gowonisgood/cve-2025-62215-pocCVE-2025-62215에 대한 개념 증명 익스플로잇, SepTokenSidSharingEnabled의 Windows 커널 Use-After-Free 취약점입니다. 경쟁 조건 분석을 위한 커널 드라이버 및 사용자 모드 익스플로잇이 포함되어 있습니다.
Windows 커널의 SepTokenSidSharingEnabled 최적화 경로에서 발생하는 Use-After-Free 취약점 PoC입니다.
NtDuplicateToken 내부에서 SID Values Block의 RefCount가 1→2로 증가하는 순간, 레이스를 걸어 커널 스레드가 해당 블록을 ExFreePoolWithTag로 해제합니다.SepDereferenceSidValuesBlock이 해제된 블록에 다시 접근 → UAF / Double Free 발생.[User] IOCTL_REPLACE_SID_BLOCK → TOKEN+0x468에 RefCount=1인 독립 블록 배치
[User] IOCTL_TRIGGER_FREE → 커널 스레드 시작 (RefCount==2 폴링 대기)
[User] NtDuplicateToken → 내부에서 RefCount 1→2 증가
[Kernel Thread] RefCount==2 감지 → ExFreePoolWithTag(pBlock) ← UAF 지점
| 경로 | 설명 |
|---|---|
exploit/exploitWithDriv/exploitWithDriv.cpp | 유저모드 익스플로잇 (콘솔 앱) |
tokendriv/tokendrv/tokendrv/tokendrv.cpp | 커널 드라이버 (IOCTL 인터페이스 제공) |
tokendriv.sys — 커널 드라이버tokendriv/tokendrv/tokendrv.slnx 열기tokendriv/tokendrv/x64/Release/tokendrv.sys 생성.sys 파일만 VM으로 복사WDK 설치 후 프로젝트 속성 → Driver Settings → Target OS Version 확인
exploitWithDriv.exe — 유저모드 익스플로잇exploit/exploitWithDriv.slnx 열기exploit/x64/Release/exploitWithDriv.exe 생성test / 1234 (로컬 계정, 관리자 권한 불필요)sc create tokendriv type= kernel binpath= "C:\path\to\tokendrv.sys"
sc start tokendriv
드라이버가 실행 중인지 확인:
sc query tokendriv
상태가 RUNNING이어야 합니다.
exploitWithDriv.exe
실행 흐름:
FullNumberOfPhysicalPages 확인 (0x83400 이하여야 진행)LogonUser("test", ".", "1234") → hSource 획득REPLACE → TRIGGER → NtDuplicateToken → Sleep(1)0: kd> !process 0 0 exploitWithDriv.exe
출력 예시:
PROCESS ffffa88f5e61e080
SessionId: 1 Cid: 1234 Peb: ... ParentCid: ...
Image: exploitWithDriv.exe
ffffa88f5e61e080이 EPROCESS 주소입니다.
아래 주소는 환경마다 다를 수 있으므로 실제 커널 심볼로 확인 후 사용하세요.
A. SID Block RefCount 증가 지점 (레이스 윈도우 시작)
0: kd> bp fffff800`725c6114 ".if (@$proc == 0xffffa88f5e61e080) { .echo A_REFCNT_INCR; dq poi(@rsi+0x468)+8 L1; gc } .else { gc }"
TOKEN+0x468에 있는 SID Values Block의 RefCount(+0x8)를 출력합니다.1 → 2로 바뀌는 순간이 레이스 윈도우입니다.B. UAF Read 지점
0: kd> bp fffff800`726f51fb ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_READ; r rax,rdx; gc } .else { gc }"
rax, rdx 값을 확인하세요.C. UAF Write 지점
0: kd> bp fffff800`726f5208 ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_WRITE; r rcx,rdx,rax; gc } .else { gc }"
rcx, rdx, rax 값으로 오염 여부를 확인합니다.NtDuplicateToken 진입
└─ SeTokenCanImpersonate
└─ SID Block RefCount: 1 → 2 ← bp A (A_REFCNT_INCR)
← 커널 스레드: ExFreePoolWithTag(pBlock)
└─ SepDereferenceSidValuesBlock
└─ pBlock 역참조 (읽기) ← bp B (REAL_UAF_READ)
└─ pBlock 역참조 (쓰기) ← bp C (REAL_UAF_WRITE)
A_REFCNT_INCR 출력 직후 RefCount가 2이면 레이스 윈도우 진입 성공REAL_UAF_READ / REAL_UAF_WRITE가 출력되면 실제 UAF 발생 확인'kcoB'로 할당된 블록 추적: !pool <addr> 또는 !poolused| 구조체 | 오프셋 | 필드 |
|---|---|---|
_TOKEN | +0x468 | SepSidValues (SID Values Block 포인터) |
| SID Values Block | +0x000 | Length (ULONG) |
| SID Values Block | +0x008 | ReferenceCount (LONGLONG) |
sc stop tokendriv
sc delete tokendriv