ntoskrnl-metadata

Windows の ntoskrnl.exe バイナリから重要なカーネルメタデータを抽出するための IDA Python スクリプトです。このツールは、CVE-2026-40369 やその他のカーネル脆弱性を対象としたエクスプロイトの開発に必要な関数 RVA と _EPROCESS 構造体オフセットを自動的に抽出します。

目的

このツールは、エクスプロイトペイロードにハードコードする必要があるバージョン固有のカーネルメタデータを自動的に抽出することで、CVE-2026-40369 向けのエクスプロイトの作成を支援します。抽出された値により、さまざまな Windows ビルドおよびパッチレベルにわたって、適切な関数フックと構造体メンバーアクセスが保証されます。

特徴

• 関数 RVA の自動抽出: 主要なカーネル関数の RVA を取得します:

  • ExpGetProcessInformation
  • ExpQuerySystemInformation
  • CmpLayerVersionCount
  • CmpLayerVersions
  • PsInitialSystemProcess

• _EPROCESS 構造体オフセット: 以下のメンバーのオフセットを抽出します:

  • UniqueProcessId
  • ActiveProcessLinks
  • Token
  • ImageFileName

• すぐに使える出力: CVE-2026-40369 エクスプロイトコードに直接貼り付けられるフォーマット済みの出力を生成します

必要条件

• IDA Pro (Python サポートが必要)
• ntoskrnl.exe 用の Windows PDB シンボル が読み込まれていること
• ida_typeinf モジュール (IDA Pro に同梱)

使い方

1. IDA Pro で ntoskrnl.exe を開きます

2. 対応する Windows PDB シンボルを読み込みます:

   • ファイル → ファイルを読み込む → PDB ファイル
   • お使いの Windows バージョンに一致する ntoskrnl.pdb を選択します

3. スクリプトを実行します:

   • ファイル → スクリプトファイル → extract_metadata.py を選択
   • または: ファイル → Python → スクリプトを実行

4. スクリプトは以下を出力します:

   • メモリアドレス付きの全関数 RVA
   • _EPROCESS 構造体メンバーのオフセット
   • エクスプロイトコードに貼り付ける準備ができたフォーマット済みの行

出力例

=== RVAs (image base = 0x140000000) ===
  ExpGetProcessInformation: ea=0x1400a1234  rva=0xa1234
  ExpQuerySystemInformation: ea=0x1400a5678  rva=0xa5678
  ...

=== _EPROCESS member offsets ===
  _EPROCESS.UniqueProcessId: 0x440
  _EPROCESS.ActiveProcessLinks: 0x448
  _EPROCESS.Token: 0x4d8
  _EPROCESS.ImageFileName: 0x5e8

=== g_builds[] row (paste at poc.c:146) ===
    { 26200, 8037, 0xA1234, 0xA5678, 0x440, 0x448, 0x4D8, 0x5E8 },

トラブルシューティング

対応バージョン

このスクリプトは、PDB シンボルが利用可能なすべての Windows ntoskrnl.exe バージョンで動作します。Windows 10 および Windows 11 でテスト済みです。

注記

• RVA は、出力に表示されるイメージベースを基準として計算されます
• すべてのオフセットはバイト単位です (IDA のビットオフセットから変換済み)
• 生成された出力形式は、CVE-2026-40369 エクスプロイトフレームワークと互換性があります
• ntoskrnl.exe に一致する正しい PDB バージョンを使用していることを確認してください

ライセンス

このツールは、セキュリティ研究および許可された分析目的のみのために、現状のまま提供されます。