CVE-2026-62737: क्रैश से लैब-सहायता प्राप्त SYSTEM तक

मूल CVE-2026-62737 विवरण (ExecutionContext.sys मनमाना कर्नेल अप्रत्यक्ष कॉल) का अनुवर्ती। यह क्रैश PoC को एक कार्यशील टोकन-स्वैप चेन में बदल देता है जो cmd.exe को SYSTEM के रूप में चलाती है, लेकिन केवल ऐसी लैब में जहाँ एक डीबगर पते प्रदान करता है और ROP चेन को कर्नेल मेमोरी में लिखता है। यह स्टैंडअलोन एक्सप्लॉइट नहीं है।

यह क्या करता है

1. निम्न उपयोगकर्ता के रूप में KLoader प्रॉक्सी के माध्यम से ExecutionContext डिवाइस खोलता है।
2. एक ExecutionContext (0x22EC40) प्रारंभ करता है और एक टास्क (0x22AC54) कतारबद्ध करता है जिसका Callback एक कर्नेल ROP पिवट है।
3. एक gdb स्क्रिप्ट (patch_rop.py) ExecutionContext .data में टोकन-स्वैप ROP चेन लिखती है और हार्डवेयर ब्रेकपॉइंट के माध्यम से पिवट-समय RSP/RBP कैप्चर करती है।
4. एक अल्पजीवी वॉचर थ्रेड कर्नेल वर्कर (0x226C5C एग्ज़िट कॉलबैक) को जगाता है, चेन हमारे टोकन को SYSTEM के टोकन से स्वैप करती है, कर्नेल स्टैक को पुनर्स्थापित करती है, और ड्राइवर डिस्पैचर में लौट आती है ताकि वर्कर बचा रहे।

फ़ाइलें

आवश्यकताएँ

• कर्नेल 10.0.26100.8875 के साथ Windows 11 25H2 (गैजेट RVA बिल्ड-विशिष्ट हैं)।
• QEMU gdb स्टब (gdbserver tcp::1234), एक गेस्ट एजेंट, और Z: के रूप में माउंटेड होस्ट/गेस्ट शेयर्ड फ़ोल्डर वाला एक VM।
• एक निम्न-विशेषाधिकार खाता जो \\.\kloader\{9C0B898D-6275-48EC-81B4-E5EDBE44B535} खोल सकता है।
• होस्ट पर MinGW-w64 (x86_64-w64-mingw32-gcc) और gdb।

बिल्ड

x86_64-w64-mingw32-gcc -O2 -municode -o exploit.exe exploit.c
x86_64-w64-mingw32-gcc -O2 -o modlist.exe modlist.c

चलाना (प्रत्येक बूट)

1. नए बेस प्राप्त करें: ./ga.py 'Z:\modlist.exe' (modlist.exe को शेयर्ड फ़ोल्डर में कॉपी करने के बाद)

2. स्क्रिप्ट अपडेट करें: ./refresh_bases.sh

3. exploit.exe और modlist.exe को शेयर्ड फ़ोल्डर में कॉपी करें।

4. निम्न उपयोगकर्ता के रूप में एक्सप्लॉइट चलाएँ: exploit.exe <nt> <ec> <ec+0x10A00>। यह अपना PID Z:\lab_pid.txt में लिखता है और Z:\go_lab.txt की प्रतीक्षा करता है।

5. gdb अटैच करें, LAB_PID_FILE को lab_pid.txt की होस्ट कॉपी की ओर इंगित करते हुए:

   root@kitploit:~

   LAB_PID_FILE=/path/to/shared/lab_pid.txt \
     gdb -q -ex 'target remote :1234' -ex 'set pagination off' -x patch_rop.py
   

   gdb प्रॉम्प्ट पर continue टाइप करें।

ऑफ़सेट (कर्नेल 26100.8875)

यह स्टैंडअलोन एक्सप्लॉइट क्यों नहीं है

• कॉलबैक system CR3 के साथ कर्नेल सिस्टम थ्रेड में चलता है; यूज़र-मेमोरी ROP असंभव है और कोई MDL कर्नेल एलियस मौजूद नहीं है।
• एक वास्तविक एक्सप्लॉइट को कर्नेल-एड्रेस लीक (nt/ec) और चेन को कर्नेल मेमोरी में डालने का एक तरीका चाहिए। इस बिल्ड पर दोनों अनुपलब्ध हैं।
• पिवट-समय RSP एक gdb ब्रेकपॉइंट द्वारा कैप्चर किया जाता है; एक वास्तविक एक्सप्लॉइट को स्टैक-निवासी चेन या RSP-सहेजने वाला गैजेट चाहिए।

लाइसेंस

MIT, LICENSE देखें।