hoangprod/cve-2021-31956-pocЭксплойт, подтверждающий концепцию (PoC), для CVE-2021-31956 — уязвимости повышения привилегий в NTFS ядра Windows. Демонстрирует техники эксплуатации, включая злоупотребление WNF и кражу токенов для повышения привилегий.
Черновой код PoC для CVE-2021-31956 в рамках подготовки к OSEE. Я улучшу его после экзаменов OSEE и появления свободного времени. Множество жёстко заданных смещений нужно изменить, если целевая система отличается (но если она похожа на сборки 2020–2021 годов, то изменений, скорее всего, не потребуется. Не уверен на 100%), и вы не можете выйти из программы, потому что многие заголовки пулов по-прежнему повреждены, а поле Token всё ещё указывает на системный токен. При попытке выйти из программы произойдёт одно из трёх: BSOD, невозможность выйти или, если звёзды сложатся, безопасный выход, но система, вероятно, нестабильна и является бомбой замедленного действия.
Благодарности:
https://decoded.avast.io/janvojtesek/exploit-kits-vs-google-chrome/ — отличный разбор, описывающий множество деталей, которых не хватает у NCC и других
https://research.nccgroup.com/2021/07/15/cve-2021-31956-exploiting-the-windows-kernel-ntfs-with-wnf-part-1/ — хорошее базовое понимание уязвимости и полезные уроки
https://github.com/aazhuliang/CVE-2021-31956-EXP — большая часть стартового кода и источник, к которому я могу обратиться, если полностью застряну
https://github.com/freeide/CVE-2021-31955-POC/tree/main — PoC для CVE-2021-31955, позволяющий утечку EPROCESS. Хотя это необязательно из-за природы ошибки и доступного поля CreatorProcess внутри структуры WNF.
