العرض التجريبي HITCON 2023 CVE-2023-20562

الوصف

أُقيم هذا العرض التوضيحي في مؤتمر HITCON 2023 في تايوان. يُسلّط العرض الضوء على استغلال برنامج التشغيل AMDCpuProfiler.sys ضمن AMD μProf. من خلال تشغيل كتابة عشوائية على رمز EPROCESS، يتم تحقيق تصعيد الامتيازات إلى مستوى SYSTEM. ويسمح تعطيل علامة DSE بتحميل برنامج تشغيل خبيث غير موقّع. كما يعرض العرض هجومًا على 360 Total Security عبر إبطال وظائف ObRegisterCallbacks الخاصة به، مما يتيح تنفيذ إجراءات خبيثة على عمليات 360 Total Security.

معلومات

• الموضوع: كشف ثغرات النواة: استكشاف الثغرات في برامج تشغيل نواة ويندوز من AMD
• الجلسة: https://hitcon.org/2023/CMT/en/agenda/5cb8168d-8fd6-4741-95a5-2e32aeb3e8af/
• الشرائح: https://drive.google.com/file/d/1bWwzsUL0aSQA3lqu1WFrtAp3EW93Y0cx/view?usp=sharing
• فيديو العرض: https://youtu.be/j8dpt3TLKKY

البيئة

• Windows 10 1909
• Visual Studio 2017
• AMD μProf 3.6.839
• 360 Total Security 6.6.0.1060

الاستخدام

1. ثبّت AMD μProf 3.6.839 و360 Total Security 6.6.0.1060
2. ضع ملفّي exploit.exe وMalicious.sys في نفس المجلد.
3. نفّذ exploit.exe LPE بمستخدم عادي، ومن المتوقع أن تظهر نافذة cmd.exe بصلاحيات SYSTEM.
4. نفّذ exploit.exe BYOVD من نافذة cmd.exe ذات صلاحيات SYSTEM، ومن المتوقع أن يتم إنهاء عمليات 360 Total Security.

لاحظ أنه نظرًا لعدم إعادة تعيين علامة DSE إلى قيمتها الأصلية، ولأن الاستدعاءات قد أُبطِلت قسريًا، فقد لا يكون النظام مستقرًا.

المراجع

• nt!_SEP_TOKEN_PRIVILEGES - حماية تصعيد الامتيازات بكتابة واحدة: https://anti-reversing.com/Downloads/Sec_Research/ntoskrnl_v10.0.15063_nt!_SEP_TOKEN_PRIVILEGES-Single_Write_EoP_Protect.pdf
• استغلال ثغرة الكتابة العشوائية في مضاد الفيروسات VIR.IT EXPLORER: https://www.greyhathacker.net/?p=990
• العثور على علامة DSE: https://github.com/hfiref0x/DSEFix