ZeroHVCI - Обход HVCI без прав администратора или драйвера ядра

ZeroHVCI обеспечивает произвольное чтение/запись/вызов функций в ядре в средах, защищённых целостностью кода под защитой гипервизора (HVCI), без прав администратора и драйверов ядра.

Возможности

• Полное непривилегированное чтение/запись в ядре: чтение/запись в ядре достигается за счёт использования CVE-2024-26229, которое не требует повышения привилегий процесса.
• Произвольный вызов функций: вызывает любые произвольные функции ядра с нужными параметрами полностью из пользовательского режима.

Начало работы

Чтобы начать работу с ZeroHVCI, вы можете клонировать этот репозиторий и собрать проект.

Использование

//
// Read kernel memory example:
//
ReadKernelMemory(source_address, buffer_address, size);

//
// Write kernel memory example:
//
WriteKernelMemory(source_address, buffer_address, size);

//
// Kernel function calling example via name:
//
KF::CallKernelFunctionViaName<kernel_param_type1, kernel_param_type2, kernel_param_type3>(
  "kernel_function_name",
  param1,
  param2,
  param3);

//
// ExAllocatePool example:
//
KF::CallKernelFunctionViaName<PVOID, POOL_TYPE, SIZE_T>("ExAllocatePool", PoolType, Size);

//
// memcpy example:
//
KF::CallKernelFunctionViaName<PVOID, PVOID, PVOID, SIZE_T>("memcpy", Dst, Src, Size);

//
// PsLookupProcessByProcessId example:
//
PEPROCESS Process;
KF::CallKernelFunctionViaName<NTSTATUS, HANDLE, PEPROCESS*>("PsLookupProcessByProcessId", ProcessHandle, &Process);

Как это работает

Два основных проекта делают это возможным

• KernelForge- Вся заслуга принадлежит Dmytro Oleksiuk; его проект позволяет нам получить совместимый с HVCI вызов функций ядра, злоупотребляя иерархией выполнения потоков и построением ROP-цепочек, фактически ничего не пропатчивая.
• CVE-2024-26229- Вся заслуга принадлежит Eric Egsgard; этот эксплойт позволяет нам получить чтение/запись в ядре, злоупотребляя IOCTL с METHOD_NEITHER в csc.sys (модуль Windows, ресурсы будут приведены ниже, если вы хотите узнать больше).
• CVE-2024-35250- Вся заслуга принадлежит команде Devcore; этот эксплойт позволяет нам получить чтение/запись в ядре, злоупотребляя RtlClearAllBits в ks.sys (модуль Windows, ресурсы будут приведены ниже, если вы хотите узнать больше).

Для чего это нужно?

Демонстрирует, как опубликованные CVE могут быть объединены в цепочку для получения доступа к ядру в средах, защищённых HVCI. Полезно для исследователей безопасности, изучающих целостность ядра Windows и методы обхода защиты HVCI.

Благодарности

Cr4sh за KernelForge
varwara за его POC POC2
Eric Egsgard за его доклад

Дисклеймер

Только для образовательных целей и санкционированных исследований в области безопасности. Не используйте на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Я не несу ответственности за неправомерное использование. Используйте на свой страх и риск.

Все упомянутые названия продуктов, товарные знаки и зарегистрированные товарные знаки являются собственностью их соответствующих владельцев.