Preuves de concept

Ce projet vise à mettre en évidence certains aspects de la mitigation de shadow stack implémentée par Microsoft dans Windows 11. Le code est spécifiquement axé sur Windows 11 24H2. Il peut ne pas fonctionner sur d'autres versions de Windows 11, en raison de la gestion des offsets du noyau.

Le projet est divisé en deux parties : un client et un driver. La communication entre eux est gérée via le mécanisme IOCTL. Le client demande au driver d'effectuer des actions au niveau du noyau.

Fonctionnalités

• Incrémenter l'une des adresses de retour du noyau du thread courant pour la désaligner et déclencher un BSOD.
• Sauter l'un des frames de la pile du noyau du thread courant pour mettre en évidence la résilience de la shadow stack.
• Activer/désactiver CET dans le registre CR4 courant, entraînant un BSOD.
• Écrire dans les registres MSR, ce qui conduit généralement à un BSOD.
• Écrire dans la shadow stack, ce qui entraîne un BSOD.
• Écrire la PTE de la shadow stack, déclenchant un BSOD.
• Effectuer des divisions pour mettre en évidence les comportements de try/except et de la shadow stack lors d'une division par zéro.

Compilation

Utilisez build.bat.

Prérequis

Comme prérequis, les kits suivants doivent correspondre à la même version de Windows :

• Microsoft Windows SDK (Software Development Kit)
• Microsoft WDK (Windows Driver Kit)

Remarque : Le POC a été testé avec la version 10.0.26100.0 des kits.

Configuration de la machine cible

Pour activer la mitigation de shadow stack du noyau, les valeurs suivantes doivent être ajoutées ou définies dans la clé HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\ :

De plus, afin de charger un driver signé en test, la commande suivante doit être exécutée dans une console administrateur :

bcdedit /set testsigning on

Ensuite, un redémarrage est requis.

Utilisation

Chargement du driver

Pour charger le driver, les commandes suivantes doivent être saisies dans une console administrateur :

sc create shadow type= kernel binPath= ABSOLUTE_PATH_TO_THE_DRIVER
sc start shadow

Client

Le client dispose des options suivantes :

Crédits

SergiusTheBest pour son FindWDK.