IoRingReadWritePrimitive

Windows 11 22H2+ 上で任意のカーネル書き込み / インクリメントを完全な読み書きプリミティブに変換するポストエクスプロイテーション技術です。 この PoC は HackSysExtremeVulnerableDriver を使用しています。PoC は任意書き込みと任意インクリメントの両方に対応しており、main() から関数に渡されるフラグによって制御されます。任意インクリメントの場合は、最新の HEVD ドライバをソースからコンパイルしてください。

解説: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/

この PoC は、I/O リングの RegBuffers フィールドを任意に上書きして、攻撃者が操作できる事前登録済みバッファの偽の配列を指すようにします。偽のバッファはカーネルアドレスを指すことができるため、攻撃者は任意の読み書きを生成する読み取り操作と書き込み操作をキューに追加できます。 ファイルの代わりに名前付きパイプを使用することで、セキュリティツールが認識する痕跡を残さないようにできます。 現在の実装では、NTOS データセクションから1ページを読み取り、それを出力します。これはハードコードされたオフセットを使用して行われるため、将来壊れる可能性があります。