​​Рубрика "фишечки" от Microsoft: Cmd hijack

Со вчерашнего дня все обсуждают новую найденную "фишечку" в cmd.exe

Если вы еще не слышали - мы делимся с вами статьей по этому поводу - https://hackingiscool.pl/cmdhijack-command-argument-confusion-with-path-traversal-in-cmd-exe/

Что произошло: исследователь Julian Horoszkiewicz проводил исследование и наткнулся на интересную особенность в поведении cmd.exe - можно "обмануть" командную строку и запустить вместо ожидаемой программы другую. Пример представлен на скриншоте - вместо ожидаемого ping.exe мы запускаем calc.exe

Почему это возможно: найденная особенность не является уязвимостью - такого рода обработка относительных путей нужна для нормальной работы cmd.exe и запуска определенных программ. Это "фишечка", которая будет продолжать работать.

Чем грозит: говорят, что запуск исполняемых файлов таким образом помогает обойти некоторые DFIR тулзы