMFForceDelete, que expone un ioctl que permite a los usuarios sin privilegios eliminar archivos y carpetas. Podemos convertir esto en una escalada de privilegios mediante una técnica explicada por ZDI y Halov, que explota el mecanismo de reversión de MSI, diseñado para mantener la integridad del sistema en caso de problemas. Al eliminarlo y recrearlo con una DACL débil y archivos RBF y RBS falsos, podemos obtener la capacidad de realizar cambios arbitrarios en el sistema como NT AUTHORITY\SYSTEM.

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

Write-up

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

CRÉDITOS

• Halov
• ZDI
• vx-underground and #ifndef hjonk