IoRingReadWritePrimitive

Техника пост-эксплуатации для превращения произвольной записи / инкремента в ядре в полноценный примитив чтения/записи на Windows 11 22H2+ Этот PoC использует драйвер HackSysExtremeVulnerableDriver. PoC поддерживает как произвольную запись, так и произвольный инкремент, управляемые через флаг, передаваемый в функцию из main(). Для произвольного инкремента скомпилируйте последнюю версию драйвера HEVD из исходников.

Разбор: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/

Этот PoC использует произвольное перезаписывание поля RegBuffers кольца I/O, чтобы указать на поддельный массив предварительно зарегистрированных буферов, которым может управлять атакующий. Поддельные буферы могут указывать на адреса ядра, поэтому атакующий может ставить в очередь операции чтения и записи, которые выполняют произвольные чтения и записи. Используя именованные каналы вместо файла, можно избежать оставления следов, которые могут распознать средства безопасности. Текущая реализация читает страницу из раздела данных NTOS и выводит её. Для этого используется жёстко заданное смещение, поэтому в будущем это может перестать работать.