这是 Sysmon 14.14 版本中任意文件写入漏洞的概念验证（PoC）
在最近一次补丁后，Sysmon 会检查 Archive 目录是否存在，如果存在，则检查该目录是否由 NT AUTHORITY\SYSTEM 所有，并且访问权限仅授予 NT AUTHORITY\SYSTEM。 如果两个条件都满足，Sysmon 将在此目录中写入/删除文件。
由于低权限用户无法更改文件/目录的所有权，我必须找到一个由 SYSTEM 拥有但给予低权限用户（或低权限用户所属的任何组）完全访问权限，或至少 WRITE_DAC|DELETE|FILE_WRITE_ATTRIBUTES 权限的目录。
在默认安装中我未能找到这样的目录，但通过滥用 Windows 服务跟踪和 RasMan 服务，我能够创建一个。
此 PoC 仅适用于 Sysmon 14.14 版本以及四月补丁之前的 Windows 客户端，因为四月补丁修复 CVE-2023-28222 时引入的更改破坏了我用来创建由 SYSTEM 拥有并向低权限用户授予完全访问权限的目录的技巧。如果你能滥用其他 Windows 服务来创建目录（或者找到第三方应用程序创建的目录 :）），则可以修改 PoC 以在四月补丁后的客户端上运行。
https://itm4n.github.io/cve-2020-0668-windows-service-tracing-eop/ (@itm4n)
