SeManageVolumeExploit

このエクスプロイトは、マシン上のすべてのユーザーに C:\ ドライブの完全な権限を付与します。

• トークン内の特権を有効化します
• SYNCHRONIZE | FILE_TRAVERSE を使用して \.\C: へのハンドルを作成します
• FSCTL_SD_GLOBAL_CHANGE を送信して S-1-5-32-544 を S-1-5-32-545 に置き換えます

"Printconfig.dll" の上書きによる SYSTEM シェルアクセス

保護されたディレクトリ内にユーザーが制御するファイルを作成できる能力は、権限昇格の多くの可能性を開きます。比較的単純な手法の 1 つは、"C:\Windows\System32\spool\drivers\x64\3" にある "Printconfig.dll" ファイルを悪意のある DLL に置き換えることです。PrintNotify オブジェクトを開始することで、サービスは私たちの悪意のある PrintConfig.dll を読み込み、特権を持つ SYSTEM シェルを提供します。

概念実証:

1. カスタム DLL を生成し、C:\Windows\System32\spool\drivers\x64\3\Printconfig.dll に配置します。
2. 以下の PowerShell コマンドを実行して PrintNotify オブジェクトを開始します。

$type = [Type]::GetTypeFromCLSID("{854A20FB-2D44-457D-992F-EF13785D2B51}")
$object = [Activator]::CreateInstance($type)

3. SYSTEM シェルアクセスを取得します。

クレジット :

• https://github.com/gtworek/PSBits/blob/master/Misc/FSCTL_SD_GLOBAL_CHANGE.c
• https://twitter.com/0gtweet/status/1303427935647531018
• https://github.com/xct/SeRestoreAbuse
• https://decoder.cloud/2023/02/16/eop-via-arbitrary-file-write-overwite-in-group-policy-client-gpsvc-cve-2022-37955/