yardenshafir/ioringreadwriteprimitiveTecnica di post-exploitation per trasformare una scrittura/incremento arbitrario del kernel in una primitiva completa di lettura/scrittura su Windows 11 22H2
Tecnica di post-esploitazione per trasformare una scrittura / incremento arbitrario del kernel in una primitiva completa di lettura/scrittura su Windows 11 22H2+ Questa PoC utilizza l'HackSysExtremeVulnerableDriver. La PoC supporta sia la scrittura arbitraria che l'incremento arbitrario, controllati tramite un flag passato alla funzione da main(). Per l'incremento arbitrario, compilare il driver HEVD più recente dal sorgente.
Questa PoC utilizza una sovrascrittura arbitraria del campo RegBuffers di un I/O ring per puntare a un array fittizio di buffer preregistrati che possono essere manipolati da un attaccante. I buffer fittizi possono puntare a indirizzi del kernel, quindi l'attaccante può accodare operazioni di lettura e scrittura che generano letture e scritture arbitrarie. Utilizzando le named pipe invece di un file possiamo evitare di lasciare tracce riconoscibili dagli strumenti di sicurezza. L'implementazione attuale legge una pagina dalla sezione dati di NTOS e la stampa. Questo viene fatto utilizzando un offset hard-coded, quindi potrebbe rompersi in futuro.
