SeManageVolumeExploit

此漏洞为机器上的所有用户授予对 C:\ 驱动器的完全权限。

• 在令牌中启用该特权
• 使用 SYNCHRONIZE | FILE_TRAVERSE 创建指向 \.\C: 的句柄
• 发送 FSCTL_SD_GLOBAL_CHANGE，将 S-1-5-32-544 替换为 S-1-5-32-545

覆盖 "Printconfig.dll" 以获取 SYSTEM Shell 访问权限

在受保护目录中创建用户可控文件的能力，为权限提升带来了多种可能性。其中相对简单的技术之一，是将位于 "C:\Windows\System32\spool\drivers\x64\3" 的 "Printconfig.dll" 文件替换为恶意 DLL。通过启动 PrintNotify 对象，服务将加载我们伪造的 PrintConfig.dll，从而授予我们高权限的 SYSTEM Shell。

概念验证：

1. 生成一个自定义 DLL，并将其放在 C:\Windows\System32\spool\drivers\x64\3\Printconfig.dll。
2. 通过执行以下 PowerShell 命令来启动 PrintNotify 对象：

$type = [Type]::GetTypeFromCLSID("{854A20FB-2D44-457D-992F-EF13785D2B51}")
$object = [Activator]::CreateInstance($type)

3. 获取系统 shell 访问权限。

致谢：

• https://github.com/gtworek/PSBits/blob/master/Misc/FSCTL_SD_GLOBAL_CHANGE.c
• https://twitter.com/0gtweet/status/1303427935647531018
• https://github.com/xct/SeRestoreAbuse
• https://decoder.cloud/2023/02/16/eop-via-arbitrary-file-write-overwite-in-group-policy-client-gpsvc-cve-2022-37955/