DirCreate2System

Armare i bug di creazione di directory privilegiate con Windows Error Reporting per ottenere NT AUTHORITY\SYSTEM

Breve descrizione:

Ho scoperto che comctl32.dll (che manca nella directory di sistema che in realtà non esiste) è stato caricato da wermgr.exe tramite la segnalazione errori di Windows eseguendo schtasks. Ciò significa che se possiamo creare una cartella denominata C:\windows\system32\wermgr.exe.local con ACL con permessi completi, possiamo dirottare il comctl32.dll in quella cartella. Quindi, ho creato questa PoC come metodo di creazione di directory per una shell con NT AUTHORITY\SYSTEM.

Video PoC

POC.wmv (con il bug di creazione di directory di backblaze)

Nota: Ho già segnalato a backblaze e mi hanno risposto che è un problema noto. Quindi, ho realizzato un video PoC per scopi educativi di questa PoC dircreate2system.

Per scopi di test:

(se hai un bug di creazione di directory tramite vulnerabilità di servizio, non ti serve accesso da amministratore)

1. Come amministratore, crea la directory wermgr.exe.local in C:\Windows\System32\
2. E poi, concedi il controllo di accesso cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. Metti il file spawn.dll e dircreate2system.exe nella stessa directory.
4. Quindi, esegui dircreate2system.exe.
5. Goditi una shell come NT AUTHORITY\SYSTEM.

Nota:

Puoi anche usare altri metodi consultando questo dir_create2system.txt