Descrição

• O programa PoC explora o driver IMFForceDelete que expõe um ioctl que permite que utilizadores não privilegiados eliminem ficheiros e pastas. Podemos transformar isto numa escalada de privilégios utilizando uma técnica explicada pela ZDI e Halov, que explora o mecanismo de rollback do MSI, projetado para manter a integridade do sistema em caso de problemas. Ao eliminar e recriá-lo com um DACL fraco e ficheiros RBF e RBS falsos, podemos obter a capacidade de fazer alterações arbitrárias no sistema como NT AUTHORITY\SYSTEM.

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

Write-up

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

CRÉDITOS

• Halov
• ZDI
• vx-underground e #ifndef hjonk