إثبات مفهوم LPE لبرنامج تشغيل ASUS (إساءة استخدام الذاكرة الفعلية)

هذا إثبات مفهوم (PoC) لتجاوز الصلاحيات محليًا (LPE) يستغل برنامج التشغيل AsInsHelp64.sys. يُسيء استخدام برنامج تشغيل ASUS أصلي وموقّع لتعيين الذاكرة الفعلية والكتابة فوق رموز النواة (tokens)، لينتهي به الأمر إلى الحصول على صلاحيات NT AUTHORITY\SYSTEM.

🎯 معلومات الثغرة

• الهدف: AsInsHelp64.sys (مرتبط بـ ASUS Fan Xpert < v.10013)
• التقنية: قراءة/كتابة عشوائية في الذاكرة الفعلية
• السبب الجذري: يكشف برنامج التشغيل عن IOCTL يتيح لأي مستخدم تعيين الذاكرة الفعلية في مساحة العنوان الافتراضية الخاصة به. من خلال استغلال ذلك، يمكننا تعديل بنى النواة الحرجة دون أي فحوصات إذن.

📋 البيئة المدعومة

• نظام التشغيل: Windows 10 (2004) ~ Windows 11 (23H2) x64
• برنامج التشغيل: يجب تحميل AsInsHelp64.sys.
• الأدوات: WinDbg (مطلوب لتحقيق الاستقرار).

🚀 الاستخدام

1. تشغيل الاستغلال
2. الحصول على المعلومات من WinDbg: بدلاً من المخاطرة بتعطل النظام عبر فحص الذاكرة، احصل على العناوين الدقيقة يدويًا:
   • احصل على EPROCESS للنظام و CR3: !process 0 0 System
   • احصل على Token النظام: dq <System_EPROCESS>+4b8 L1
3. الإدخال والاستغلال: أدخل القيم في الأداة. ستجد عمليتك تلقائيًا وتستبدل الـ Token.

📖 شرح خطوة بخطوة

1. تشغيل الأداة

شغّل الملف المترجم. سيطلب البرنامج معلومات النظام.

2. استرجاع معلومات النظام (WinDbg)

افتح WinDbg ونفّذ الأمر التالي للعثور على عملية System:

!process 0 0 System

انسخ العنوان الذي يلي PROCESS وقيمة DirBase(CR3)

3. استرجاع قيمة Token

استخدم العنوان الذي وجدته في الخطوة السابقة لقراءة قيمة Token.

dq <System_EPROCESS_Address>+4b8 L1

4. الاستغلال والتحقق

ستحدد الأداة موقع عمليتك داخل النواة، وتستبدل الـ Token، وتفتح نافذة CMD جديدة.

whoami

المرجع

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804