IoRingReadWritePrimitive

पोस्ट-एक्सप्लॉइटेशन तकनीक जो Windows 11 22H2+ पर मनमाने कर्नेल लेखन / वृद्धि को पूर्ण पढ़ने/लिखने की प्रिमिटिव में बदल देती है। यह PoC HackSysExtremeVulnerableDriver का उपयोग कर रहा है। PoC मनमाने लेखन और मनमाने वृद्धि दोनों का समर्थन करता है, जिसे main() से फ़ंक्शन में पास किए गए फ्लैग के माध्यम से नियंत्रित किया जाता है। मनमाने वृद्धि के लिए, नवीनतम HEVD ड्राइवर को स्रोत से संकलित करें।

विवरण: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/

यह PoC किसी I/O रिंग के RegBuffers फ़ील्ड के मनमाने ओवरराइट का उपयोग करके पूर्व-पंजीकृत बफरों की एक नकली सरणी की ओर संकेत करता है, जिसे हमलावर द्वारा हेरफेर किया जा सकता है। नकली बफर कर्नेल पते की ओर संकेत कर सकते हैं, इसलिए हमलावर पढ़ने और लिखने के ऑपरेशनों को कतारबद्ध कर सकता है जो मनमाने रीड और राइट उत्पन्न करते हैं। फ़ाइल के बजाय नेम्ड पाइप्स का उपयोग करके हम सुरक्षा उपकरणों द्वारा पहचाने जाने योग्य कोई निशान छोड़ने से बच सकते हैं। वर्तमान कार्यान्वयन NTOS डेटा अनुभाग से एक पेज पढ़ता है और उसे प्रदर्शित करता है। यह एक हार्ड-कोडेड ऑफसेट का उपयोग करके किया जाता है, इसलिए यह भविष्य में टूट सकता है।