offensive-panda/nt-authority-system-context-rtcoreDieser Exploit rekonstruiert und nutzt den CVE-2019-16098 aus, der im Treiber Micro-Star MSI Afterburner 4.6.2.15658 (auch bekannt als RTCore64.sys und RTCore32.sys) enthalten ist und jedem authentifizierten Benutzer ermöglicht, beliebigen Speicher, I/O-Ports und MSRs zu lesen und zu beschreiben. Anstatt eine hartkodierte Basisadresse von Ntoskrnl.exe zu verwenden, habe ich sie dynamisch berechnet und die Feld-Offsets neu berechnet.
Dieser Exploit baut CVE-2019-16098 nach und nutzt ihn aus. Die Schwachstelle befindet sich im Treiber Micro-Star MSI Afterburner 4.6.2.15658 (auch bekannt als RTCore64.sys und RTCore32.sys) und erlaubt jedem authentifizierten Benutzer, auf beliebigen Speicher, I/O-Ports und MSRs zuzugreifen bzw. diese zu beschreiben. Anstatt eine fest codierte Basisadresse von Ntoskrnl.exe zu verwenden, habe ich sie dynamisch berechnet und alle Offsets für neue Windows-Versionen neu berechnet. Die EPROCESS-Struktur ist eine opake Struktur, die als Prozessobjekt für einen Prozess dient, und die globale Variable PsInitialSystemProcess zeigt auf das Prozessobjekt des Systemprozesses. Um die Offset-Adresse von PsInitialSystemProcess zu berechnen, benötigen wir die Basisadresse von Ntoskrnl.exe, die wir dynamisch berechnet haben. Anschließend haben wir alle Felder innerhalb der EPROCESS-Struktur berechnet, die benötigt werden, um das System-Token zu stehlen und Privilegien zu erweitern. Diese signierten Treiber können auch verwendet werden, um die Microsoft-Treibersignaturrichtlinie zu umgehen und schädlichen Code bereitzustellen.
https://github.com/user-attachments/assets/64295738-987a-4309-811a-c8805d788e05
sc create RTCORE64 binPath="Path of Driver File" type=kernel).sc start RTCORE64Nur für Bildungszwecke.