개념 증명 (Proof of Concepts)

이 프로젝트는 Microsoft가 Windows 11에서 구현한 섀도 스택(shadow stack) 완화 기능의 특정 측면을 조명하는 것을 목표로 합니다. 코드는 특히 Windows 11 24H2에 초점을 맞추고 있습니다. 커널 오프셋 관리 방식으로 인해 다른 버전의 Windows 11에서는 작동하지 않을 수 있습니다.

이 프로젝트는 클라이언트와 드라이버 두 부분으로 나뉩니다. 둘 사이의 통신은 IOCTL 메커니즘을 통해 처리됩니다. 클라이언트는 드라이버에게 커널 수준에서 작업을 수행하도록 요청합니다.

기능

• 현재 스레드의 커널 반환 주소 중 하나를 증가시켜 정렬을 어긋나게 하고 BSOD를 유발합니다.
• 현재 스레드의 커널 스택 프레임 중 하나를 건너뛰어 섀도 스택의 복원력을 강조합니다.
• 현재 CR4 레지스터에서 CET를 활성화/비활성화하여 BSOD를 유발합니다.
• MSR 레지스터에 쓰기 작업을 수행하며, 일반적으로 BSOD를 유발합니다.
• 섀도 스택에 쓰기 작업을 수행하여 BSOD를 유발합니다.
• 섀도 스택 PTE를 덮어써서 BSOD를 유발합니다.
• 0으로 나누기 중 try/except 및 섀도 스택 동작을 강조하기 위해 나눗셈을 수행합니다.

빌드

build.bat을 사용하세요.

전제 조건

전제 조건으로, 다음 키트는 동일한 Windows 빌드용이어야 합니다:

• Microsoft Windows SDK (소프트웨어 개발 키트)
• Microsoft WDK (Windows 드라이버 키트)

참고: POC는 키트 버전 10.0.26100.0으로 테스트되었습니다.

대상 시스템 구성

커널 섀도 스택 완화 기능을 활성화하려면 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\ 키에 다음 값을 추가하거나 설정해야 합니다:

또한 테스트 서명된 드라이버를 로드하려면 관리자 콘솔에서 다음 명령을 실행해야 합니다:

bcdedit /set testsigning on

그런 다음 재부팅이 필요합니다.

사용법

드라이버 로드

드라이버를 로드하려면 관리자 콘솔에서 다음 명령을 입력해야 합니다:

sc create shadow type= kernel binPath= ABSOLUTE_PATH_TO_THE_DRIVER
sc start shadow

클라이언트

클라이언트에는 다음과 같은 옵션이 있습니다:

크레딧

FindWDK를 제공한 SergiusTheBest.