CVE-2018-19323: إطار استغلال GIGABYTE GDrv

نظرة عامة

يحتوي هذا المستودع على إطار استغلال متكامل ومتقدم لـ CVE-2018-19323، وهي ثغرة أمنية حرجة في برنامج تشغيل GIGABYTE gdrv.sys. تسمح هذه الثغرة للمستخدمين غير المصرح لهم بقراءة وكتابة سجلات النماذج الخاصة (MSRs) بشكل عشوائي، مما يؤدي إلى اختراق كامل لـ Ring-0 (النواة) ورفع الامتيازات إلى NT AUTHORITY\SYSTEM.

تم تصميم الإطار ليكون معياريًا وقويًا وغنيًا بالميزات، مما يوفر أداة شاملة للبحث الأمني، وفرق الاختراق (Red Teaming)، وتحليل الثغرات.

الميزات الرئيسية

• استغلال كامل للنواة: يحقق رفع الامتيازات من خلال تسريب عنوان قاعدة النواة عبر MSR IA32_LSTAR وتنفيذ شيلكود لسرقة التوكنات.
• دعم متعدد البنى: يتكيف ديناميكيًا مع بنى x86 و x64 و ARM64، بما في ذلك الشيلكودات والهياكل والأدوات الخاصة بكل بنية.
• محرك تهرب متقدم: يطبق مجموعة واسعة من تقنيات مكافحة التحليل، ومكافحة الأجهزة الافتراضية، ومكافحة التصحيح لتجاوز الحلول الأمنية الحديثة.
• نظام حمولات مخصص: يضم منشئ حمولات قوي لتوليد شيلكودات مخصصة (سرقة التوكن، شيلات عكسية/ارتباطية، إلخ) مع خيارات ترميز متنوعة (XOR، Shikata Ga Nai، متعدد الأشكال).
• تكامل مع الأطر: يولد وحدات وسكربتات جاهزة لأطر C2 الشائعة، بما في ذلك Metasploit و Cobalt Strike و Empire و Sliver.
• مراقبة شاملة: يتضمن نظام تسجيل ومراقبة أداء مفصل ينشئ تقارير JSON بدرجات موثوقية.
• تصميم معياري: تم تنظيم الكود في وحدات منطقية (core, payloads, evasion, monitor, multiarch, framework) لسهولة التوسع والصيانة.

هيكل الملفات

.
├── exploit.py         # إطار الاستغلال الرئيسي وواجهة سطر الأوامر
├── core.py            # التفاعل الأساسي مع برنامج التشغيل وأفعال الاستغلال
├── payloads.py        # توليد الشيلكود، الحمولات المخصصة، والترميز
├── evasion.py         # تقنيات مكافحة الأجهزة الافتراضية، ومكافحة التصحيح، والإصرار
├── monitor.py         # التسجيل، مراقبة الأداء، وإعداد التقارير
├── multiarch.py       # دعم متعدد البنى (x86/x64/ARM64)
├── framework.py       # التكامل مع Metasploit و Cobalt Strike، إلخ.
├── tests.py           # اختبارات شاملة (وحدة، تكامل، أداء)
└── README.md          # ملف التوثيق هذا

البدء

المتطلبات

• نظام التشغيل: Windows (تم اختباره على Windows 7 و 10 و 11)
• برنامج التشغيل المُعَرَّب: يجب أن يكون برنامج التشغيل gdrv.sys موجودًا على النظام المستهدف.
• Python: Python 3.x
• التوابع: psutil، cryptography، requests

# تثبيت حزم Python المطلوبة
pip install psutil cryptography requests

الاستخدام

يتم تنفيذ إطار الاستغلال الرئيسي عبر exploit.py. وهو يوفر عدة خيارات لسطر الأوامر لأنماط تشغيل مختلفة.

# عرض المساعدة وجميع الخيارات المتاحة
python exploit.py --help

# وضع التخفي الافتراضي (موصى به)
# يقوم بجميع فحوصات التهرب قبل الاستغلال.
python exploit.py

# الوضع العدواني
# يتخطى فحوصات التهرب للتنفيذ الأسرع في البيئات الخاضعة للسيطرة.
python exploit.py --aggressive

# وضع التصحيح
# يوفر تسجيلاً مفصلاً للتطوير والتحليل.
python exploit.py --debug

# تشغيل مجموعة الاختبارات الكاملة
# يتحقق من صحة جميع مكونات الإطار دون تنفيذ الاستغلال.
python exploit.py --test-only

تحذير قانوني

[!WARNING] هذه البرمجيات مخصصة للأغراض التعليمية وأبحاث الأمن المصرح بها فقط. الاستخدام غير المصرح به على أي نظام غير قانوني وممنوع منعاً باتاً. المؤلف، kali، غير مسؤول عن أي ضرر أو إساءة استخدام لهذا الإطار.

