#windows #privesc #rpc #petitpotam

🦛 PetitPotam: Local Privilege Escalation

Now PetitPotato can elevate to SYSTEM on the latest windows.
My test version is 10.0.20348.1547


PetitPotam
از MS-EFSR (رمزگذاری سیستم فایل رمزگذاری شده از راه دور) استفاده می‌کند، پروتکلی که برای انجام عملیات نگهداری و مدیریت بر روی داده‌های رمزگذاری‌شده ذخیره‌شده از راه دور و دسترسی از طریق شبکه استفاده می‌شود. یک سری API شبیه به EfsRpcOpenFileRaw در MS-EFSR وجود دارد. نحو API EfsRpcOpenFileRaw در زیر نشان داده شده است .

long EfsRpcOpenFileRaw( [in] handle_t binding_h, [out] PEXIMPORT_CONTEXT_HANDLE* hContext, [in, string] wchar_t* FileName, [in] long Flags );


چنین API هایی می توانند یک مسیر UNC را از طریق پارامتر FileName برای باز کردن اشیاء رمزگذاری شده روی سرور برای پشتیبان گیری یا بازیابی مشخص کنند. وقتی مسیر در قالب \\IP\C$ مشخص شد، سرویس lsass.exe با دسترسی های حساب NT AUTHORITY SYSTEM به \\IP\pipe\srvsvc دسترسی خواهد داشت.

@pfksecurity