https://cyberveille.ch/tags/ms-rpc-fuzzer/ Recent content in MS-RPC-Fuzzer on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 06 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-06-fuzzing-recursif-des-structures-ms-rpc-avec-etw-escalade-de-privileges-vers-nt-authority-system/ Wed, 06 May 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-05-06-fuzzing-recursif-des-structures-ms-rpc-avec-etw-escalade-de-privileges-vers-nt-authority-system/ <h2 id="-contexte">🔍 Contexte</h2> <p>Article technique publié le 4 mai 2026 par Remco van der Meer sur incendium.rocks, présentant des mises à jour du projet <strong>MS-RPC-Fuzzer</strong> et les résultats obtenus, notamment la découverte d&rsquo;une <strong>escalade de privilèges vers NT AUTHORITY\SYSTEM</strong>.</p> <h2 id="-améliorations-du-fuzzer-ms-rpc">🛠️ Améliorations du fuzzer MS-RPC</h2> <p>Deux fonctionnalités majeures ont été implémentées :</p> <ul> <li><strong>Fuzzing récursif des structures complexes</strong> : trois fonctions coopérantes (<code>New-FuzzedInstance</code>, <code>Get-FuzzFieldValue</code>, <code>New-NdrEmbeddedPointerValue</code>) permettent de traverser récursivement les structures NDR imbriquées, avec des garde-fous anti-récursion infinie (profondeur max 8, ensemble <code>$Visited</code>).</li> <li><strong>Support des types Union</strong> : gestion des unions MS-RPC IDL en sélectionnant aléatoirement un bras (<code>Arm_N</code>) et en synchronisant le discriminant pour éviter l&rsquo;erreur <code>No matching union selector when marshaling</code>.</li> </ul> <h2 id="-remplacement-de-process-monitor-par-etw">📡 Remplacement de Process Monitor par ETW</h2> <p>Le fuzzer utilise désormais <strong>Event Tracing for Windows (ETW)</strong> via P/Invoke sur <code>advapi32.dll</code> et <code>tdh.dll</code> pour surveiller l&rsquo;activité fichier et registre :</p>