voidmap

Un semplice driver manual mapper che sfrutta CVE-2021-40449 per eseguire una funzione arbitraria a un indirizzo specifico con un singolo argomento fornito. Si basa su un exploit PoC CallbackHell. Testato su Windows 10 Pro For Workstations 1809 17763.379 (64-bit), ma realisticamente dovrebbe supportare qualsiasi sistema di quel periodo.

Fa quanto segue:

• Disabilita SMEP (e possibilmente SMAP) riscrivendo il valore del registro cr4
• Salta nel codice in usermode che mappa manualmente il driver desiderato
• Riabilita SMEP (e possibilmente SMAP)

Ci sono due problemi principali con questo approccio:

• Il driver mappato manualmente sarà in un pool allocato da ExAllocatePool. Se vuoi usarlo per qualcosa di più serio, dovresti considerare un modo migliore di allocare la memoria così che non possa essere dumpato così facilmente.
• Non c'è un modo semplice per leggere il valore originale di cr4, il che significa che ho dovuto hardcodare il valore presente sul mio sistema. Anche se dovrebbe essere lo stesso per la maggior parte delle CPU moderne, dovresti comunque ricontrollare che il valore sia corretto.

Video: