HITCON 2023 데모 CVE-2023-20562

설명

이 데모는 대만에서 열린 HITCON 2023에서 진행되었습니다. 데모는 AMD μProf 내의 AMDCpuProfiler.sys를 악용하는 방법을 보여줍니다. EPROCESS 토큰에 대해 임의 쓰기를 트리거하여 SYSTEM 수준으로 권한 상승이 이루어집니다. DSE 플래그를 비활성화하면 악성 서명되지 않은 드라이버를 로드할 수 있습니다. 발표는 또한 360 Total Security의 ObRegisterCallbacks를 무효화하여 360 Total Security의 프로세스에서 악성 작업을 실행할 수 있도록 공격하는 방법을 보여줍니다.

정보

주제: 커널 익스플로잇 발굴: AMD Windows 커널 드라이버의 취약점 탐색
세션: https://hitcon.org/2023/CMT/en/agenda/5cb8168d-8fd6-4741-95a5-2e32aeb3e8af/
슬라이드: https://drive.google.com/file/d/1bWwzsUL0aSQA3lqu1WFrtAp3EW93Y0cx/view?usp=sharing
데모 비디오: https://youtu.be/j8dpt3TLKKY

환경

Windows 10 1909
Visual Studio 2017
AMD μProf 3.6.839
360 Total Security 6.6.0.1060

사용 방법

AMD μProf 3.6.839 및 360 Total Security 6.6.0.1060을 설치합니다.
exploit.exe와 Malicious.sys를 동일한 디렉터리에 넣습니다.
일반 사용자로 exploit.exe LPE를 실행하면 SYSTEM 권한이 있는 cmd.exe가 나타납니다.
SYSTEM 권한이 있는 cmd.exe에서 exploit.exe BYOVD를 실행하면 360 Total Security의 프로세스가 종료됩니다.

참고: DSE 플래그가 원래 값으로 재설정되지 않고, 콜백이 강제로 무효화되므로 시스템이 불안정할 수 있습니다.

참고 자료

nt!_SEP_TOKEN_PRIVILEGES - 단일 쓰기 EoP 보호: https://anti-reversing.com/Downloads/Sec_Research/ntoskrnl_v10.0.15063_nt!_SEP_TOKEN_PRIVILEGES-Single_Write_EoP_Protect.pdf
VIR.IT EXPLORER 안티바이러스 임의 쓰기 취약점 악용: https://www.greyhathacker.net/?p=990
DSE 플래그 찾기: https://github.com/hfiref0x/DSEFix

HITCON-2023-Demo-CVE-2023-20562

인기