CVE-2021-31956

OSEE に向けた CVE-2021-31956 の WIP PoC コード。OSEE の試験と空き時間ができ次第、さらに改善する予定です。 多数のハードコードされたオフセットは、ターゲットシステムが異なる場合に変更が必要です（ただし、2020～2021年のビルドと類似している場合、変更は不要かもしれません。100%確実ではありません）。また、多数のプールヘッダーが破損したままであること、Tokenフィールドがシステムのトークンを指したままであるため、プログラムを終了できません。終了しようとすると、BSODが発生する、終了できない、あるいはうまく終了できてもシステムが不安定で時限爆弾のような状態になる、の3つのうちのいずれかが発生します。

クレジット:

https://decoded.avast.io/janvojtesek/exploit-kits-vs-google-chrome/ – NCCや他の文献では不足している多くの詳細をカバーした素晴らしい解説

https://research.nccgroup.com/2021/07/15/cve-2021-31956-exploiting-the-windows-kernel-ntfs-with-wnf-part-1/ – 脆弱性の基本的な理解と学びに役立つ良い記事

https://github.com/aazhuliang/CVE-2021-31956-EXP – 大半の初期コードと、完全に行き詰まった場合に頼りになるソース

https://github.com/freeide/CVE-2021-31955-POC/tree/main – EPROCESS の漏洩を可能にする CVE-2021-31955 の PoC。ただし、このバグの性質と WNF 構造体内部でアクセス可能な CreatorProcess フィールドのため、これは不要です。

• Apt 69