hoangprod/cve-2021-31956-pocProva de conceito de exploit para CVE-2021-31956, uma vulnerabilidade de elevação de privilégio do kernel Windows NTFS. Demonstra técnicas de exploração incluindo abuso de WNF e roubo de token para escalada de privilégios.
Código PoC em andamento para CVE-2021-31956 em preparação para o OSEE. Melhorarei ainda mais após meus exames OSEE e tempo livre. Muitos offsets hardcoded precisam ser alterados se forem diferentes no sistema alvo (mas se for algo semelhante a compilações de 2020-2021, então nenhuma alteração deve ser necessária. Não tenho 100% de certeza) e você não pode sair do programa porque muitos cabeçalhos de pool ainda estão corrompidos, além do campo Token ainda estar apontando para o token do sistema. Uma de três coisas acontecerá se você tentar sair do programa: um BSOD, não consegue sair, ou se as estrelas se alinharem, sair com segurança, mas o sistema provavelmente estará instável e será uma bomba-relógio.
Créditos:
https://decoded.avast.io/janvojtesek/exploit-kits-vs-google-chrome/ artigo incrível que cobre muitos detalhes que a NCC e outros não abordam
https://research.nccgroup.com/2021/07/15/cve-2021-31956-exploiting-the-windows-kernel-ntfs-with-wnf-part-1/ boa compreensão básica da vulnerabilidade e boas lições aprendidas
https://github.com/aazhuliang/CVE-2021-31956-EXP para a maior parte do código inicial e uma fonte para eu recorrer se estiver completamente travado
https://github.com/freeide/CVE-2021-31955-POC/tree/main - PoC do CVE-2021-31955 que permite o vazamento do EPROCESS. Embora isso seja desnecessário devido à natureza do bug e ao campo CreatorProcess acessível dentro da struct WNF.
