ASUS ドライバー LPE PoC (物理メモリ乱用)

これは、AsInsHelp64.sys ドライバーを悪用するローカル特権昇格 (LPE) の PoC です。 署名された正規の ASUS ドライバーを悪用して物理メモリをマッピングし、カーネルトークンを上書きして、最終的に NT AUTHORITY\SYSTEM 権限を取得します。

🎯 脆弱性情報

• 対象: AsInsHelp64.sys (ASUS Fan Xpert < v.10013 に関連)
• 手法: 任意の物理メモリ読み取り/書き込み
• 根本原因: このドライバーは、任意のユーザーが物理メモリを仮想アドレス空間にマッピングできるようにする IOCTL を公開しています。これを悪用することで、権限チェックなしに重要なカーネル構造を変更できます。

📋 サポート環境

• OS: Windows 10 (2004) ~ Windows 11 (23H2) x64
• ドライバー: AsInsHelp64.sys が読み込まれている必要があります。
• ツール: WinDbg (安定性のために必要)

🚀 使用方法

1. エクスプロイトを実行
2. WinDbg から情報を取得: メモリをスキャンしてクラッシュするリスクを避けるため、正確なアドレスを手動で取得します:
   • System EPROCESS と CR3 を取得: !process 0 0 System
   • System Token を取得: dq <System_EPROCESS>+4b8 L1
3. 入力 & Pwn: ツールに値を入力します。自動的に自分のプロセスを見つけてトークンを入れ替えます。

📖 ステップバイステップの手順

1. ツールを起動

コンパイル済みの実行ファイルを実行します。プログラムが System 情報を尋ねてきます。

2. System 情報を取得 (WinDbg)

WinDbg を開き、以下のコマンドを実行して System プロセスを見つけます:

!process 0 0 System

PROCESS に続くアドレスと DirBase(CR3) の値をコピーします。

3. Token 値を取得

前の手順で見つけたアドレスを使用して Token 値を読み取ります。

dq <System_EPROCESS_Address>+4b8 L1

4. エクスプロイトと検証

ツールはカーネル内で自分のプロセスを見つけ、トークンを上書きし、新しい CMD を起動します。

whoami

参照

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804