ASUS ड्राइवर LPE PoC (फिजिकल मेमोरी का दुरुपयोग)

यह Local Privilege Escalation (LPE) के लिए एक PoC है जो AsInsHelp64.sys ड्राइवर का दुरुपयोग करता है। यह एक वैध, हस्ताक्षरित ASUS ड्राइवर का दुरुपयोग करके फिजिकल मेमोरी को मैप करता है और कर्नेल टोकन को ओवरराइट करता है, जिससे अंततः NT AUTHORITY\SYSTEM विशेषाधिकार प्राप्त हो जाते हैं।

🎯 भेद्यता जानकारी

• लक्ष्य: AsInsHelp64.sys (ASUS Fan Xpert < v.10013 से संबंधित)
• तकनीक: मनमाना फिजिकल मेमोरी रीड/राइट
• मूल कारण: ड्राइवर एक IOCTL को उजागर करता है जो किसी भी उपयोगकर्ता को फिजिकल मेमोरी को उनके वर्चुअल एड्रेस स्पेस में मैप करने देता है। इसका दुरुपयोग करके, हम बिना किसी अनुमति जाँच के महत्वपूर्ण कर्नेल संरचनाओं को संशोधित कर सकते हैं।

📋 समर्थित वातावरण

• OS: Windows 10 (2004) ~ Windows 11 (23H2) x64
• ड्राइवर: AsInsHelp64.sys लोड होना चाहिए।
• उपकरण: WinDbg (स्थिरता के लिए आवश्यक)।

🚀 उपयोग

1. एक्सप्लॉइट चलाएँ
2. WinDbg से जानकारी प्राप्त करें: मेमोरी स्कैन करके क्रैश का जोखिम उठाने के बजाय, सटीक एड्रेस मैन्युअल रूप से प्राप्त करें:
   • System EPROCESS और CR3 प्राप्त करें: !process 0 0 System
   • System Token प्राप्त करें: dq <System_EPROCESS>+4b8 L1
3. इनपुट और Pwn: टूल में मान दर्ज करें। यह स्वचालित रूप से आपकी प्रक्रिया ढूँढेगा और टोकन बदल देगा।

📖 चरण-दर-चरण वॉकथ्रू

1. टूल लॉन्च करें

कंपाइल किए गए प्रोग्राम को चलाएँ। प्रोग्राम System जानकारी माँगेगा। image

2. System जानकारी प्राप्त करें (WinDbg)

WinDbg खोलें और System प्रक्रिया खोजने के लिए निम्नलिखित कमांड निष्पादित करें:

!process 0 0 System

PROCESS के बाद वाला एड्रेस और DirBase(CR3) का मान कॉपी करें image image

3. Token मान प्राप्त करें

Token मान पढ़ने के लिए पिछले चरण में प्राप्त एड्रेस का उपयोग करें।

dq <System_EPROCESS_Address>+4b8 L1

image image

4. एक्सप्लॉइट और सत्यापन

टूल कर्नेल में आपकी प्रक्रिया का पता लगाएगा, टोकन को ओवरराइट करेगा, और एक नया CMD शुरू करेगा।

whoami

image

संदर्भ

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804