hoangprod/cve-2021-31956-pocExploit de preuve de concept pour CVE-2021-31956, une vulnérabilité d'élévation de privilèges dans le noyau Windows NTFS. Démontre des techniques d'exploitation comprenant l'abus de WNF et le vol de jetons pour l'escalade de privilèges.
Code PoC en cours pour CVE-2021-31956 en préparation pour OSEE. Je l'améliorerai davantage après mes examens OSEE et mon temps libre. Beaucoup d'offsets codés en dur doivent être modifiés s'ils diffèrent sur le système cible (mais si c'est similaire aux builds 2020-2021, aucun changement ne devrait être nécessaire – pas sûr à 100%) et vous ne pouvez pas quitter le programme car de nombreux en-têtes de pools sont toujours corrompus et le champ Token pointe toujours vers le token du système. L'une des 3 choses se produira si vous essayez de quitter le programme : un BSOD, l'impossibilité de quitter, ou si les étoiles s'alignent, une sortie sécurisée mais le système est probablement instable et une bombe à retardement.
Crédits :
https://decoded.avast.io/janvojtesek/exploit-kits-vs-google-chrome/ — analyse incroyable qui couvre de nombreux détails omis par NCC et d'autres.
https://research.nccgroup.com/2021/07/15/cve-2021-31956-exploiting-the-windows-kernel-ntfs-with-wnf-part-1/ — bonne compréhension de base de la vulnérabilité et bonnes leçons apprises.
https://github.com/aazhuliang/CVE-2021-31956-EXP — pour la plupart du code de départ et une source de repli en cas de blocage complet.
https://github.com/freeide/CVE-2021-31955-POC/tree/main — PoC de CVE-2021-31955 permettant la fuite d'EPROCESS. Bien que cela soit inutile à cause de la nature du bug et du champ CreatorProcess accessible dans la structure WNF.
