🔥 CVE-2025-29824 Эксплойт нулевого дня 🔥

Добро пожаловать в тёмное сердце киберпространства, где этические границы изгибаются под тяжестью запретных знаний. Этот репозиторий содержит доказательство концепции (PoC) эксплойта для CVE-2025-29824 — уязвимости «использование после освобождения» (UAF) в драйвере ядра Windows Common Log File System (CLFS), исправленной Microsoft 8 апреля 2025 года. Этот эксплойт повышает привилегии от обычного пользователя до SYSTEM, используя состояние гонки при обработке W32PROCESS. Разработанный для элитного курса по кибербезопасности, этот код предназначен для учебного использования в контролируемой, изолированной от сети виртуальной машине (VM). ПРЕДУПРЕЖДЕНИЕ: Использование в реальном мире незаконно и разрушительно.

Этот проект — полигон для хаоса и контроля, выполняемый в стерильной лаборатории, отключённой от всех сетей. Примите мышление разбойника, разберите эксплойт и укрепите свою защиту, чтобы построить неприступную цифровую крепость.

---

💉 Обзор

CVE-2025-29824 — это уязвимость повышения привилегий высокой степени серьёзности (CVSS 7.8), эксплуатируемая в дикой природе угрозой Storm-2460 через вредоносное ПО PipeMagic. Состояние гонки в обработке структур W32PROCESS драйвером CLFS, вызываемое через WaitForInputIdle, приводит к UAF, позволяя манипулировать памятью ядра и повышать привилегии до SYSTEM. Этот PoC демонстрирует:

• Утечку адресов ядра для обхода ASLR.
• Запуск UAF с точным временным интервалом.
• Заполнение кучи для контроля над освобождённой памятью.
• Выполнение шелл-кода для кражи токена SYSTEM.

Вариант использования: Академическое исследование в контролируемой VM для понимания эксплойтов ядра и защиты систем от них.

Отказ от ответственности: Это симуляционное упражнение в образовательных целях. Несанкционированное использование запрещено.

---

🛠️ Предварительные требования

Для запуска этого эксплойта настройте изолированную от сети VM следующим образом:

Системные требования

• ОС: Windows 10 21H2 (сборка < 19044.4291, до патча).
• ЦП: Процессор x64 с поддержкой виртуализации.
• Память: 4 ГБ ОЗУ (минимум).
• Диск: 20 ГБ свободного места.

Инструменты

• Visual Studio 2022: Community Edition с Windows Driver Kit (Ссылка на Visual Studio 2022: https://visualstudio.microsoft.com/vs/) для компиляции.
• WinDbg: Для отладки ядра (Ссылка на WinDbg: https://learn.microsoft.com/en-us/windows-hardware/drivers/debugger/).
• Ghidra: Для обратной разработки clfs.sys (Ссылка на Ghidra: https://ghidra-sre.org/).
• Windows SDK: Для ntdll.lib и низкоуровневых API (Ссылка на Windows SDK: https://developer.microsoft.com/en-us/windows/downloads/windows-sdk/).

Настройка VM

1. Создайте VM с помощью Hyper-V, VMware или VirtualBox.
2. Установите Windows 10 21H2 (ISO от Microsoft, предварительно до патча апреля 2025 года).
3. Отключите Центр обновления Windows для сохранения уязвимого состояния.
4. Включите тестовую подпись для пользовательских драйверов: bcdedit /set testsigning on.
5. Установите Visual Studio, WinDbg, Ghidra и Windows SDK.
6. Настройте изолированную от сети среду (отключите сетевые адаптеры).

---

📦 Установка

1. Клонируйте репозиторий:

   git clone https://your-repo-url/cve-2025-29824-exploit.git
   cd cve-2025-29824-exploit
   

   Примечание: В изолированной от сети VM переносите файлы через USB или вручную.

2. Откройте проект:

   • Запустите Visual Studio 2022.
   • Откройте cve-2025-29824.sln или создайте новое консольное приложение Win32.
   • Скопируйте код эксплойта из exploit.cpp (приведён ниже).

3. Настройте сборку:

   • Установите платформу x64.
   • Свяжите с ntdll.lib (Проект > Свойства > Компоновщик > Ввод).
   • Включите /fsanitize=address для обнаружения ошибок памяти (опционально).

