wiredpulse/invoke-hivenightmarePoC pour CVE-2021-36934, qui permet à un utilisateur standard de récupérer les ruches SAM, Security et Software du Registre dans Windows 10 version 1809 ou ultérieure
PoC basé sur PowerShell pour CVE-2021-36934, qui permet à un utilisateur standard de récupérer les ruches SAM, Security et Software du Registre dans Windows 10 version 1809 ou plus récent.
Dans des versions spécifiques de Windows 10, les utilisateurs standard ont des droits de lecture/exécution sur les fichiers dans le répertoire [SYSTEMROOT]\System32\Config, qui est l'endroit où les ruches du Registre résident sur le disque. On ne peut cependant pas simplement naviguer vers ce répertoire et copier/coller car les ruches sont chargées en mémoire au démarrage du système et sont verrouillées. Un utilisateur standard peut récupérer les ruches à partir des copies instantanées de volume (Volume Shadow Copies) si elles existent.
/ ! [](name-of-gif-file. gif)
Le succès de cette exploitation repose sur le fait que des copies instantanées de volume (Volume Shadows Copies) existent... sans elles, le code n'est pas utile.
La vulnérabilité a été découverte par @jonasLyk.
