🗑️ delete-self-poc

O delete-self-poc é uma demonstração de um método para excluir um executável bloqueado ou um arquivo atualmente em execução do disco. Este conceito foi inicialmente descoberto por Jonas Lykkegaard, e eu criei a prova de conceito (POC) para ele. Além disso, pode ser usado para excluir arquivos bloqueados no disco, desde que o processo de chamada atual tenha as permissões necessárias para acessá-los e excluí-los.

Como isso funciona, no entanto - nesta POC?

1. Abra um HANDLE para o processo atualmente em execução com acesso DELETE. Observe que apenas o acesso DELETE é necessário.
2. Use a função SetFileInformationByHandle para renomear o fluxo de arquivo primário, :$DATA, para :wtfbbq.
3. Feche o HANDLE.
4. Abra um HANDLE para o processo atual e defina o sinalizador DeleteFile da classe FileDispositionInfo como TRUE.
5. Feche o HANDLE para acionar a disposição do arquivo.
6. Voilà! O arquivo agora se foi.

Lançamentos

Incluí uma versão com vínculo estático neste repositório, caso você não queira se dar ao trabalho de compilar o código-fonte original.