CVE-2026-62737：从崩溃到实验室辅助的 SYSTEM

这是原始 CVE-2026-62737 分析文章的后续文章 （ExecutionContext.sys 任意内核间接调用）。它将崩溃 PoC 转化为一条可用的 token 交换链，以 SYSTEM 身份启动 cmd.exe，但这仅 适用于实验室环境，其中由调试器提供地址并将 ROP 链写入 内核内存。这并非独立的漏洞利用程序。

功能

1. 以低权限用户身份，通过 KLoader 代理打开 ExecutionContext 设备。
2. 初始化一个 ExecutionContext（0x22EC40），并将一个任务（0x22AC54）排入队列，该任务的 Callback 是一个内核 ROP 栈迁移（pivot）。
3. 一个 gdb 脚本（patch_rop.py）将 token 交换 ROP 链写入 ExecutionContext .data，并通过硬件断点捕获迁移时刻的 RSP/RBP。
4. 一个短期存活的监视线程唤醒内核工作者线程（0x226C5C 退出回调），该链将我们的 token 替换为 SYSTEM 的 token，恢复内核栈，并返回到驱动分发器，从而让工作者线程得以存活。

文件

要求

• Windows 11 25H2，内核 10.0.26100.8875（gadget RVA 与构建版本相关）。
• 一台虚拟机，带有 QEMU gdb 存根（gdbserver tcp::1234）、guest agent，以及挂载为 Z: 的主机/客户机共享文件夹。
• 一个能够打开 \\.\kloader\{9C0B898D-6275-48EC-81B4-E5EDBE44B535} 的低权限账户。
• 主机上安装 MinGW-w64（x86_64-w64-mingw32-gcc）和 gdb。

构建

x86_64-w64-mingw32-gcc -O2 -municode -o exploit.exe exploit.c
x86_64-w64-mingw32-gcc -O2 -o modlist.exe modlist.c

运行（每次启动）

1. 获取最新基址：./ga.py 'Z:\modlist.exe'（先将 modlist.exe 复制到共享文件夹）。

2. 更新脚本：./refresh_bases.sh。

3. 将 exploit.exe 和 modlist.exe 复制到共享文件夹。

4. 以低权限用户身份启动利用程序：exploit.exe <nt> <ec> <ec+0x10A00>。它会将其 PID 写入 Z:\lab_pid.txt，然后等待 Z:\go_lab.txt。

5. 附加 gdb，并将 LAB_PID_FILE 指向主机上的 lab_pid.txt 副本：

   root@kitploit:~

   LAB_PID_FILE=/path/to/shared/lab_pid.txt \
     gdb -q -ex 'target remote :1234' -ex 'set pagination off' -x patch_rop.py
   

   在 gdb 提示符下输入 continue。

偏移量（内核 26100.8875）

为什么这不是独立的利用程序

• 该回调在具有 system CR3 的内核系统线程中运行；无法使用用户内存 ROP，也不存在 MDL 内核别名。
• 真正的利用程序需要内核地址泄漏（nt/ec）以及将链送入内核内存的方法。在当前构建上两者均缺失。
• 迁移时刻的 RSP 由 gdb 断点捕获；真正的利用程序需要驻留于栈上的链，或能保存 RSP 的 gadget。

许可证

MIT，参见 LICENSE。