wiredpulse/invoke-hivenightmarePoC для CVE-2021-36934, который позволяет обычному пользователю получать кусты реестра SAM, Security и Software в Windows 10 версии 1809 или новее.
PoC на основе PowerShell для CVE-2021-36934, который позволяет обычному пользователю извлекать кусты реестра SAM, Security и Software в Windows 10 версии 1809 или новее.
В отдельных версиях Windows 10 обычные пользователи имеют права на чтение/исполнение для файлов в каталоге [SYSTEMROOT]\System32\Config, где на диске находятся кусты реестра. Однако нельзя просто перейти в этот каталог и скопировать их, поскольку при загрузке системы кусты загружаются в память и блокируются. Обычный пользователь может получить кусты из теневых копий томов, если они существуют.
/ ! [](name-of-gif-file. gif)
Успех этого эксплойта основан на том факте, что существуют теневые копии томов... без них код бесполезен.
Уязвимость была обнаружена @jonasLyk.
