SeManageVolumeExploit

이 익스플로잇은 머신의 모든 사용자에게 C:\ 드라이브에 대한 모든 권한을 부여합니다.

• 토큰에서 권한을 활성화합니다.
• SYNCHRONIZE | FILE_TRAVERSE로 \.\C:에 대한 핸들을 생성합니다.
• S-1-5-32-544를 S-1-5-32-545로 교체하도록 FSCTL_SD_GLOBAL_CHANGE를 보냅니다.

SYSTEM 셸 액세스를 위한 "Printconfig.dll" 덮어쓰기

보호된 디렉터리 내에서 사용자가 제어하는 파일을 생성할 수 있는 능력은 권한 상승을 위한 수많은 가능성을 열어줍니다. 비교적 간단한 기술 중 하나는 "C:\Windows\System32\spool\drivers\x64\3"에 위치한 "Printconfig.dll" 파일을 악성 DLL로 교체하는 것입니다. PrintNotify 개체를 시작하면 서비스가 우리의 악성 PrintConfig.dll을 로드하여 권한 있는 SYSTEM 셸을 얻게 됩니다.

개념 증명:

1. 사용자 지정 DLL을 생성하고 C:\Windows\System32\spool\drivers\x64\3\Printconfig.dll에 배치합니다.
2. 다음 PowerShell 명령을 실행하여 PrintNotify 개체를 시작합니다:

$type = [Type]::GetTypeFromCLSID("{854A20FB-2D44-457D-992F-EF13785D2B51}")
$object = [Activator]::CreateInstance($type)

3. 시스템 셸 액세스 권한을 얻습니다.

크레딧 :

• https://github.com/gtworek/PSBits/blob/master/Misc/FSCTL_SD_GLOBAL_CHANGE.c
• https://twitter.com/0gtweet/status/1303427935647531018
• https://github.com/xct/SeRestoreAbuse
• https://decoder.cloud/2023/02/16/eop-via-arbitrary-file-write-overwite-in-group-policy-client-gpsvc-cve-2022-37955/