4. Соберите эксплойт:

   msbuild cve-2025-29824.sln /t:Build /p:Configuration=Release
   

---

💾 Код эксплойта

Эксплойт реализован в exploit.cpp. Ниже приведено краткое описание — полный код находится в репозитории или предыдущем ответе.

Ключевые компоненты

• Утечка адреса ядра: Использует NtQuerySystemInformation для утечки базы ntoskrnl.exe, обходя ASLR.
• Запуск UAF: Массирует WaitForInputIdle с операциями журнала CLFS для вызова состояния гонки.
• Заполнение кучи: Создаёт 1000 файлов журнала CLFS для управления освобождённой памятью W32PROCESS.
• Шелл-код: Крадёт токен SYSTEM, обходя структуры EPROCESS, давая привилегии SYSTEM.
• Очистка: Закрывает дескрипторы и освобождает память для поддержания стабильности.

Структура файлов

cve-2025-29824-exploit/
├── exploit.cpp       # Основной код эксплойта
├── README.md         # Этот файл
├── cve-2025-29824.sln # Решение Visual Studio
└── docs/             # Дополнительные ресурсы (например, анализ CLFS)

---

🚀 Использование

1. Скомпилируйте эксплойт:

   • Соберите exploit.cpp в Visual Studio (Release, x64).
   • Вывод: cve-2025-29824-exploit.exe.

2. Запустите эксплойт:

   • Откройте командную строку с повышенными привилегиями в VM.
   • Выполните:

     cve-2025-29824-exploit.exe
     

   • Ожидаемый вывод:

     [*] Starting CVE-2025-29824 exploit...
     [*] Kernel base: 0xFFFFF80012340000
     [*] Shellcode allocated at 0x00007FFF12345678
     [*] Heap sprayed with 1000 CLFS logs
     [*] Triggering UAF...
     [*] Executing shellcode...
     [*] Exploit complete. Check for SYSTEM privileges.
     

3. Проверьте повышение привилегий:

   • Эксплойт запускает cmd.exe с whoami.
   • Убедитесь, что в выводе nt authority\system.

4. Отладка (опционально):

   • Подключите WinDbg к ядру VM (kd> .symfix; .reload).
   • Установите точки останова на функции clfs.sys (например, ClfsCreateLogFile).
   • Мониторьте память с помощью !heap и !pool.

Примечание: Успех зависит от времени и расположения памяти. Используйте WinDbg для точной настройки заполнения кучи и запуска UAF.

---

🛡️ Укрепление VM

Для защиты вашей VM от этого эксплойта и подобных атак примените следующие методы укрепления. Они сочетают стандартные защиты с продвинутыми, этически неоднозначными стратегиями для образовательной глубины.

Укрепление ядра

• Установите патч для CVE-2025-29824: Установите KB5044284 (8 апреля 2025) офлайн:

  wusa KB5044284.msu /quiet /norestart
  

• Защита ядра (PatchGuard): Включите с помощью bcdedit /set nx AlwaysOn.
• Control Flow Guard (CFG): Примените к clfs.sys через Set-ProcessMitigationPolicy.

Защита памяти

• ASLR: Принудительно включите для всей системы:

  Set-ProcessMitigation -System -Enable ForceRelocateImages
  

• Рандомизация кучи: Включите страницы-охранники:

  gflags /p /enable * /guard
  

• Смягчение уязвимостей Spectre: Установите ключ реестра:

  reg add HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management /v FeatureSettingsOverride /t REG_DWORD /d 0x48
  

Защита времени выполнения

• EDR: Разверните Microsoft Defender для конечных точек с правилами уменьшения поверхности атаки для блокировки certutil и dllhost.exe.
• Фильтрация системных вызовов: Используйте Process Monitor для записи системных вызовов CLFS, создавая фильтр seccomp для NtQuerySystemInformation.
• Приманка (Honeypot): Разместите фальшивые журналы CLFS (log:test) с канареечными токенами, вызывающими оповещения PowerShell:

  Register-WmiEvent -Query "SELECT * FROM __InstanceModificationEvent WHERE TargetInstance ISA 'Win32_FileSpecification'"