mein-0/lolmodapiاستغلال تصعيد الامتيازات المحلية لبرنامج تشغيل MODAPI.sys الخاص بـ MSI Dragon Center، مستغلاً كتابات MSR غير الموثقة لتجاوز SMEP والحصول على صلاحيات SYSTEM.
مرحباً أيها الهاكرز.
هذا ثغرة كتابة MSR غير مُصادَق عليها داخل MODAPI.sys، برنامج تشغيل النواة الذي يثبّته MSI Dragon Center 2.0.155.0. يكشف برنامج التشغيل كائن جهاز بوصف أمني يسمح لأي مستخدم محلي بفتحه، دون صلاحيات مسؤول ودون UAC. بمجرد حصولك على المقبض لا توجد قائمة بيضاء على فهرس MSR، لذا يمكنك قراءة وكتابة أي MSR تشاء.
جانب القراءة يكسر KASLR بحد ذاته بالفعل. اقرأ IA32_LSTAR (0xC0000082) ويمنحك برنامج التشغيل ntoskrnl!KiSystemCall64 مجاناً. جانب الكتابة هو المشكلة الحقيقية. IA32_LSTAR هو العنوان الذي تقفز إليه وحدة المعالجة المركزية عند syscall، ويسمح برنامج التشغيل لمستخدم عادي بالكتابة فوقه. وجّهه إلى كود تتحكم به وسيشغّل الـ syscall التالي كودك عند CPL0. SMEP هو الشيء الوحيد في الطريق، لذا يقرأ الاستغلال IA32_LSTAR أولاً للعثور على ntoskrnl، ويحلّل الصورة من القرص، ويجد بضعة gadgets لمسح SMEP باستخدام mov cr4, rax، ويشغّل shellcode صغيراً ينسخ رمز SYSTEM إلى العملية الحالية، ويعيد IA32_LSTAR عند الخروج حتى يستمر الجهاز في العمل.
اختبرت هذا على Windows 10 x64 22H2 (build 19045.6456) من حساب مستخدم عادي. لا يوجد race ولا heap grooming، وقد نجح في كل مرة شغّلته. يأتي برنامج التشغيل مع Dragon Center على أجهزة MSI، لذا فهو محمّل بالفعل على الكثير من الأنظمة. ابنِه باستخدام gcc -O2 -o poc.exe poc.c -lpsapi وشغّله كمستخدم عادي. تم الإبلاغ عنه إلى MSI في 2026-06-21 وتم التحقق من الإصلاح.
11bd2c9f9e2397c9a16e0990e4ed2cf0679498fe0fd418a3dfdac60b5c160ee5 MODAPI.sys
