विवरण

• PoC प्रोग्राम IMFForceDelete ड्राइवर का फायदा उठाता है जो एक ioctl को उजागर करता है जिससे अपराधी उपयोगकर्ता फ़ाइलों और फ़ोल्डरों को हटा सकते हैं। हम इसे विशेषाधिकार वृद्धि में बदल सकते हैं, ZDI और Halov द्वारा समझाई गई एक तकनीक का उपयोग करके, जो MSI रोलबैक तंत्र का फायदा उठाती है जिसे समस्याओं की स्थिति में सिस्टम अखंडता बनाए रखने के लिए डिज़ाइन किया गया है। इसे हटाकर और कमजोर DACL और नकली RBF और RBS फ़ाइलों के साथ फिर से बनाकर हम NT AUTHORITY\SYSTEM के रूप में सिस्टम में मनमाने बदलाव करने की क्षमता प्राप्त कर सकते हैं।

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

नोट

• पता नहीं यह ठीक हुआ है या नहीं। PoC पोस्ट करने के समय, यह अभी भी ठीक नहीं हुआ था। मनमानी फ़ाइल/फ़ोल्डर विलोपन पहले से ही एक अन्य शोधकर्ता द्वारा रिपोर्ट किया गया था और विक्रेता को इसकी जानकारी थी और उन्होंने इसे ठीक नहीं किया, मैंने इसे केवल एक बहुत बढ़िया बग से एक अधिक प्रभाव वाले बग में बढ़ाया, नीचे लेख देखें।

लेख

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

श्रेय

• Halov
• ZDI
• vx-underground and #ifndef hjonk