Proof of Concepts

Dieses Projekt zielt darauf ab, bestimmte Aspekte der von Microsoft in Windows 11 implementierten Shadow-Stack-Mitigation hervorzuheben. Der Code ist speziell auf Windows 11 24H2 ausgerichtet. Er funktioniert möglicherweise nicht mit anderen Versionen von Windows 11, bedingt durch die Kernel-Offset-Verwaltung.

Das Projekt ist in zwei Teile gegliedert: einen Client und einen Treiber. Die Kommunikation zwischen ihnen erfolgt über den IOCTL-Mechanismus. Der Client fordert den Treiber auf, Aktionen auf Kernel-Ebene auszuführen.

Features

• Eine der Kernel-Rücksprungadressen des aktuellen Threads um 1 erhöhen, um sie zu dealignieren und einen BSOD auszulösen.
• Einen der Kernel-Stack-Frames des aktuellen Threads überspringen, um die Widerstandsfähigkeit des Shadow Stacks hervorzuheben.
• CET im aktuellen CR4-Register aktivieren/deaktivieren, was zu einem BSOD führt
• In MSR-Register schreiben, was typischerweise zu einem BSOD führt
• In den Shadow Stack schreiben, was zu einem BSOD führt
• Das Shadow-Stack-PTE beschreiben, was einen BSOD auslöst
• Divisionen durchführen, um das Verhalten von try/except und Shadow Stack bei einer Division durch Null hervorzuheben

Build

Verwenden Sie build.bat.

Prerequisites

Als Voraussetzung müssen die folgenden Kits für denselben Windows-Build vorhanden sein:

• Microsoft Windows SDK (Software Development Kit)
• Microsoft WDK (Windows Driver Kit)

Hinweis: Der POC wurde mit der Version 10.0.26100.0 der Kits getestet.

Target Machine Configuration

Um die Kernel-Shadow-Stack-Mitigation zu aktivieren, müssen die folgenden Werte im Schlüssel HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\ hinzugefügt oder festgelegt werden:

Außerdem muss der folgende Befehl in einer Administratorkonsole ausgeführt werden, um einen test-signierten Treiber zu laden:

bcdedit /set testsigning on

Anschließend ist ein Neustart erforderlich.

Usage

Driver Loading

Um den Treiber zu laden, müssen die folgenden Befehle in einer Administratorkonsole eingegeben werden:

sc create shadow type= kernel binPath= ABSOLUTE_PATH_TO_THE_DRIVER
sc start shadow

Client

Der Client bietet die folgenden Optionen:

Danksagungen

SergiusTheBest für sein FindWDK.