🗑️ delete-self-poc

Le delete-self-poc est une démonstration d'une méthode permettant de supprimer un exécutable verrouillé ou un fichier en cours d'exécution depuis le disque. Ce concept a été initialement découvert par Jonas Lykkegaard, et j'ai créé la preuve de concept (POC) correspondante. De plus, il peut être utilisé pour supprimer des fichiers verrouillés sur le disque, à condition que le processus appelant actuel dispose des autorisations nécessaires pour y accéder et les supprimer.

Comment cela fonctionne-t-il, dans cette POC ?

1. Ouvrez un HANDLE vers le processus en cours d'exécution avec l'accès DELETE. Notez que seul l'accès DELETE est requis.
2. Utilisez la fonction SetFileInformationByHandle pour renommer le flux de fichier principal, :$DATA, en :wtfbbq.
3. Fermez le HANDLE.
4. Ouvrez un HANDLE vers le processus actuel et définissez le drapeau DeleteFile de la classe FileDispositionInfo sur TRUE.
5. Fermez le HANDLE pour déclencher la disposition du fichier.
6. Voilà ! Le fichier a maintenant disparu.

Versions

J'ai inclus une version à liaison statique dans ce dépôt, si vous ne voulez pas prendre la peine de compiler le code source original.