描述

• 该 PoC 程序利用了 IMFForceDelete 驱动，该驱动暴露了一个 ioctl，允许非特权用户删除文件和文件夹。我们可以利用 ZDI 和 Halov 解释的一种技术将其转化为权限提升，该技术利用了 MSI 回滚机制，该机制旨在在出现问题时维护系统完整性。通过删除它并使用弱 DACL 和伪造的 RBF 和 RBS 文件重新创建它，我们可以获得以 NT AUTHORITY\SYSTEM 身份对系统进行任意更改的能力。

视频

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

注意

• 不知道它是否已修复。在发布 PoC 时，它仍未修复。任意文件/文件夹删除已被另一位研究人员报告，供应商已知晓此事，但他们没有修复它，我只是将它从一个不太酷的漏洞升级为一个更酷、影响更大的漏洞，请参阅下面的文章。

文章

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

致谢

• Halov
• ZDI
• vx-underground and #ifndef hjonk