Requisitos

• IDA Pro (con soporte para Python)
• Símbolos PDB de Windows cargados para ntoskrnl.exe
• Módulo ida_typeinf (incluido con IDA Pro)

Uso

1. Abrir ntoskrnl.exe en IDA Pro

2. Cargar los símbolos PDB de Windows coincidentes:

   • Archivo → Cargar archivo → Archivo PDB
   • Seleccionar el ntoskrnl.pdb para su versión de Windows

3. Ejecutar el script:

   • Archivo → Archivo de script → Seleccionar extract_metadata.py
   • O: Archivo → Python → Ejecutar script

4. El script mostrará:

   • Todos los RVAs de funciones con sus direcciones de memoria
   • Desplazamientos de miembros de la estructura _EPROCESS
   • Una fila formateada lista para pegar en el código del exploit

Ejemplo de salida

Solución de problemas

Versiones compatibles

Este script funciona con cualquier versión de Windows ntoskrnl.exe donde estén disponibles los símbolos PDB. Probado con Windows 10 y Windows 11.

Notas

• Los RVAs se calculan en relación con la base de la imagen mostrada en la salida
• Todos los desplazamientos están en bytes (convertidos desde los desplazamientos de bits de IDA)
• El formato de salida generado es compatible con los marcos de exploit CVE-2026-40369
• Asegúrese de tener la versión de PDB correcta que coincida con su ntoskrnl.exe

Licencia

Esta herramienta se proporciona tal cual solo con fines de investigación de seguridad y análisis autorizado.