ZeroHVCI - HVCI ohne Administratorrechte oder einen Kernel-Treiber umgehen

ZeroHVCI ermöglicht beliebige Kernel-Lese-/Schreibzugriffe und Funktionsaufrufe in Umgebungen mit Hypervisor-Protected Code Integrity (HVCI), ohne Administratorrechte oder Kernel-Treiber.

Funktionen

• Vollständige Kernel-Lese-/Schreibzugriffe ohne Privilegien: Kernel-Lese-/Schreibzugriffe werden durch Ausnutzung von CVE-2024-26229 erreicht, das keine Erhöhung der Prozessrechte erfordert.
• Beliebige Funktionsaufrufe: Ruft beliebige Kernel-Funktionen mit gewünschten Parametern vollständig aus dem Benutzermodus auf.

Erste Schritte

Um mit ZeroHVCI zu beginnen, kannst du dieses Repository klonen und das Projekt erstellen.

Verwendung

//
// Read kernel memory example:
//
ReadKernelMemory(source_address, buffer_address, size);

//
// Write kernel memory example:
//
WriteKernelMemory(source_address, buffer_address, size);

//
// Kernel function calling example via name:
//
KF::CallKernelFunctionViaName<kernel_param_type1, kernel_param_type2, kernel_param_type3>(
  "kernel_function_name",
  param1,
  param2,
  param3);

//
// ExAllocatePool example:
//
KF::CallKernelFunctionViaName<PVOID, POOL_TYPE, SIZE_T>("ExAllocatePool", PoolType, Size);

//
// memcpy example:
//
KF::CallKernelFunctionViaName<PVOID, PVOID, PVOID, SIZE_T>("memcpy", Dst, Src, Size);

//
// PsLookupProcessByProcessId example:
//
PEPROCESS Process;
KF::CallKernelFunctionViaName<NTSTATUS, HANDLE, PEPROCESS*>("PsLookupProcessByProcessId", ProcessHandle, &Process);

So funktioniert es

Zwei Hauptprojekte sind dafür verantwortlich, dies zu ermöglichen

• KernelForge – Alle Credits an Dmytro Oleksiuk, dessen Projekt es uns ermöglicht, HVCI-konforme Kernel-Funktionsaufrufe zu erlangen, indem es die Hierarchie der Thread-Ausführungen missbraucht und ROP-Ketten konstruiert, ohne tatsächlich etwas zu patchen.
• CVE-2024-26229 – Alle Credits an Eric Egsgard. Dieser Exploit ermöglicht es uns, Kernel-Lese-/Schreibzugriffe zu erlangen, indem er einen IOCTL mit METHOD_NEITHER in csc.sys (ein Windows-Modul; Ressourcen werden unten verlinkt, falls du mehr darüber lesen möchtest) missbraucht.
• CVE-2024-35250 – Alle Credits an das Devcore-Team. Dieser Exploit ermöglicht es uns, Kernel-Lese-/Schreibzugriffe zu erlangen, indem er RtlClearAllBits in ks.sys (ein Windows-Modul; Ressourcen werden unten verlinkt, falls du mehr darüber lesen möchtest) missbraucht.

Wofür ist das?

Demonstriert, wie veröffentlichte CVEs in HVCI-geschützten Umgebungen für Kernel-Zugriff verkettet werden können. Nützlich für Sicherheitsforscher, die die Windows-Kernel-Integrität und Maßnahmen zur HVCI-Umgehung untersuchen.

Danksagungen

Cr4sh für KernelForge
varwara für seine POC POC2
Eric Egsgard für seinen Vortrag

Haftungsausschluss

Nur für Bildungszwecke und autorisierte Sicherheitsforschung. Verwende es nicht auf Systemen, die dir nicht gehören oder für die du keine ausdrückliche Erlaubnis zum Testen hast. Ich bin nicht für Missbrauch verantwortlich. Nutzung auf eigene Gefahr.

Alle erwähnten Produktnamen, Marken und eingetragenen Marken sind Eigentum ihrer jeweiligen Inhaber.