ASUS Driver LPE PoC (Злоупотребление физической памятью)

Это PoC для Local Privilege Escalation (LPE), эксплуатирующий драйвер AsInsHelp64.sys. Он злоупотребляет легитимным подписанным драйвером ASUS для отображения физической памяти и перезаписи токенов ядра, что в итоге позволяет получить привилегии NT AUTHORITY\SYSTEM.

🎯 Информация об уязвимости

• Цель: AsInsHelp64.sys (связан с ASUS Fan Xpert < v.10013)
• Техника: Произвольное чтение/запись физической памяти
• Первопричина: Драйвер предоставляет IOCTL, позволяющий любому пользователю отображать физическую память в своё виртуальное адресное пространство. Эксплуатируя это, мы можем изменять критически важные структуры ядра без каких-либо проверок прав.

📋 Поддерживаемое окружение

• ОС: Windows 10 (2004) ~ Windows 11 (23H2) x64
• Драйвер: AsInsHelp64.sys должен быть загружен.
• Инструменты: WinDbg (требуется для стабильности).

🚀 Использование

1. Запустите эксплойт
2. Получите информацию из WinDbg: Вместо того чтобы рисковать падением системы при сканировании памяти, получите точные адреса вручную:
   • Получите System EPROCESS и CR3: !process 0 0 System
   • Получите System Token: dq <System_EPROCESS>+4b8 L1
3. Ввод и захват: Введите значения в инструмент. Он автоматически найдёт ваш процесс и подменит токен.

📖 Пошаговое руководство

1. Запуск инструмента

Запустите скомпилированный файл. Программа запросит информацию о системе. image

2. Получение информации о системе (WinDbg)

Откройте WinDbg и выполните следующую команду, чтобы найти процесс System:

!process 0 0 System

Скопируйте адрес, следующий за PROCESS, и значение DirBase(CR3) image image

3. Получение значения токена

Используйте адрес, найденный на предыдущем шаге, чтобы прочитать значение токена.

dq <System_EPROCESS_Address>+4b8 L1

image image

4. Эксплуатация и проверка

Инструмент найдёт ваш процесс в ядре, перезапишет токен и запустит новый CMD.

whoami

image

Ссылка

https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804