DirCreate2System

Превращаем получение NT AUTHORITY\SYSTEM для привилегированных ошибок создания каталогов с помощью Windows Error Reporting

Краткое описание:

Я обнаружил, что comctl32.dll (которого нет в системном каталоге, которого на самом деле не существует) загружается wermgr.exe через Windows Error Reporting при запуске schtasks. Это означает, что если мы можем создать папку с именем C:\windows\system32\wermgr.exe.local с правами полного доступа ACL, мы можем перехватить comctl32.dll в этих папках. Затем я создал этот PoC как метод превращения создания каталога в оболочку NT AUTHORITY\SYSTEM.

POC видео

POC.wmv (с ошибкой создания каталога Backblaze)

Примечание: Я уже сообщил об этом в Backblaze, и они ответили, что это известная проблема. Поэтому я сделал видео-PoC в образовательных целях для этого dircreate2system PoC.

Для целей тестирования:

(если у вас есть ошибка создания каталога через уязвимости служб, доступ администратора не нужен)

1. От имени администратора создайте каталог wermgr.exe.local в C:\Windows\System32\
2. Затем предоставьте ему права доступа cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. Поместите файл spawn.dll и dircreate2system.exe в один каталог.
4. Затем запустите dircreate2system.exe.
5. Наслаждайтесь оболочкой с правами NT AUTHORITY\SYSTEM.

Примечание:

Вы также можете использовать другие методы, посмотрев этот dir_create2system.txt