IoRingReadWritePrimitive

Windows 11 22H2+에서 임의 커널 쓰기/증가를 완전한 읽기/쓰기 프리미티브로 전환하는 사후 익스플로잇 기법 이 PoC는 HackSysExtremeVulnerableDriver를 사용합니다. PoC는 main()에서 함수로 전달되는 플래그를 통해 임의 쓰기와 임의 증가를 모두 지원합니다. 임의 증가를 위해서는 최신 HEVD 드라이버를 소스에서 컴파일하세요.

분석 문서: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/

이 PoC는 I/O 링의 RegBuffers 필드를 임의로 덮어써서 공격자가 조작할 수 있는 사전 등록된 버퍼의 가짜 배열을 가리키도록 합니다. 가짜 버퍼는 커널 주소를 가리킬 수 있으므로, 공격자는 임의 읽기 및 쓰기를 생성하는 읽기/쓰기 작업을 대기열에 추가할 수 있습니다. 파일 대신 명명된 파이프를 사용하면 보안 도구가 인식할 수 있는 흔적을 남기지 않을 수 있습니다. 현재 구현은 NTOS 데이터 섹션에서 한 페이지를 읽어 출력합니다. 이는 하드코딩된 오프셋을 사용하므로 향후에 작동이 중단될 수 있습니다.