PoC de LPE no Driver ASUS (Abuso de Memória Física)

Este é um PoC para Local Privilege Escalation (LPE) que explora o driver AsInsHelp64.sys. Ele abusa de um driver ASUS legítimo e assinado para mapear memória física e sobrescrever tokens do kernel, obtendo por fim privilégios NT AUTHORITY\SYSTEM.

🎯 Informações da Vulnerabilidade

• Alvo: AsInsHelp64.sys (Relacionado ao ASUS Fan Xpert < v.10013)
• Técnica: Leitura/Escrita Arbitrária de Memória Física
• Causa Raiz: O driver expõe um IOCTL que permite a qualquer usuário mapear memória física em seu espaço de endereçamento virtual. Explorando isso, podemos modificar estruturas críticas do kernel sem qualquer verificação de permissão.

📋 Ambiente Suportado

• SO: Windows 10 (2004) ~ Windows 11 (23H2) x64
• Driver: AsInsHelp64.sys deve estar carregado.
• Ferramentas: WinDbg (Necessário para estabilidade).

🚀 Uso

1. Execute o Exploit
2. Obtenha Informações do WinDbg: Em vez de arriscar um crash escaneando a memória, obtenha os endereços exatos manualmente:
   • Obtenha o EPROCESS & CR3 do System: !process 0 0 System
   • Obtenha o Token do System: dq <System_EPROCESS>+4b8 L1
3. Insira os Dados & Pwn: Insira os valores na ferramenta. Ela encontrará automaticamente seu processo e trocará o token.

📖 Passo a Passo

1. Inicie a Ferramenta

Execute o compilado. O programa solicitará as informações do System. image

2. Obtenha as Informações do System (WinDbg)

Abra o WinDbg e execute o seguinte comando para encontrar o processo System:

!process 0 0 System

Copie o endereço após PROCESS e o valor de DirBase(CR3) image image

3. Obtenha o Valor do Token

Use o endereço encontrado no passo anterior para ler o valor do Token.

dq <System_EPROCESS_Address>+4b8 L1

image image

4. Explore & Verifique

A ferramenta localizará seu processo no kernel, sobrescreverá o token e abrirá um novo CMD.

whoami

image

Referência

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804