wh04m1001/cve-2023-29343Sysmon 14.14 における任意ファイル書き込みの概念実証エクスプロイト。Windows サービストレーシングを悪用して権限昇格を達成します。
これは Sysmon バージョン 14.14 の任意ファイル書き込みバグに対する PoC です。
最後のパッチ以降、Sysmon は Archive ディレクトリが存在するかどうかを確認し、存在する場合は、そのアーカイブディレクトリが NT AUTHORITY\SYSTEM によって所有され、アクセスが NT AUTHORITY\SYSTEM にのみ許可されているかどうかを確認します。 両方の条件が満たされた場合、Sysmon はそのディレクトリ内のファイルを書き込み/削除します。
低権限ユーザーがファイル/ディレクトリの所有権を変更することは不可能であるため、SYSTEM によって所有されているが、低権限ユーザー（または低権限ユーザーが所属する任意のグループ）にフルアクセス、または少なくとも WRITE_DAC|DELETE|FILE_WRITE_ATTRIBUTES を許可するディレクトリを見つける必要がありました。
デフォルトインストールではそのようなディレクトリを見つけることはできませんでしたが、Windows サービストレースと RasMan サービスを悪用して作成することができました。
この PoC は Sysmon バージョン 14.14 と、4月パッチ適用前の Windows クライアントでのみ動作します。これは、CVE-2023-28222 のパッチで導入された変更により、SYSTEM によって所有され、低権限ユーザーにフルアクセスを許可するディレクトリを作成するために使用したトリックが無効化されたためです。4月パッチ適用後のクライアントで動作させるには、他の Windows サービスを悪用してディレクトリを作成できれば（またはサードパーティのアプリによって作成されたディレクトリを見つけられれば:)、PoC を変更することができます。
https://itm4n.github.io/cve-2020-0668-windows-service-tracing-eop/ (@itm4n)
