SeManageVolumeExploit

Cet exploit accorde une permission complète sur le lecteur C:\ à tous les utilisateurs de la machine.

• Active le privilège dans le jeton
• Crée un handle vers \.\C: avec SYNCHRONIZE | FILE_TRAVERSE
• Envoie le FSCTL_SD_GLOBAL_CHANGE pour remplacer S-1-5-32-544 par S-1-5-32-545

Écrasement de « Printconfig.dll » pour un accès shell SYSTEM

La capacité de créer un fichier contrôlé par l'utilisateur dans des répertoires protégés ouvre une multitude de possibilités d'élévation de privilèges. L'une des techniques relativement simples consiste à remplacer le fichier « Printconfig.dll » situé dans « C:\Windows\System32\spool\drivers\x64\3 » par une DLL malveillante. En initialisant l'objet PrintNotify, le service chargera notre PrintConfig.dll malveillante, nous offrant ainsi un shell SYSTEM privilégié.

Preuve de concept :

1. Générez une DLL personnalisée et placez-la dans C:\Windows\System32\spool\drivers\x64\3\Printconfig.dll.
2. Initialisez l'objet PrintNotify en exécutant les commandes PowerShell suivantes :

$type = [Type]::GetTypeFromCLSID("{854A20FB-2D44-457D-992F-EF13785D2B51}")
$object = [Activator]::CreateInstance($type)

3. Obtenez un accès shell système.

Crédits :

• https://github.com/gtworek/PSBits/blob/master/Misc/FSCTL_SD_GLOBAL_CHANGE.c
• https://twitter.com/0gtweet/status/1303427935647531018
• https://github.com/xct/SeRestoreAbuse
• https://decoder.cloud/2023/02/16/eop-via-arbitrary-file-write-overwite-in-group-policy-client-gpsvc-cve-2022-37955/