ntoskrnl-metadata

Ein IDA-Python-Skript zum Extrahieren kritischer Kernel-Metadaten aus Windows-ntoskrnl.exe-Binärdateien. Dieses Tool extrahiert automatisch Funktions-RVAs und _EPROCESS-Strukturoffsets, die für die Entwicklung von Exploits gegen CVE-2026-40369 und andere Kernel-Schwachstellen erforderlich sind.

Zweck

Dieses Tool unterstützt bei der Erstellung erfolgreicher Exploits für CVE-2026-40369, indem es automatisch versionsspezifische Kernel-Metadaten extrahiert, die in Exploit-Payloads hartcodiert werden müssen. Die extrahierten Werte gewährleisten korrektes Function-Hooking und den Zugriff auf Strukturmember über verschiedene Windows-Builds und Patch-Level hinweg.

Funktionen

• Automatische Funktions-RVA-Extraktion: Ruft RVAs für wichtige Kernelfunktionen ab:

  • ExpGetProcessInformation
  • ExpQuerySystemInformation
  • CmpLayerVersionCount
  • CmpLayerVersions
  • PsInitialSystemProcess

• _EPROCESS-Strukturoffsets: Extrahiert Member-Offsets für:

  • UniqueProcessId
  • ActiveProcessLinks
  • Token
  • ImageFileName

• Direkt verwendbare Ausgabe: Erzeugt formatierte Ausgabe, die direkt in den CVE-2026-40369-Exploitcode eingefügt werden kann

Anforderungen

• IDA Pro (mit Python-Unterstützung)
• Windows-PDB-Symbole für ntoskrnl.exe geladen
• ida_typeinf-Modul (in IDA Pro enthalten)

Verwendung

1. Öffnen Sie ntoskrnl.exe in IDA Pro

2. Laden Sie die passenden Windows-PDB-Symbole:

   • File → Load File → PDB File
   • Wählen Sie die ntoskrnl.pdb für Ihre Windows-Version aus

3. Führen Sie das Skript aus:

   • File → Script File → extract_metadata.py auswählen
   • Oder: File → Python → Run script

4. Das Skript gibt Folgendes aus:

   • Alle Funktions-RVAs mit ihren Speicheradressen
   • _EPROCESS-Struktur-Member-Offsets
   • Eine formatierte Zeile, bereit zum Einfügen in den Exploitcode

Ausgabebeispiel

=== RVAs (image base = 0x140000000) ===
  ExpGetProcessInformation: ea=0x1400a1234  rva=0xa1234
  ExpQuerySystemInformation: ea=0x1400a5678  rva=0xa5678
  ...

=== _EPROCESS member offsets ===
  _EPROCESS.UniqueProcessId: 0x440
  _EPROCESS.ActiveProcessLinks: 0x448
  _EPROCESS.Token: 0x4d8
  _EPROCESS.ImageFileName: 0x5e8

=== g_builds[] row (paste at poc.c:146) ===
    { 26200, 8037, 0xA1234, 0xA5678, 0x440, 0x448, 0x4D8, 0x5E8 },

Fehlerbehebung

Fehler	Lösung
"NOT FOUND (PDB not loaded?)"	Laden Sie die korrekte Windows-PDB-Datei für Ihre ntoskrnl.exe-Version
"_EPROCESS not in Local Types"	Stellen Sie sicher, dass die PDB korrekt geladen ist; versuchen Sie File → Load File → PDB File
Skript läuft, aber keine Ausgabe	Überprüfen Sie, ob die IDA-Python-Konsole geöffnet ist (Windows → Output windows → Python)

Unterstützte Versionen

Dieses Skript funktioniert mit jeder Windows-ntoskrnl.exe-Version, für die PDB-Symbole verfügbar sind. Getestet mit Windows 10 und Windows 11.

Hinweise

• RVAs werden relativ zur im Output angezeigten Image-Basis berechnet
• Alle Offsets sind in Bytes angegeben (umgerechnet aus IDAs Bit-Offsets)
• Das erzeugte Ausgabeformat ist mit CVE-2026-40369-Exploit-Frameworks kompatibel
• Stellen Sie sicher, dass Sie die korrekte PDB-Version besitzen, die zu Ihrer ntoskrnl.exe passt

Lizenz

Dieses Tool wird wie besehen (as-is) ausschließlich für Sicherheitsforschung und autorisierte Analysezwecke bereitgestellt.