Invoke-HiveNightmare

PowerShell-आधारित PoC CVE-2021-36934 के लिए, जो एक सामान्य उपयोगकर्ता को Windows 10 संस्करण 1809 या उससे नए में SAM, Security और Software Registry hives प्राप्त करने में सक्षम बनाता है।

स्थिति

Windows 10 के विशिष्ट संस्करणों में, सामान्य उपयोगकर्ताओं के पास [SYSTEMROOT]\System32\Config निर्देशिका में फ़ाइलों पर पढ़ने/निष्पादित करने के अधिकार होते हैं, जहाँ Registry hives डिस्क पर स्थित होते हैं। हालाँकि, कोई भी सीधे निर्देशिका में जाकर कॉपी/पेस्ट नहीं कर सकता क्योंकि hives सिस्टम बूट पर मेमोरी में लोड हो जाते हैं और लॉक हो जाते हैं। एक सामान्य उपयोगकर्ता Volume Shadow Copies (यदि वे मौजूद हैं) से hives प्राप्त कर सकता है।

डेमो

/ ! [](name-of-gif-file. gif)

अस्वीकरण

इस एक्सप्लॉइट की सफलता इस तथ्य पर निर्भर करती है कि Volume Shadow Copies मौजूद हैं... उनके बिना कोड उपयोगी नहीं है।

श्रेय

इस कमजोरी की खोज @jonasLyk द्वारा की गई थी।