nbs32k/localstrangerWinNotify के लिए PoC, जिसे एक ड्राइवर मैपर के माध्यम से प्रदर्शित किया गया है, और स्थानीय विशेषाधिकार वृद्धि।
LocalStranger एक Proof of Concept प्रोजेक्ट है जिसे यह प्रदर्शित करने के लिए डिज़ाइन किया गया है कि एक कमज़ोर kernel-mode driver वास्तव में कितना खतरनाक होता है।
WinNotify.sys (जिसे मैं msft.sys कहता हूँ), एक बहुत ही खतरनाक कमज़ोर driver है जो caller validation के पूर्ण अभाव के कारण मनमाने kernel primitives को उजागर करता है।
अप्रत्याशित रूप से, यह driver Microsoft Windows Hardware Compatibility Publisher partnership program के अंतर्गत signed है और आज तक इसे
Microsoft Vulnerable Driver Blocklist में नहीं जोड़ा गया है। जाहिर है, जब तक किसी threat group द्वारा इसे वास्तव में इस्तेमाल नहीं किया जाता, तब तक इसे किसी की समस्या नहीं माना जाता।
इस driver का लाभ उठाकर, मैं एक driver mapper बनाने में सक्षम हुआ जो unsigned kernel drivers को kernel space में map करता है, और एक प्रोग्राम जो user को NT-AUTHORITY तक elevate करता है। उजागर किए गए primitives की खतरनाकता के कारण, आप वस्तुतः वह सब कुछ कर सकते हैं जिसकी आप कल्पना कर सकते हैं। संभावनाएँ असीम हैं।
LocalStranger में एक मुख्य core component है, lsapi, जो driver के साथ user-mode communications के लिए wrappers को लागू करता है। process R/W और memory allocations से लेकर KASLR bypass, physical
और virtual memory R/W तक।
Driver mapper, lsmapper, C++ में काफी आधुनिक syntax के साथ लिखा गया है, क्योंकि मुझे ऐसा करने का मन था।
बाकी सब कुछ C में एक मजबूत Microsoft formatting के साथ लिखा गया है, क्योंकि मुझे वह भी करने का मन था।
कोड बिना किसी license के साझा किया गया है, इसलिए मुझसे यह मत पूछें कि इसका क्या मतलब है, इसे खुद खोज लें।
