ASUS 드라이버 LPE PoC (물리 메모리 남용)

이것은 AsInsHelp64.sys 드라이버를 악용하는 로컬 권한 상승(LPE) PoC입니다. 합법적이고 서명된 ASUS 드라이버를 남용하여 물리 메모리를 매핑하고 커널 토큰을 덮어쓰며, 궁극적으로 NT AUTHORITY\SYSTEM 권한을 획득합니다.

🎯 취약점 정보

• 대상: AsInsHelp64.sys (ASUS 팬 Xpert v.10013 미만 관련)
• 기법: 임의 물리 메모리 읽기/쓰기
• 근본 원인: 드라이버는 모든 사용자가 물리 메모리를 가상 주소 공간에 매핑할 수 있는 IOCTL을 노출합니다. 이를 악용하여 권한 확인 없이 중요한 커널 구조를 수정할 수 있습니다.

📋 지원 환경

• OS: Windows 10 (2004) ~ Windows 11 (23H2) x64
• 드라이버: AsInsHelp64.sys가 로드되어야 합니다.
• 도구: WinDbg (안정성을 위해 필요).

🚀 사용법

1. 익스플로잇 실행
2. WinDbg에서 정보 얻기: 메모리 스캔으로 충돌 위험을 감수하는 대신 정확한 주소를 수동으로 검색:
   • 시스템 EPROCESS 및 CR3 얻기: !process 0 0 System
   • 시스템 토큰 얻기: dq <System_EPROCESS>+4b8 L1
3. 입력 및 공격: 값을 도구에 입력하면 자동으로 프로세스를 찾아 토큰을 교체합니다.

📖 단계별 설명

1. 도구 실행

컴파일된 파일을 실행합니다. 프로그램이 시스템 정보를 요청합니다.

2. 시스템 정보 검색 (WinDbg)

WinDbg를 열고 다음 명령을 실행하여 System 프로세스를 찾습니다:

!process 0 0 System

PROCESS 다음의 주소와 DirBase(CR3) 값을 복사합니다.

3. 토큰 값 검색

이전 단계에서 찾은 주소를 사용하여 토큰 값을 읽습니다.

dq <System_EPROCESS_Address>+4b8 L1

4. 익스플로잇 및 확인

도구가 커널에서 프로세스를 찾아 토큰을 덮어쓰고 새 CMD를 실행합니다.

whoami

참고

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804