SharpPolarBear

Questa è una versione armata per uno degli Exploit pubblicati da SandboxEscaper da qui (https://github.com/SandboxEscaper/polarbearrepo).

La maggior parte del codice proviene dal repository CollectorService di rasta-mouse (https://github.com/rasta-mouse/CollectorService). Ho semplicemente convertito il codice CVE-2019-0841 dal codice C++ originale di SandboxEscaper in C# e aggiunto alcuni controlli.

Ho anche aggiunto i binari necessari (schtasks.exe, schedsvc.dll + un file Job di Windows XP esportato), che vengono decompressi durante l'esecuzione e cancellati successivamente. Quindi qui hai bisogno solo di un binario.

Windows Defender sembra avere un rilevamento euristico per le applicazioni che creano un hardlink da C:\windows\system32\tasks a un file in C:\windows\system32. Quindi con Defender questo eseguibile è molto probabilmente bloccato/rilevato.

Devi eseguire l'eseguibile due volte per ottenere una shell di sistema.

Disclaimer legale:

L'utilizzo di SharpPolarBear per attaccare target senza previo consenso reciproco è illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. Gli sviluppatori non si assumono alcuna responsabilità e non sono responsabili per qualsiasi uso improprio o danno causato da questo programma. Utilizzare solo a scopo didattico / di test di penetrazione.