Описание

PoC-программа эксплуатирует драйвер IMFForceDelete, который предоставляет ioctl, позволяющий непривилегированным пользователям удалять файлы и папки. Мы можем превратить это в повышение привилегий, используя технику, описанную ZDI и Halov, которая эксплуатирует механизм отката MSI, предназначенный для поддержания целостности системы в случае проблем. Удалив и воссоздав его со слабой DACL и поддельными файлами RBF и RBS, мы можем получить возможность вносить произвольные изменения в систему от имени NT AUTHORITY\SYSTEM.

VID