DirCreate2System

利用 Windows 错误报告，将特权目录创建漏洞武器化以获得 NT AUTHORITY\SYSTEM 权限

简短描述：

我发现 comctl32.dll（系统目录中缺失，实际上并不存在）已被 wermgr.exe 通过 Windows 错误报告执行 schtasks 时加载。这意味着如果我们能够创建一个名为 C:\windows\system32\wermgr.exe.local 的文件夹，并赋予其完全控制 ACL，就可以在该文件夹中劫持 comctl32.dll。于是，我编写了这个 PoC，作为一种目录创建到 NT AUTHORITY\SYSTEM shell 的方法。

POC 视频

POC.wmv（利用 backblaze 的目录创建漏洞）

备注：我已经向 backblaze 报告了此问题，他们回复我说这是已知问题。因此，我制作了一个视频 PoC，用于教育目的，展示这个 dircreate2system PoC。

用于测试目的：

（如果你通过服务漏洞获得了目录创建能力，则不需要管理员访问权限）

1. 作为管理员，在 C:\Windows\System32\ 中创建目录 wermgr.exe.local
2. 然后，授予其访问控制权限 cacls C:\Windows\System32\wermgr.exe.local /e /g everyone:f
3. 将 spawn.dll 文件和 dircreate2system.exe 放在同一目录中。
4. 然后，运行 dircreate2system.exe。
5. 即可获得一个 NT AUTHORITY\SYSTEM 权限的 shell。

注意：

你还可以通过查看以下内容来使用其他方法： dir_create2system.txt