IoRingReadWritePrimitive

Técnica de pós-exploração para transformar escrita/incremento arbitrário de kernel em primitiva completa de leitura/gravação no Windows 11 22H2+ Este PoC utiliza o HackSysExtremeVulnerableDriver. O PoC suporta tanto escrita arbitrária quanto incremento arbitrário, controlados por uma flag passada para a função a partir do main(). Para incremento arbitrário, compile o driver HEVD mais recente a partir do código-fonte.

Writeup: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/

Este PoC usa uma sobrescrita arbitrária do campo RegBuffers de um I/O ring para apontar para um array falso de buffers pré-registrados que podem ser manipulados por um atacante. Os buffers falsos podem apontar para endereços do kernel, permitindo que o atacante enfileire operações de leitura e gravação que geram leituras e gravações arbitrárias. Ao usar named pipes em vez de um arquivo, podemos evitar deixar rastros que ferramentas de segurança possam reconhecer. A implementação atual lê uma página da seção de dados do NTOS e a imprime. Isso é feito usando um offset fixo no código, portanto pode quebrar no futuro.