🗑️ delete-self-poc

Il delete-self-poc è una dimostrazione di un metodo per eliminare un eseguibile bloccato o un file attualmente in esecuzione dal disco. Questo concetto è stato inizialmente scoperto da Jonas Lykkegaard, e io ne ho creato la prova di concetto (POC). Inoltre, può essere utilizzato per eliminare file bloccati dal disco, a condizione che il processo chiamante corrente abbia i permessi necessari per accedervi ed eliminarli.

Come funziona, però, in questo POC?

1. Aprire un HANDLE al processo corrente in esecuzione con accesso DELETE. Si noti che è richiesto solo l'accesso DELETE.
2. Usare la funzione SetFileInformationByHandle per rinominare lo stream di file primario, :$DATA, in :wtfbbq.
3. Chiudere l'HANDLE.
4. Aprire un HANDLE al processo corrente e impostare il flag DeleteFile della classe FileDispositionInfo su TRUE.
5. Chiudere l'HANDLE per attivare la disposizione del file.
6. Voilà! Il file ora è sparito.

Releases

Ho incluso una release a collegamento statico in questo repository, se non hai voglia di compilare il codice sorgente originale.