yardenshafir/ioringreadwriteprimitiveTechnique de post-exploitation pour transformer une écriture / incrément arbitraire du noyau en primitive complète de lecture / écriture sur Windows 11 22H2
Technique de post-exploitation permettant de transformer une écriture / incrémentation arbitraire dans le noyau en primitive complète de lecture/écriture sur Windows 11 22H2+ Ce PoC utilise le HackSysExtremeVulnerableDriver. Le PoC prend en charge à la fois l'écriture arbitraire et l'incrémentation arbitraire, contrôlées via un flag passé à la fonction depuis main(). Pour l'incrémentation arbitraire, compilez la dernière version du pilote HEVD à partir des sources.
Ce PoC utilise un écrasement arbitraire du champ RegBuffers d'un I/O ring pour pointer vers un faux tableau de buffers préenregistrés qui peuvent être manipulés par un attaquant. Les faux buffers peuvent pointer vers des adresses du noyau, ce qui permet à l'attaquant de mettre en file d'attente des opérations de lecture et d'écriture générant des lectures et écritures arbitraires. En utilisant des named pipes au lieu d'un fichier, on peut éviter de laisser des traces que les outils de sécurité pourraient reconnaître. L'implémentation actuelle lit une page de la section de données de NTOS et l'affiche. Cela est réalisé à l'aide d'un offset codé en dur, ce qui pourrait ne plus fonctionner à l'avenir.
