CVE-2019-16098

总结

Micro-Star MSI Afterburner 4.6.2.15658（又称 RTCore64.sys 和 RTCore32.sys）中的驱动程序允许任何经过身份验证的用户读取和写入任意内存、I/O 端口和 MSR。这可以被利用来实现权限提升、以高权限执行代码以及信息泄露。这些已签名的驱动程序还可被用于绕过 Microsoft 驱动签名策略，以部署恶意代码。

来源

• NT-AUTHORITY-SYSTEM-CONTEXT-RTCORE漏洞利用

  此漏洞利用程序重建并利用了 CVE-2019-16098，该漏洞位于驱动程序 Micro-Star MSI Afterburner 4.6.2.15658（即 RTCore64.sys 和 RTCore32.sys）中，允许任何已认证用户读取和写入任意内存、I/O 端口和 MSR。我没有使用 Ntoskrnl.exe 的硬编码基址，而是动态计算了它，并重新计算了字段偏移量。

• CVE-2019-16098漏洞利用

  利用 RTCore64.sys 驱动程序中的 CVE-2019-16098 漏洞，通过复制 System 进程令牌，将低权限账户提升至 SYSTEM 权限。

• RTCore64-probePoC

  一个用于测试通过存在漏洞的 RTCore64.sys 驱动程序/设备（CVE-2019-16098）读取内存的小型 C++ 程序。它尝试使用该驱动程序从自身内存中读取一个“秘密”，以测试句柄是否已被关闭。执行前需要先加载 RTCore64.sys 驱动程序！

• cheat-engine-undetectable研究

  学术研究版 - T1：用户态规避（混淆 + 系统调用网关），T2：BYOVD 内核桥接，T3：DMA 硬件（未来工作）。

• VortexCry-Ransomware-Release漏洞利用

  高级勒索软件，利用进程注入和内核驱动程序加载（通过 CVE-2019-16098）加密文件、禁用恢复并索要赎金。仅用于研究。