Process Explorer 취약한 드라이버 PPL 우회

SysInternals Process Explorer 드라이버(PSEXP152.sys)의 구버전(17.x 이전)이 취약하여 PPL 프로세스에 대한 전체 액세스 프로세스 핸들을 열 수 있다는 것(IOCTL: 0x8335003c)은 잘 알려져 있지만, 신버전(17.x 이상)도 여전히 취약하며 다른 드라이버 함수(IOCTL: 0x83350014)를 통해 동일한 작업을 수행할 수 있습니다.

이 IOCTL 함수는 임의의 핸들을 복제하며, 드라이버 버전 17.00에서 시스템 프로세스와 모든 보호된 프로세스(PP/PPL)를 필터링하는 패치도 적용되었습니다. 하지만 이 함수에는 중대한 간과가 있었는데, 자신의 비PPL 프로세스에서 임의의 프로세스 및 스레드 핸들을 여전히 복제할 수 있었습니다. PROCESS_QUERY_LIMITED_INFORMATION과 같은 낮은 권한으로 PPL 프로세스를 열고, Process Explorer 드라이버를 통해 자신의 프로세스에서 이 핸들을 복제하는 것만으로 필터를 우회하고 PPL 프로세스에 대한 전체 액세스 핸들을 얻을 수 있었습니다.

저는 몇 년 전 이 방법을 사용하여 PPL 프로세스 보호를 우회했지만, Microsoft는 드라이버 버전 17.11에서 대상 핸들이 PPL 프로세스 또는 스레드 핸들인지 확인하도록 하여 이 우회를 패치했습니다. 그럼에도 불구하고 17.00부터 17.09까지의 드라이버 버전(17.10은 존재하지 않음)은 Microsoft의 취약한 드라이버 차단 목록에 포함되지 않았으며, 일부 EDR 벤더도 (현재로서는) 이러한 버전을 탐지하지 않는 것으로 보입니다.

이것은 PPL 프로세스를 종료하기 위한 PoC 구현일 뿐입니다. 동일한 강력한 핸들 복제 IOCTL은 스레드와 같은 다른 핸들 유형을 복제하거나 다른 PPL 프로세스에 셸코드를 주입하는 데에도 사용할 수 있습니다.

사용법:
1. 구버전 SysInternals Process Explorer(17.00 ~ 17.10)를 다운로드합니다
2. 관리자 권한으로 procexp64.exe를 실행하여 취약한 드라이버를 로드합니다
3. Process Explorer에서 예를 들어 MsMpEng.exe의 PID를 찾습니다 (예: 3660)
4. 관리자 권한으로 ps_ppl_bypass.exe PID ("ps_ppl_bypass.exe 3660")를 실행하여 대상 프로세스를 종료합니다

공식 SysInternals 웹사이트에서 SysInternals Handles 도구를 추출하여 구버전 드라이버를 얻는 것도 여전히 가능합니다: https://learn.microsoft.com/en-us/sysinternals/downloads/handle