عرض HITCON 2023 - CVE-2023-20562

الوصف

تم هذا العرض في مؤتمر HITCON 2023 في تايوان. يسلط العرض الضوء على استغلال برنامج تشغيل AMDCpuProfiler.sys ضمن AMD μProf. عن طريق تشغيل كتابة عشوائية على رمز EPROCESS، يتم تحقيق تصعيد الصلاحيات إلى مستوى SYSTEM. تعطيل علامة DSE يسمح بتحميل برنامج تشغيل ضار غير موقع. يقدم العرض أيضًا هجومًا على 360 Total Security من خلال إلغاء استدعاءات التسجيل ObRegisterCallbacks، مما يسمح بتنفيذ إجراءات ضارة على عمليات 360 Total Security.

معلومات

• الموضوع: كشف ثغرات النواة: استكشاف الثغرات في برامج تشغيل نواة ويندوز من AMD
• الجلسة: https://hitcon.org/2023/CMT/en/agenda/5cb8168d-8fd6-4741-95a5-2e32aeb3e8af/
• الشرائح: https://drive.google.com/file/d/1bWwzsUL0aSQA3lqu1WFrtAp3EW93Y0cx/view?usp=sharing
• فيديو العرض: https://youtu.be/j8dpt3TLKKY

البيئة

• Windows 10 1909
• Visual Studio 2017
• AMD μProf 3.6.839
• 360 Total Security 6.6.0.1060

الاستخدام

1. قم بتثبيت AMD μProf 3.6.839 و 360 Total Security 6.6.0.1060
2. ضع exploit.exe و Malicious.sys في نفس الدليل.
3. قم بتنفيذ exploit.exe LPE كمستخدم عادي، ومن المتوقع ظهور نافذة cmd.exe بصلاحيات SYSTEM.
4. قم بتنفيذ exploit.exe BYOVD في نافذة cmd.exe بصلاحيات SYSTEM، ومن المتوقع قتل عمليات 360 Total Security.

لاحظ أنه بما أن علامة DSE لم تُعد إلى قيمتها الأصلية، وتم إلغاء الاستدعاءات قسرًا، فقد لا يكون النظام مستقرًا.

المراجع

• nt!_SEP_TOKEN_PRIVILEGES - حماية EoP بالكتابة مرة واحدة: https://anti-reversing.com/Downloads/Sec_Research/ntoskrnl_v10.0.15063_nt!_SEP_TOKEN_PRIVILEGES-Single_Write_EoP_Protect.pdf
• استغلال ثغرة الكتابة العشوائية في مضاد الفيروسات VIR.IT EXPLORER: https://www.greyhathacker.net/?p=990
• إيجاد علامة DSE: https://github.com/hfiref0x/DSEFix