Exploit-CVE-2017-6008

CVE-2017-6008 è una vulnerabilità nello scanner HitmanPro che consente l'escalation dei privilegi sfruttando un overflow del buffer del pool del kernel. Gli exploit qui presenti utilizzano l'attacco Quota Process Pointer Overwrite come descritto nel documento di Tarjei Mandt

Inoltre, gli exploit utilizzano la mia Pool sprayer library

Puoi trovare un documento dettagliato sull'exploit per Windows 7 qui.

Versione per Windows 10

Questa versione utilizza un'altra vulnerabilità nel driver hitmanpro37.sys, una lettura fuori dai limiti (Out-Of-Bounds read), che usiamo per divulgare il Pool Cookie. Questa divulgazione ci permette di utilizzare lo stesso attacco su Windows 10.

Puoi trovare un documento dettagliato dell'exploit su Windows 10 qui.

Aggiornamento

L'exploit utilizzava una tecnica descritta da Cesar Cerrudo nel 2012 per elevare i propri privilegi impostando il campo Privileges.Enabled della struttura TOKEN.

Tuttavia, a partire da Windows 10 v1607, il kernel ora controlla anche il valore del campo Privileges.Present del Token. Il campo Privileges.Present del token è l'elenco dei privilegi che POSSONO essere abilitati per questo token, utilizzando l'API AdjustTokenPrivileges. Quindi i privilegi effettivi del TOKEN sono ora il campo di bit risultante da Privileges.Present & Privileges.Enabled.

Ciò significa che l'exploit nello stato attuale non funziona più a partire da Windows 10 v1607. Inoltre, l'exploit è anche rotto dai cambiamenti avvenuti nel pool a partire da Windows 19H1, con l'arrivo dello heap segmentato nel kernel.

Trova lavori aggiornati sullo sfruttamento dell'overflow del buffer del pool del kernel in questo documento e slide.