Tokenizer

• Tokenizer هو مشروع برنامج تشغيل في وضع النواة يسمح باستبدال رمز عملية في EPROCESS برمز النظام، مما يرفع بشكل فعال صلاحيات العملية. تم تصميم برنامج التشغيل لاستخدامه مع تطبيق في وضع المستخدم يرسل معرف العملية إلى برنامج التشغيل عبر IOCTL.

تفاصيل تقنية

• عند إنشاء عملية، ترث رمز المستخدم الذي أنشأها. يستخدم النظام الرمز لتحديد الإجراءات التي يمكن للعملية تنفيذها. يحتوي الرمز على معلومات حول معرف الأمان (SID) للمستخدم، وعضويات المجموعة، والصلاحيات.

  

• يوجد عضو Token عند الإزاحة 0x4b8 في بنية _EPROCESS، وهي بنية بيانات تمثل كائن عملية. يُعرَّف عضو Token في بنية _EX_FAST_REF، وهي نوع اتحاد يمكنه تخزين مؤشر لكائن نواة أو عدد مراجع، اعتمادًا على حجم المؤشر. يعتمد إزاحة بنية _EX_FAST_REF داخل _EPROCESS على الإصدار المحدد من Windows المستخدم، ولكنها تقع عادةً عند إزاحة 0x4b8 في الإصدارات الحديثة من Windows.

• إزاحات Token لرقم بناء Windows لمعماريات x64 و x86

• تحتوي بنية _EX_FAST_REF في Windows على ثلاثة أعضاء: Object وRefCount وValue

  

• لعرض رمز العملية في _EX_FAST_REF، نمرر عنوان بنية _EX_FAST_REF التي تحتوي على الرمز، والتي تقع عادةً عند إزاحة 0x4b8 في بنية _EPROCESS.

  

الاستخدام

• يمكنك إما إنشاء عملية ذات صلاحيات أو رفع صلاحيات عملية موجودة بالفعل عبر معرف العملية.

  

• لأغراض هذا الشرح، سنركز على الخيار الثاني وسنستخدم CMD كمثال

  

• الرمز الموروث

  

• إرسال معرف العملية إلى برنامج التشغيل عبر IOCTL

  

• بعد استلام PID من تطبيق وضع المستخدم، يستخدمه برنامج التشغيل للحصول على مؤشر لبنية _EPROCESS للعملية المستهدفة. ثم يصل برنامج التشغيل إلى عضو Token في بنية _EPROCESS للحصول على مؤشر لرمز العملية، والذي يستبدله برمز النظام، مما يغير بشكل فعال سياق أمان العملية إلى سياق النظام. ومع ذلك، إذا لم يحدد برنامج التشغيل موقع عضو Token بشكل صحيح داخل بنية _EPROCESS أو إذا كان إزاحة Token غير 0x4b8، فقد يتسبب برنامج التشغيل في تعطل النظام أو العملية المستهدفة. ستُحل هذه المشكلة في التحديثات القادمة.

  

• رمز cmd بعد

  

عرض توضيحي

https://user-images.githubusercontent.com/60795188/226200873-d0516968-b175-4ff4-8e85-02018c641679.mp4