🗑️ delete-self-poc

delete-self-poc는 잠긴 실행 파일이나 현재 실행 중인 파일을 디스크에서 삭제하는 방법을 시연합니다. 이 개념은 처음에 Jonas Lykkegaard가 발견했으며, 저는 이에 대한 개념 증명(POC)을 만들었습니다. 또한 현재 호출 프로세스에 해당 파일에 접근하고 삭제하는 데 필요한 권한이 있다면 디스크에서 잠긴 파일을 삭제하는 데에도 사용할 수 있습니다.

그런데 이 POC에서는 어떻게 작동할까요?

1. DELETE 액세스 권한으로 현재 실행 중인 프로세스에 대한 HANDLE을 엽니다. DELETE 액세스만 필요하다는 점에 유의하세요.
2. SetFileInformationByHandle 함수를 사용하여 기본 파일 스트림인 :$DATA의 이름을 :wtfbbq로 바꿉니다.
3. HANDLE을 닫습니다.
4. 현재 프로세스에 대한 HANDLE을 열고 FileDispositionInfo 클래스의 DeleteFile 플래그를 TRUE로 설정합니다.
5. HANDLE을 닫아 파일 처리를 트리거합니다.
6. 짜잔! 이제 파일이 사라졌습니다.

릴리스

원본 소스 코드를 컴파일하기 번거롭다면 이 저장소에 정적으로 링크된 릴리스를 포함해 두었습니다.