nullmap

एक बहुत ही सरल ड्राइवर मैनुअल मैपर जो मेरे पुराने voidmap और CVE-2023-21768 POC पर आधारित है, जिसे chompie और b33f द्वारा बनाया गया है। चूंकि अंतर्निहित IoRing पोस्ट-एक्सप्लॉइटेशन मेमोरी r/w प्रिमिटिव लगातार कई रीड और राइट को अच्छी तरह से संभाल नहीं रहा है, मैंने SMEP/SMAP को अक्षम करने के लिए CR4 को ओवरराइट करने का निर्णय लिया ताकि यूज़रमोड में मैप किए गए ड्राइवर को निष्पादित किया जा सके। Windows 11 22H2 (22621.525) पर परीक्षण किया गया।

उपयोग:

nullmap.exe <path_to_driver>

संभावित समस्याएँ:

• मैन्युअल मैप किया गया ड्राइवर ExAllocatePool द्वारा आवंटित पूल में होगा। यदि आप इसका उपयोग किसी अधिक गंभीर कार्य के लिए करना चाहते हैं, तो आपको मेमोरी आवंटन का एक बेहतर तरीका खोजने पर विचार करना चाहिए ताकि इसे आसानी से डंप नहीं किया जा सके।
• मूल cr4 मान को पढ़ने का कोई आसान तरीका नहीं है, जिसका अर्थ है कि मुझे अपने सिस्टम पर मौजूद मान को हार्डकोड करना पड़ा। जबकि यह अधिकांश आधुनिक CPUs के लिए समान होना चाहिए, आपको अभी भी यह सुनिश्चित कर लेना चाहिए कि मान सही है।
• मैंने NtGdiGetEmbUFI के लिए ऑफसेट हार्डकोड किया है क्योंकि इसे सिगस्कैन करने का कोई आसान तरीका नहीं है, जिसका अर्थ है कि आपको अपने विशिष्ट Windows बिल्ड के लिए इस ऑफसेट को अपडेट करना होगा।
• यह एक दोपहर में लिखा गया था, यह सबसे साफ कोड बेस नहीं हो सकता है।

वीडियो: