kyxiaxiang/360wfp_exploitBYOVD: استخدم برنامج تشغيل 360 WFP لمنع اتصال شبكة EDR/XDR.
إثبات مفهوم (PoC) يوضح إمكانية إساءة استخدام واجهة برنامج تشغيل WFP الخاص بـ 360 Security (360netmon_x64_wfp.sys)، بهدف التحقق من أن واجهات IOCTL دون التحقق من هوية المتصل يمكن إساءة استخدامها بواسطة برامج الطرف الثالث.
هذا المشروع مخصص لأغراض البحث الأمني وتحليل الثغرات فقط. لا يجوز استخدامه لأي أغراض غير قانونية.
أثناء الهندسة العكسية لبرنامج تشغيل مراقبة الشبكة 360netmon_x64_wfp.sys الخاص بـ 360 Security، تم اكتشاف السلوكيات التالية:
يعرض برنامج التشغيل كائني جهاز لوضع المستخدم:
\\.\360TdiFilter\\.\360TdiSpeedيمكن الوصول إلى كائني الجهاز هذين بواسطة أي عملية بمستوى مسؤول عبر DeviceIoControl
لا يقوم معالج IrpMjDeviceControl بأي التحقق من هوية المتصل أو توقيعه
يمكن استخدام بعض وظائف IOCTL مباشرة لـ:
يقدم هذا المستودع PoC بسيط لإظهار:
كيف يمكن لعملية تعمل على نظام مثبت عليه 360 Security حظر الوصول إلى الشبكة لأي عملية محددة باستخدام واجهات برنامج تشغيل شرعية.
عند نقطة الدخول لروتين IrpMjDeviceControl الخاص ببرنامج التشغيل، يتم التحقق فقط من كائن الجهاز:
cmp rdi, g_pDeviceObject_TdiFilter
jz ...
لا يتم إجراء أي التحقق من صلاحية المتصل أو المصدر على الإطلاق.
ونتيجة لذلك، يمكن لأي عملية بمستوى مسؤول القيام بما يلي:
0x220804 لتكوين تحديد سرعة الشبكة أو حظرها لعملية0x220444 لتعديل قواعد تصفية WFP ديناميكيًايقوم هذا PoC بتنفيذ العمليات التالية:
\\.\360TdiFilter0x220804 لتعيين عملية مستهدفة في وضع "حظر الشبكة بالكامل"النتيجة:
افتح المشروع في Visual Studio وقم بالبناء:
x64 Release
360WFP_Exploit.exe "C:\Windows\System32\notepad.exe"
بعد التنفيذ، ستفقد العملية المستهدفة جميع اتصالات الشبكة فورًا.
.
├── src/
│ ├── main.c // منطق PoC الرئيسي
│ ├── driver_io.c // غلاف استدعاء IOCTL
│ └── utils.c // دوال مساعدة (مثل تحويل المسار)
├── README.md
└── LICENSE
هيكل البيانات الأساسي المتوقع من قبل برنامج التشغيل:
typedef struct _PACK {
WCHAR szNtPath[MAX_PATH + 40];
WCHAR szPath[MAX_PATH];
BOOL bCancelFlag;
LONGLONG qwBlockCnnt;
LONGLONG nLimitSend;
LONGLONG nLimitRecv;
DWORD dwZeroCheck;
} PACK, *PPACK;
عندما:
qwBlockCnnt = LLONG_MAX
يقوم برنامج التشغيل بإرجاع في Callout الخاص بـ WFP:
FWP_ACTION_BLOCK
مما يؤدي إلى حظر الشبكة بالكامل للعملية المستهدفة.
一个针对 360 安全卫士 WFP 驱动（360netmon_x64_wfp.sys）的接口滥用演示 PoC，用于验证驱动 IOCTL 接口在未进行调用者身份校验情况下，可能被第三方程序滥用的问题。
本项目仅用于安全研究与漏洞分析演示，不用于任何非法用途。
在对 360 安全卫士网络监控驱动 360netmon_x64_wfp.sys 的逆向分析过程中发现：
驱动向用户态暴露了两个设备对象：
\\.\360TdiFilter\\.\360TdiSpeed这些设备对象允许普通管理员进程通过 DeviceIoControl 发送 IOCTL 请求
IrpMjDeviceControl 中没有对调用者进行任何身份或签名验证
部分 IOCTL 功能可以被直接用于：
本仓库提供了一个最小化 PoC，用于演示：
在已安装 360 安全卫士的系统上，如何通过合法接口阻断任意指定进程的网络访问。
驱动的 IrpMjDeviceControl 入口处仅验证设备对象是否匹配：
cmp rdi, g_pDeviceObject_TdiFilter
jz ...
完全没有进行调用者权限校验或来源验证。
因此，任何具有管理员权限的进程，都可以：
0x220804 设置进程网络限速/阻断0x220444 动态修改 WFP 过滤规则本 PoC 实现了：
\\.\360TdiFilter 设备0x220804 将目标进程设置为“完全阻断网络”模式效果：
使用 Visual Studio 打开项目并编译：
x64 Release
360WFP_Exploit.exe "C:\Windows\System32\notepad.exe"
执行后，目标进程将被立即阻断网络访问。
.
├── src/
│ ├── main.c // PoC 主逻辑
│ ├── driver_io.c // IOCTL 调用封装
│ └── utils.c // 路径转换等辅助函数
├── README.md
└── LICENSE
驱动期望的核心数据结构：
typedef struct _PACK {
WCHAR szNtPath[MAX_PATH + 40];
WCHAR szPath[MAX_PATH];
BOOL bCancelFlag;
LONGLONG qwBlockCnnt;
LONGLONG nLimitSend;
LONGLONG nLimitRecv;
DWORD dwZeroCheck;
} PACK, *PPACK;
当：
qwBlockCnnt = LLONG_MAX
时，驱动会在 WFP Callout 中直接返回：
FWP_ACTION_BLOCK
从而彻底阻断目标进程的网络通信。