Ricerca di tesi magistrale su CVE-2024-30051 (Overflow dell'heap di DWM di Windows). Include un exploit ad alta affidabilità con ottimizzazione automatizzata dell'heap spray, logging in tempo reale e analisi empirica del tasso di successo. Componente del portfolio che dimostra exploit binario avanzato di Windows, manipolazione del layout dell'heap e LPE tramite Desktop Window Manager.
devianntsec/cve-2024-30051
Buffer Overflow basato su Heap in Windows Desktop Window Manager (
dwmcore.dll)
Escalation dei Privilegi Locali → Livello di Integrità SYSTEM tramite processo DWM
Target di build: Windows 11 22H2 (10.0.22621.3447) · Patch: KB5037771
Questo repository contiene la mia ricerca per la Tesi Magistrale su CVE-2024-30051, una vulnerabilità di Elevazione dei Privilegi di gravità Alta (CVSS 7.8) nella libreria principale del Windows Desktop Window Manager (dwmcore.dll).
La vulnerabilità origina da un errore di calcolo nella divisione intera in CCommandBuffer::Initialize. La dimensione usata per new() e quella usata per memcpy() divergono a causa di questo errore, producendo un heap overflow di 0x8F byte. Un exploit riuscito fa sì che dwm.exe carichi una DLL controllata dall'attaccante, eseguendo codice arbitrario sotto l'account window manager\dwm-1 con Livello di Integrità SYSTEM.
| Aspect | Description |
|---|---|
| Patch diffing | Analisi BinDiff completa che identifica CCommandBuffer::Initialize come esatto locus della vulnerabilità (punteggio di similarità 0.32 vs globale 0.98 su 14.062 funzioni confrontate) |
| WinDbg dynamic analysis | Verifica passo-passo di tutti e 4 gli hook, sovrascrittura del campo size e costruzione del payload |
| Empirical heap spray analysis | 50 sessioni controllate su due configurazioni di RAM (8.192 MB e 4.096 MB) con test statistici formali |
| Statistical findings | Mann-Whitney U (p = 0.031) e test t di Welch (p = 0.011) confermano l'effetto RAM; medie osservate 12.9–19× migliori della previsione teorica di ~64 tentativi |
| Payload DLL path centralized | Percorso hardcoded estratto nella costante del preprocessore #define PAYLOAD_DLL_PATH |
| Session logging | Registro completo con timestamp per ogni sessione scritto in %TEMP%\cve_30051_log.txt |
| Academic documentation | Causa principale, analisi heap spray di 50 sessioni e cronologia CVE |
-orange){kind=icon}
CVE-2024-30051-Masters-Thesis/
├── README.md
├── LICENSE
├── setup.bat # Copia s11.dll nella posizione richiesta
│
├── exploit/
│ ├── C21.sln # Soluzione Visual Studio 2022
│ ├── exploit_src/
│ │ ├── c26f.vcxproj
│ │ ├── c26f.filters
│ │ └── main.cpp # Exploit — heap spray + hooking + overflow
│ └── payload/
│ ├── payload.vcxproj
│ ├── payload.vcxproj.filters
│ ├── dllmain.cpp # Payload DLL — genera shell SYSTEM + cleanup
│ ├── framework.h
│ ├── pch.h
│ └── pch.cpp
│
└── docs/
├── screenshots/ # Patch diffing, WinDbg e catture forensi
└── analysis/
├── 01-root-cause.md # Bug di divisione intera in CCommandBuffer::Initialize
├── 02-heap-spray.md # Dati empirici di 50 sessioni e risultati statistici
└── 03-timeline.md # Scoperta, divulgazione e cronologia della patch
Apri C21.sln in Visual Studio 2022. Compila il progetto payload in Release x64.
Esegui setup.bat dalla radice del repository. Copia s11.dll in C:\Users\Public\Documents\s11.dll (il percorso definito da PAYLOAD_DLL_PATH).
⚠️ La DLL deve essere in questo esatto percorso prima di eseguire
C26f.exe. Posizionarla accanto all'eseguibile non funzionerà.
Compila il progetto C26f in Release x64.
x64\Release\C26f.exe
Esegui da un CMD standard (non elevato). L'exploit riprova automaticamente fino a 10 volte. In caso di successo, dwm.exe carica s11.dll e genera un CMD con Livello di Integrità SYSTEM. Un registro di sessione viene scritto in %TEMP%\cve_30051_log.txt.
#define MAX_ATTEMPTS 10 // Max auto-retry attempts per session
#define SPRAY_STEP 0x10 // Hole spacing index (1024 holes)
#define SPRAY_RANGE_START 0x3000 // Spray range start index
#define SPRAY_RANGE_END 0x7000 // Spray range end index
#define SLEEP_POST_SPRAY 0xC8 // ms wait after spray (200ms)
#define SLEEP_POST_HOLES 0xC8 // ms wait after freeing holes (200ms)
#define PAYLOAD_DLL_PATH "C:\\Users\\Public\\Documents\\s11.dll"
In CCommandBuffer::Initialize (dwmcore.dll 10.0.22621.3447), CD2DSharedBuffer::GetBufferSize viene chiamato due volte. La dimensione passata a new() subisce una divisione intera per 0x90 prima della moltiplicazione, mentre memcpy() usa il valore grezzo:
buffer_size = GetBufferSize() → e.g. 0x23F
size_new = (0x23F / 0x90) * 0x90 = 0x1B0 ← allocated
size_memcpy = 0x23F ← copied
overflow = 0x23F - 0x1B0 = 0x8F bytes
BinDiff comparison between build 10.0.22621.3447 (vulnerable) and 10.0.22621.3593 (patched):
| Metric | Value |
|---|---|
| Similarità globale | 0.98 |
| Confidenza | 0.99 |
| Funzioni corrispondenti | 14.062 (99.1%) |
Similarità di CCommandBuffer::Initialize | 0.32 |
| Blocchi di base — versione vulnerabile | 4 |
| Blocchi di base — versione patchata | 20 (16 blocchi di validazione aggiunti) |
Il punteggio anomalo di 0.32 contro una similarità globale di 0.98 è la firma diretta del locus della vulnerabilità.
1. Hook RtlCreateHeap → cattura l'handle dell'heap di dwmcore
2. Hook RtlAllocateHeap → cattura l'indirizzo del chunk base
3. Hook NtDCompositionCreateChannel → cattura MappedAddress (regione di memoria condivisa)
4. Hook NtDCompositionCommitChannel → sovrascrive il campo size (0x120 → 0x23F)
inserisce comandi batch aggiuntivi
5. Heap spray di 0x10000 oggetti CHolographicInteropTexture (size=0x1B0)
6. Libera buchi ogni 0x10 indici → crea spazi vuoti per l'atterraggio dell'overflow
7. Scrive il payload nel buffer di overflow → KCBTable+0x388 + LoadLibraryA + percorso DLL
8. Rilascia tutti gli oggetti spray → innesca overflow → LoadLibraryA("s11.dll")
9. dwm.exe carica la DLL del payload → genera CMD come integrità SYSTEM
La RAM disponibile influenza il numero di tentativi necessari per un heap spray riuscito?
Due blocchi di 25 sessioni ciascuno. Protocollo per sessione: ripristina snapshot pulito post-avvio → attesa 100 secondi di stabilizzazione → avvia exploit → registra il tentativo riuscito.
| Blocco | RAM | Sessioni | Successi | Fallimenti |
|---|---|---|---|---|
| A | 8.192 MB | 25 | 24 | 1 |
| B | 4.096 MB | 25 | 24 | 1 |