nullmap

nullmap は、私の古い voidmap と、chompie および b33f による CVE-2023-21768 POC に基づいた、非常にシンプルなドライバー手動マッパーです。基盤となる IoRing のポストエクスプロイテーション用メモリ読み書きプリミティブが、多数の連続した読み書きをあまりうまく処理できないため、SMEP/SMAP を無効化するために CR4 を上書きして、ユーザーモードにマッピングされたドライバーを実行することにしました。Windows 11 22H2 (22621.525) でテスト済みです。

使用方法:

nullmap.exe <path_to_driver>

考えられる問題点:

• 手動マッピングされたドライバーは、ExAllocatePool によって割り当てられたプール内に配置されます。これを何かより本格的な用途に使用する場合は、簡単にダンプされないように、より良いメモリ割り当て方法を検討すべきです。
• 元の cr4 値を読み取る簡単な方法がないため、自分のシステムにあった値をハードコードする必要がありました。最近のほとんどの CPU では同じ値のはずですが、値が正しいかどうかは再確認すべきです。
• NtGdiGetEmbUFI へのオフセットをハードコードしています。簡単にシグスキャンする方法がないためです。つまり、特定の Windows ビルドに合わせてこのオフセットを更新する必要があります。
• これはひとつの午後で書かれたもので、最もクリーンなコードベースではないかもしれません。

動画: