Invoke-HiveNightmare

CVE-2021-36934에 대한 PowerShell 기반 PoC로, Windows 10 버전 1809 이상에서 표준 사용자가 SAM, Security 및 Software 레지스트리 하이브를 검색할 수 있게 해줍니다.

상황

특정 Windows 10 버전에서 표준 사용자는 [SYSTEMROOT]\System32\Config 디렉토리의 파일에 대한 읽기/실행 권한을 가지고 있습니다. 이 디렉토리는 레지스트리 하이브가 디스크에 저장된 위치입니다. 그러나 하이브가 시스템 부팅 시 메모리에 로드되어 잠겨 있기 때문에 단순히 디렉토리로 이동하여 복사/붙여넣기 할 수 없습니다. 표준 사용자는 볼륨 섀도 복사본이 존재하는 경우 이를 통해 하이브를 검색할 수 있습니다.

데모

/ ! [](name-of-gif-file. gif)

면책 조항

이 익스플로잇의 성공은 볼륨 섀도 복사본이 존재한다는 사실에 달려 있습니다... 볼륨 섀도 복사본이 없으면 이 코드는 유용하지 않습니다.

크레딧

이 취약점은 @jonasLyk에 의해 발견되었습니다.