realtek poc

rt26cx21x64.sys エクスプロイト（Realtek PCIe GbE/2.5GbE/5GbE ファミリー）

概要

OID 0xFF816871 は、NIC の MMIO BAR を呼び出しプロセスの仮想アドレス空間にマッピングします（MmLockedPagesSpecifyCache）。\.\RealTekCard{GUID} 経由でユーザーモードから到達可能です。

この IOCTL（0x0012C818）は、レジストリ値（DrvMode=4）によってゲートされています。

MMIO レジスタアクセスを取得したら、ループバックモードで NIC の TX/RX ディスクリプタリングをプログラムし、任意の物理アドレスを読み書きします（AllocateUserPhysicalPages で PFN を取得します）。

IOCTL 0x12C008（1230872）は、最初の脆弱なディスパッチ分岐です。0x12C00C と 0x12C010 は異なるパスにつながり、a5 はスイッチを通して IOCTL コードを運びます。

IOCTL ディスパッチ

DMA パスに到達する前に、ドライバはグローバルな DrvMode フラグをチェックします。ビット 2 が設定されている必要があり、そうでなければ脆弱な MMIO マッピングパスには決して到達できません。

モードゲートチェック

dword_1400D0208 と 4 の比較がチェックです。

脆弱なパスの前に 2 つのガードがあり、DMA パスに入るには両方が false と評価される必要があります。これらは、デバイス拡張上のバイトフラグと、前の画像のモードチェックです。