説明

• PoCプログラムは、IMFForceDeleteドライバを悪用します。このドライバは、権限のないユーザーがファイルやフォルダを削除できるioctlを公開しています。ZDIとHalovによって説明されたMSIロールバックメカニズムを悪用する手法を使用することで、これを権限昇格に変えることができます。このメカニズムは、問題が発生した場合にシステムの整合性を維持するために設計されています。弱いDACLと偽のRBFおよびRBSファイルを使用して削除および再作成することで、NT AUTHORITY\SYSTEMとしてシステムに任意の変更を加える能力を得ることができます。

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

解説記事

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

クレジット

• Halov
• ZDI
• vx-underground and #ifndef hjonk