Daño Colateral

Daño Colateral es un exploit de kernel para Xbox SystemOS que utiliza CVE-2024-30088. Está dirigido a consolas Xbox One y Xbox Series con versiones de kernel 25398.4478, 25398.4908 y 25398.4909. El punto de entrada inicial es a través de la aplicación UWP Game Script.

Los payloads de primera etapa, el cargador PE y el cargador de red son proporcionados por Solstice.

Este exploit fue desarrollado por Emma Kirkpatrick (descubrimiento de vulnerabilidad y explotación) y Lander Brandt (Solstice)

Advertencias Importantes

Para colocar el payload localmente en la consola Xbox, se recomienda un explorador de confianza total como Adv File Explorer (FullTrust). Alternativamente, el payload inicial se puede servir a través de un simulador de teclado USB (rubber ducky, etc.) y luego se pueden cargar etapas adicionales de payload a través de la red.

El ejemplo de shell inversa proporcionado aquí requiere que tu consola esté conectada a una red. Al conectar tu consola a una red, ten mucho cuidado para evitar conectarte a Internet y actualizar. Intenta bloquear la conectividad con Xbox LIVE en la medida de lo posible, al menos configurando tu DNS en servidores no válidos.

Este exploit no es completamente fiable. Depende de un canal lateral de la CPU así como de una condición de carrera, ambos con potencial de fallar. En caso de fallo, el exploit puede alertarte de que ha fallado mediante salida de red, o la consola misma puede bloquearse y reiniciarse.

Uso

• Modifica la línea 7 de gamescript_autosave_network.txt o gamescript_autosave.txt para que contenga la IP local de tu PC.
  • Para usar con la aplicación Full-Trust File Explorer: Copia gamescript_autosave.txt, stage2.bin y run.exe al directorio LocalState de la aplicación Game Script en tu consola (Q:\Users\UserMgr0\AppData\Local\Packages\27878ConstantineTarasenko.458004FD2C47C_c8b3w9r5va522\LocalState\)
  • Para entrada HID / simulador de teclado: Escribe el contenido de gamescript_autosave_network.txt en la ventana de GameScript. Sirve stage2.bin y run.exe mediante payload_server_win_x64.exe --stage2 stage2.bin --run run.exe
• Escucha en el puerto 7070 de tu PC usando netcat o una herramienta similar (ejemplo de comando: )

listening on [any] 7070 ...
connect to [192.168.0.61] from (UNKNOWN) [192.168.0.130] 49665
Collateral Damage - @carrot_c4k3 & @landaire (exploits.forsale)
Build number: 25398.4478
Attempting to find kernel base...
Found likely kernel base: FFFFF80AF9800000
Attempting exploit...
Exploit succeeded! Running payload!

Microsoft Windows [Version 10.0.25398.4478]
Copyright (c) Microsoft Corporation. All rights reserved.

S:\>

Experimentación

Se necesita mucho trabajo adicional para llevar esto al punto de ser una herramienta fácil de usar para cargar homebrew en la Xbox, pero espero que esto proporcione un buen punto de partida :) Si deseas jugar con la ejecución de código como SYSTEM, puedes poner tu código en la función post_exploit en post_exploit.c.

Trabajo Futuro

Queda mucho por hacer en esto, pero como la parte del kernel está terminada, quería compartirlo con la comunidad para que los desarrolladores puedan empezar a indagar con privilegios SYSTEM. Aquí hay algunas cosas que aún espero agregar en el futuro:

• Soporte de carga lateral
• Lanzamiento de procesos sin UWP sin firmar
• Soporte SSH

Se aceptan ideas adicionales :)

Agradecimientos

gracias a todos los que me ayudaron a pensar y compartieron su conocimiento y tiempo conmigo durante esto!!! algunos de aquellos a quienes quiero mostrar mi agradecimiento:

• chompie
• tuxuser
• baw
• Xbox One Research
• Discord de XBOX-SCENE