DirCreate2System

Exploitation pour obtenir NT AUTHORITY\SYSTEM pour les bogues de création de répertoires privilégiés avec le rapport d'erreurs Windows

Description courte :

J'ai découvert que comctl32.dll (qui est manquante dans le répertoire système qui n'existe pas vraiment) a été chargée par wermgr.exe via le rapport d'erreurs Windows en exécutant schtasks. Cela signifie que si nous pouvons créer un dossier nommé C:\windows\system32\wermgr.exe.local avec une ACL en pleine permission, nous pouvons détourner la comctl32.dll dans ce dossier. Ensuite, j'ai créé ce poc comme une méthode de création de répertoire vers un shell NT AUTHORITY\SYSTEM.

Vidéo POC

POC.wmv (avec le bug de création de répertoire de Backblaze)

Remarque : J'ai déjà signalé le problème à Backblaze et ils m'ont répondu qu'il s'agit de problèmes connus. J'ai donc réalisé une vidéo de POC à des fins éducatives pour cette POC dircreate2system.

À des fins de test :

(si vous avez un bug de création de répertoire via des vulnérabilités de service, vous n'avez pas besoin d'un accès administrateur)

1. En tant qu'administrateur, créez le répertoire wermgr.exe.local dans C:\Windows\System32\
2. Ensuite, accordez-lui le contrôle d'accès cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. Placez le fichier spawn.dll et dircreate2system.exe dans le même répertoire.
4. Ensuite, exécutez dircreate2system.exe.
5. Profitez d'un shell en tant que NT AUTHORITY\SYSTEM.

Remarque :

Vous pouvez également utiliser d'autres méthodes en consultant ce dir_create2system.txt