ntoskrnl-metadata

Um script IDA Python para extrair metadados críticos do kernel de binários ntoskrnl.exe do Windows. Esta ferramenta extrai automaticamente RVAs de funções e offsets da estrutura _EPROCESS necessários para desenvolver exploits direcionados à CVE-2026-40369 e outras vulnerabilidades do kernel.

Propósito

Esta ferramenta auxilia na compilação de exploits bem-sucedidos para a CVE-2026-40369 extraindo automaticamente metadados do kernel específicos da versão, que devem ser codificados manualmente nas cargas dos exploits. Os valores extraídos garantem o hooking adequado de funções e o acesso correto aos membros de estruturas em diferentes versões do Windows e níveis de patch.

Funcionalidades

• Extração Automática de RVAs de Funções: Recupera RVAs para funções-chave do kernel:

  • ExpGetProcessInformation
  • ExpQuerySystemInformation
  • CmpLayerVersionCount
  • CmpLayerVersions
  • PsInitialSystemProcess

• Offsets da Estrutura _EPROCESS: Extrai offsets de membros para:

  • UniqueProcessId
  • ActiveProcessLinks
  • Token
  • ImageFileName

• Saída Pronta para Uso: Gera saída formatada pronta para colar diretamente no código do exploit da CVE-2026-40369

Requisitos

• IDA Pro (com suporte a Python)
• Símbolos PDB do Windows carregados para o ntoskrnl.exe
• Módulo ida_typeinf (incluído no IDA Pro)

Uso

1. Abra o ntoskrnl.exe no IDA Pro

2. Carregue os símbolos PDB correspondentes do Windows:

   • File → Load File → PDB File
   • Selecione o ntoskrnl.pdb para a sua versão do Windows

3. Execute o script:

   • File → Script File → Selecione extract_metadata.py
   • Ou: File → Python → Run script

4. O script exibirá:

   • Todos os RVAs das funções com seus endereços de memória
   • Offsets dos membros da estrutura _EPROCESS
   • Uma linha formatada pronta para colar no código do exploit

Exemplo de Saída

=== RVAs (image base = 0x140000000) ===
  ExpGetProcessInformation: ea=0x1400a1234  rva=0xa1234
  ExpQuerySystemInformation: ea=0x1400a5678  rva=0xa5678
  ...

=== offsets dos membros de _EPROCESS ===
  _EPROCESS.UniqueProcessId: 0x440
  _EPROCESS.ActiveProcessLinks: 0x448
  _EPROCESS.Token: 0x4d8
  _EPROCESS.ImageFileName: 0x5e8

=== Linha g_builds[] (cole em poc.c:146) ===
    { 26200, 8037, 0xA1234, 0xA5678, 0x440, 0x448, 0x4D8, 0x5E8 },

Solução de Problemas

Versões Suportadas

Este script funciona com qualquer versão do ntoskrnl.exe do Windows onde símbolos PDB estejam disponíveis. Testado com Windows 10 e Windows 11.

Notas

• Os RVAs são calculados relativos à base da imagem exibida na saída
• Todos os offsets estão em bytes (convertidos dos offsets em bits do IDA)
• O formato da saída gerada é compatível com frameworks de exploit da CVE-2026-40369
• Certifique-se de ter a versão correta do PDB correspondente ao seu ntoskrnl.exe

Licença

Esta ferramenta é fornecida "como está" para fins de pesquisa de segurança e análise autorizada.