wiredpulse/invoke-hivenightmarePoC para CVE-2021-36934, que permite a um usuário padrão recuperar os hives SAM, Security e Software do Registro no Windows 10 versão 1809 ou superior.
PoC baseado em PowerShell para CVE-2021-36934, que permite que um usuário padrão recupere os hives do Registro SAM, Security e Software no Windows 10 versão 1809 ou superior.
Em versões específicas do Windows 10, usuários padrão têm direitos de leitura/execução em arquivos no diretório [SYSTEMROOT]\System32\Config, que é onde os hives do Registro residem no disco. No entanto, não é possível simplesmente navegar até o diretório e copiar/colar, pois os hives são carregados na memória durante a inicialização do sistema e ficam bloqueados. Um usuário padrão pode recuperar os hives de cópias de sombra de volume, se elas existirem.
/ ! [](name-of-gif-file. gif)
O sucesso deste exploit depende da existência de cópias de sombra de volume... sem elas, o código não é útil.
A vulnerabilidade foi descoberta por @jonasLyk.