الغوص الفني

معلومات الثغرة

• معرف CVE: CVE-2018-19323
• نقاط CVSS: 9.8 (حرجة)
• المكون المتأثر: برنامج تشغيل GIGABYTE gdrv.sys
• التأثير: رفع الامتيازات المحلية إلى SYSTEM
• ناقل الهجوم: يتطلب وصولاً محلياً
• الاستخدام الواقعي: تم استغلالها من قبل برمجيات فدية RobbinHood ومجموعات APT

تحليل الثغرة (CVE-2018-19323)

يقوم برنامج التشغيل gdrv.sys بتعريض IOCTL 0xC3502580 الذي يمكن لأي تطبيق في وضع المستخدم استدعاءه. يأخذ هذا IOCTL هيكلًا يحتوي على نوع العملية (قراءة/كتابة)، وفهرس سجل MSR، وقيمة. لا يقوم برنامج التشغيل بأي فحوصات للتحكم في الوصول، مما يسمح لأي عملية بقراءة أو كتابة أي MSR.

هذا عيب حرج لأن MSRs تتحكم في عمليات وحدة المعالجة المركزية الأساسية. على وجه التحديد، يخزن MSR IA32_LSTAR (في العنوان 0xC0000082) عنوان معالج استدعاء النظام في النواة. من خلال قراءة هذا MSR، يمكننا تجاوز توزيع عنوان مساحة النواة العشوائي (KASLR) وحساب عنوان قاعدة النواة. ومن خلال الكتابة عليه، يمكننا إعادة توجيه استدعاءات النظام إلى الشيلكود الخاص بنا، مما يحقق تنفيذ كود عشوائي في Ring-0.

سلسلة الاستغلال

1. الاتصال ببرنامج التشغيل: يفتح الإطار مقبضًا لجهاز \\.\GIO.
2. تسريب قاعدة النواة: يقرأ MSR IA32_LSTAR للحصول على مؤشر داخل النواة، متجاوزًا KASLR.
3. حقن الحمولة: يتم تحضير شيلكود لسرقة التوكن. تم تصميم هذا الشيلكود للعثور على هيكل EPROCESS للعملية الحالية، وتحديد موقع EPROCESS لعملية SYSTEM (PID 4)، ونسخ توكن الأمان الخاص بها إلى عمليتنا.
4. اختطاف تدفق التنفيذ: يتم استبدال عنوان MSR IA32_LSTAR بعنوان الشيلكود الخاص بنا.
5. تشغيل الحمولة: يتم تشغيل استدعاء نظام، مما يتسبب في انتقال وحدة المعالجة المركزية إلى الشيلكود الخاص بنا بدلاً من معالج النواة الشرعي.
6. رفع الامتيازات: يتم تنفيذ الشيلكود، وتمتلك عمليتنا الآن صلاحيات NT AUTHORITY\SYSTEM.
7. التنظيف: يتم استعادة قيمة IA32_LSTAR الأصلية لمنع عدم استقرار النظام.

الميزات الإضافية المنفذة

• نواقل تهرب جديدة: تتضمن وحدة evasion.py فحوصات لعدد أنوية وحدة المعالجة المركزية، وحجم القرص، ونشاط الملفات الأخير، والبرامج المثبتة، وكشف التوقيت/الخطافات المتقدم لإنشاء بصمة بيئية أكثر قوة.
• نظام حمولات مخصص: تسمح وحدة payloads.py بالتوليد الديناميكي لحمولات متنوعة (شيلات عكسية، Meterpreter، منارات Cobalt Strike) لبنى مختلفة، مع طبقات متعددة من الترميز.
• دعم متعدد البنى: توفر وحدة multiarch.py طبقة تجريد شاملة للتعامل مع الاختلافات بين x86 و x64 و ARM64، بما في ذلك أحجام المؤشرات، واتفاقيات الاستدعاء، وهياكل النواة، ومجموعات التعليمات.
• تكامل مع الأطر: يمكن لوحدة framework.py توليد وحدات جاهزة للاستخدام لـ Metasploit (.rb)، و Cobalt Strike (.cna)، و Empire (.py)، و Sliver (.go)، مما يؤتمت عملية التكامل لعمليات الفرق الحمراء.

الاختبار

يتضمن الإطار مجموعة اختبارات شاملة في tests.py. يمكنك تشغيل جميع الاختبارات لضمان سلامة ووظائف جميع المكونات.

# تشغيل جميع اختبارات الوحدة والتكامل والأداء
python tests.py --all

# تشغيل اختبارات الوحدة فقط
python tests.py --unit

هذا المشروع هو توضيح لتقنيات استغلال متقدمة ويجب استخدامه بمسؤولية.