ASUS Driver LPE PoC (Abuso della Memoria Fisica)

Questo è un PoC per la Local Privilege Escalation (LPE) che sfrutta il driver AsInsHelp64.sys. Abusa di un driver ASUS legittimo e firmato per mappare la memoria fisica e sovrascrivere i token del kernel, ottenendo infine i privilegi NT AUTHORITY\SYSTEM.

🎯 Informazioni sulla Vulnerabilità

• Target: AsInsHelp64.sys (Correlato ad ASUS Fan Xpert < v.10013)
• Tecnica: Lettura/Scrittura Arbitraria della Memoria Fisica
• Causa Principale: Il driver espone un IOCTL che consente a qualsiasi utente di mappare la memoria fisica nel proprio spazio di indirizzamento virtuale. Sfruttando questo, possiamo modificare strutture critiche del kernel senza alcun controllo dei permessi.

📋 Ambiente Supportato

• OS: Windows 10 (2004) ~ Windows 11 (23H2) x64
• Driver: AsInsHelp64.sys deve essere caricato.
• Strumenti: WinDbg (Necessario per la stabilità).

🚀 Utilizzo

1. Esegui l'Exploit
2. Ottieni Informazioni da WinDbg: Invece di rischiare un crash scansionando la memoria, recupera manualmente gli indirizzi esatti:
   • Ottieni System EPROCESS e CR3: !process 0 0 System
   • Ottieni il Token di Sistema: dq <System_EPROCESS>+4b8 L1
3. Input & Pwn: Inserisci i valori nello strumento. Troverà automaticamente il tuo processo e scambierà il token.

📖 Procedura Passo-Passo

1. Avvia lo Strumento

Esegui il file compilato. Il programma richiederà le informazioni di Sistema. image

2. Recupera le Informazioni di Sistema (WinDbg)

Apri WinDbg ed esegui il seguente comando per trovare il processo System:

!process 0 0 System

Copia l'indirizzo che segue PROCESS e il valore di DirBase(CR3) image image

3. Recupera il Valore del Token

Usa l'indirizzo trovato nel passaggio precedente per leggere il valore del Token.

dq <System_EPROCESS_Address>+4b8 L1

image image

4. Exploit & Verifica

Lo strumento individuerà il tuo processo nel kernel, sovrascriverà il token e avvierà un nuovo CMD.

whoami

image

Riferimento

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804