🗑️ delete-self-poc

delete-self-poc — это демонстрация метода удаления заблокированного исполняемого файла или файла, который в данный момент выполняется, с диска. Эта концепция была первоначально обнаружена Йонасом Люккегором, и я создал для неё доказательство концепции (POC). Кроме того, его можно использовать для удаления заблокированных файлов на диске, при условии, что текущий вызывающий процесс имеет необходимые разрешения для доступа к ним и их удаления.

Как же это работает в данном POC?

1. Откройте HANDLE для текущего запущенного процесса с правом DELETE. Обратите внимание, что требуется только право DELETE.
2. Используйте функцию SetFileInformationByHandle, чтобы переименовать основной файловый поток :$DATA в :wtfbbq.
3. Закройте HANDLE.
4. Откройте HANDLE для текущего процесса и установите флаг DeleteFile класса FileDispositionInfo в значение TRUE.
5. Закройте HANDLE, чтобы запустить удаление файла.
6. Вуаля! Файл исчез.

Релизы

Я включил в этот репозиторий статически слинкованный релиз, если вам не хочется возиться с компиляцией исходного кода.