DirCreate2System

Windows エラー報告を利用した特権ディレクトリ作成バグから NT AUTHORITY\SYSTEM を取得するための武器化

簡単な説明:

システムディレクトリには存在しない comctl32.dll が、schtasks の実行による Windows エラー報告を介して wermgr.exe によって読み込まれることを発見しました。つまり、フルアクセス許可 ACL で C:\windows\system32\wermgr.exe.local という名前のフォルダを作成できれば、そのフォルダ内の comctl32.dll をハイジャックできます。そこで、この POC をディレクトリ作成から NT AUTHORITY\SYSTEM シェルを獲得する手法として作成しました。

POC 動画

POC.wmv (backblaze のディレクトリ作成バグを使用)

備考: この問題はすでに backblaze に報告済みで、既知の問題であると返答されました。そのため、この dircreate2system POC の教育目的で動画 POC を作成しました。

テスト目的の場合:

(サービス脆弱性によるディレクトリ作成バグがある場合、管理者アクセスは不要です)

1. 管理者として、C:\Windows\System32\ に wermgr.exe.local ディレクトリを作成します。
2. 次に、アクセス制御を付与します。cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. spawn.dll ファイルと dircreate2system.exe を同じディレクトリに配置します。
4. 次に、dircreate2system.exe を実行します。
5. NT AUTHORITY\SYSTEM としてシェルを楽しめます。

注記:

別の方法も使用できます。こちらを参照してください: dir_create2system.txt