ASUS ドライバ LPE PoC (物理メモリ悪用)

これは AsInsHelp64.sys ドライバを悪用する ローカル特権昇格 (LPE) の PoC です。 正規の署名済み ASUS ドライバを悪用して物理メモリをマッピングし、カーネルトークンを上書きすることで、最終的に NT AUTHORITY\SYSTEM 権限を取得します。

🎯 脆弱性情報

• 対象: AsInsHelp64.sys (ASUS Fan Xpert < v.10013 に関連)
• 手法: 任意の物理メモリ読み書き
• 根本原因: このドライバは、任意のユーザーが物理メモリを自身の仮想アドレス空間にマッピングできる IOCTL を公開しています。これを悪用することで、権限チェックを一切受けることなく重要なカーネル構造体を改ざんできます。

📋 対応環境

• OS: Windows 10 (2004) ~ Windows 11 (23H2) x64
• ドライバ: AsInsHelp64.sys がロードされている必要があります。
• ツール: WinDbg (安定性のために必須)。

🚀 使用方法

1. エクスプロイトを実行
2. WinDbg から情報を取得: メモリをスキャンしてクラッシュのリスクを冒す代わりに、正確なアドレスを手動で取得します:
   • System EPROCESS と CR3 を取得: !process 0 0 System
   • System トークンを取得: dq <System_EPROCESS>+4b8 L1
3. 入力 & Pwn: ツールに値を入力します。ツールは自動的にあなたのプロセスを見つけ、トークンを差し替えます。

📖 ステップバイステップの手順

1. ツールの起動

コンパイル済みのものを実行します。プログラムは System 情報を要求します。 image

2. System 情報の取得 (WinDbg)

WinDbg を開き、以下のコマンドを実行して System プロセスを見つけます:

!process 0 0 System

PROCESS に続くアドレスと DirBase(CR3) の値をコピーします image image

3. トークン値の取得

前のステップで見つけたアドレスを使用して、トークン値を読み取ります。

dq <System_EPROCESS_Address>+4b8 L1

image image

4. エクスプロイト & 検証

ツールはカーネル内であなたのプロセスを特定し、トークンを上書きして、新しい CMD を起動します。

whoami

image

参考

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804