nullmap

매우 간단한 드라이버 수동 매퍼로, 제 예전 voidmap과 chompie 및 b33f의 CVE-2023-21768 POC를 기반으로 합니다. 기본 IoRing 사후 익스플로잇 메모리 읽기/쓰기 프리미티브가 많은 연속 읽기 및 쓰기를 잘 처리하지 못하기 때문에, SMEP/SMAP을 비활성화하기 위해 CR4를 덮어써서 유저모드에 매핑된 드라이버를 실행하기로 결정했습니다. Windows 11 22H2 (22621.525)에서 테스트되었습니다.

사용법:

nullmap.exe <path_to_driver>

가능한 문제점:

• 수동으로 매핑된 드라이버는 ExAllocatePool이 할당한 풀에 위치합니다. 더 진지한 용도로 사용하려면 메모리를 덤프하기 어렵게 만들 더 나은 메모리 할당 방법을 고려해야 합니다.
• 원래 CR4 값을 간단히 읽을 방법이 없어 제 시스템에 있던 값을 하드코딩해야 했습니다. 대부분의 최신 CPU에서 동일해야 하지만, 값이 올바른지 다시 확인해야 합니다.
• NtGdiGetEmbUFI에 대한 오프셋을 쉽게 시그스캔할 방법이 없어 하드코딩했습니다. 따라서 특정 Windows 빌드에 대해 이 오프셋을 업데이트해야 합니다.
• 오후 한 번에 작성한 코드로, 가장 깔끔한 코드 기반이 아닐 수 있습니다.

비디오: