ASUS Driver LPE PoC (Abuso de Memoria Física)

Este es un PoC para Local Privilege Escalation (LPE) que explota el driver AsInsHelp64.sys. Abusa de un driver legítimo y firmado de ASUS para mapear memoria física y sobrescribir tokens del kernel, obteniendo finalmente privilegios NT AUTHORITY\SYSTEM.

🎯 Información de la Vulnerabilidad

• Objetivo: AsInsHelp64.sys (Relacionado con ASUS Fan Xpert < v.10013)
• Técnica: Lectura/Escritura Arbitraria de Memoria Física
• Causa Raíz: El driver expone un IOCTL que permite a cualquier usuario mapear memoria física en su espacio de direcciones virtuales. Al explotar esto, podemos modificar estructuras críticas del kernel sin ninguna comprobación de permisos.

📋 Entorno Soportado

• SO: Windows 10 (2004) ~ Windows 11 (23H2) x64
• Driver: AsInsHelp64.sys debe estar cargado.
• Herramientas: WinDbg (Requerido para estabilidad).

🚀 Uso

1. Ejecutar el Exploit
2. Obtener Información desde WinDbg: En lugar de arriesgar un crash escaneando memoria, obtén las direcciones exactas manualmente:
   • Obtener System EPROCESS y CR3: !process 0 0 System
   • Obtener System Token: dq <System_EPROCESS>+4b8 L1
3. Introducir y Pwnear: Introduce los valores en la herramienta. Encontrará automáticamente tu proceso e intercambiará el token.

📖 Guía Paso a Paso

1. Lanzar la Herramienta

Ejecuta el compilado. El programa solicitará la información del System. image

2. Obtener Información del System (WinDbg)

Abre WinDbg y ejecuta el siguiente comando para encontrar el proceso System:

!process 0 0 System

Copia la dirección que sigue a PROCESS y el valor de DirBase(CR3) image image

3. Obtener el Valor del Token

Usa la dirección encontrada en el paso anterior para leer el valor del Token.

dq <System_EPROCESS_Address>+4b8 L1

image image

4. Explotar y Verificar

La herramienta localizará tu proceso en el kernel, sobrescribirá el token y lanzará un nuevo CMD.

whoami

image

Referencia

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804