DirCreate2System

Transformando em arma para obter NT AUTHORITY\SYSTEM por meio de bugs de criação de diretórios privilegiados com o Windows Error Reporting

Descrição resumida:

Descobri que comctl32.dll (que está ausente no diretório do sistema, que na verdade não existe) foi carregada por wermgr.exe via relatório de erros do Windows ao executar schtasks. Isso significa que, se pudermos criar uma pasta chamada C:\windows\system32\wermgr.exe.local com ACL de permissão total, podemos sequestrar a comctl32.dll nessa pasta. Então, criei este poc como um método de criação de diretório para obter um shell NT AUTHORITY\SYSTEM.

Vídeo POC

POC.wmv (com o bug de criação de diretório da backblaze)

Observação: Já reportei à backblaze e eles me responderam que é um problema conhecido. Então, fiz um vídeo poc para fins educacionais deste poc dircreate2system.

Para fins de teste:

(se você tiver um bug de criação de diretório por meio de vulnerabilidades de serviço, não precisará de acesso de administrador)

1. Como administrador, crie o diretório wermgr.exe.local em C:\Windows\System32\
2. Em seguida, conceda a ele o controle de acesso cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. Coloque o arquivo spawn.dll e o dircreate2system.exe no mesmo diretório.
4. Depois, execute dircreate2system.exe.
5. Aproveite um shell como NT AUTHORITY\SYSTEM.

Nota:

Você também pode usar outros métodos visualizando este dir_create2system.txt