nbs32k/localstrangerPoC لـ WinNotify، موضح من خلال driver mapper، ورفع الصلاحيات المحلي.
LocalStranger هو مشروع إثبات مفهوم مصمم لإظهار مدى خطورة برنامج تشغيل فعلي ضعيف في وضع النواة.
WinNotify.sys (كما أسميه، msft.sys)، هو برنامج تشغيل ضعيف وخطير للغاية يكشف عن بدائيات نواة عشوائية بسبب غياب كامل للتحقق من المستدعي.
وبشكل غير متوقع، فإن برنامج التشغيل موقّع تحت برنامج الشراكة Microsoft Windows Hardware Compatibility Publisher وحتى تاريخه، لم يُضف إلى
قائمة حظر برامج التشغيل الضعيفة من Microsoft. على ما يبدو، طالما أنه لا يُستغل بنشاط في البرية من قبل مجموعة تهديد، فإنه أساسًا لا يُعتبر مشكلة أي شخص.
باستغلال برنامج التشغيل، تمكنت من إنشاء أداة تعيين برامج التشغيل لتعيين برامج تشغيل نواة غير موقّعة إلى مساحة النواة، وبرنامج لرفع المستخدم إلى NT-AUTHORITY. نظرًا لمدى خطورة البدائيات المكشوفة، يمكنك حرفيًا فعل أي شيء تفكر فيه. السماء هي الحد.
يتكون LocalStranger من مكوّن أساسي رئيسي واحد، lsapi الذي ينفذ أغلفة حول اتصالات وضع المستخدم مع برنامج التشغيل. من قراءة/كتابة العمليات وتخصيصات الذاكرة إلى تجاوز KASLR، وقراءة/كتابة الذاكرة
الفيزيائية والافتراضية.
أداة تعيين برامج التشغيل، lsmapper، مكتوبة بلغة C++ بصيغة حديثة جدًا، لأنني شعرت بذلك.
كل شيء آخر كُتب بلغة C بتنسيق Microsoft قوي، لأنني أيضًا شعرت بفعل ذلك.
تمت مشاركة الكود بدون ترخيص لذا لا تسألني ماذا يعني ذلك، ابحث عنه.
