嗨，黑客们。
GVCIDrv64.sys 是随技嘉 BIOS 工具一起分发的已签名内核驱动程序。它创建了 \\.\GVCIDrv64，且没有安全描述符，因此任何本地用户都可以打开它——无需管理员权限，无需 UAC。它暴露了 3 个没有任何访问控制的 IOCTL：映射 32 MB 物理内存（0x9C406580）、取消映射（0x9C406584），以及 1/2/4 字节的原始 I/O 端口读/写（0x9C406588）。
诀窍在于其中两个如何组合。映射 IOCTL 读取 PCI 设备的 BAR0 并将其映射，但端口 IOCTL 允许你先重写该 BAR0。将 BAR 指向任意物理地址，调用映射，你选定的 32 MB RAM 就会落入你的进程。这就是由两个本应无害的功能构建出的任意物理读/写。
那么我们得到了什么？从普通用户账户获得任意物理内存读/写和任意 I/O 端口访问，没有内存破坏，也没有需要对抗的缓解措施。该漏洞利用会扫描物理内存以查找 System 进程（pid 4），读取其令牌，覆盖自身进程令牌，并生成一个系统 shell。纯数据攻击，内核模式下没有 shellcode。
2 个实际限制。BAR0 是 32 位的，因此窗口保持在 4 GB 以下——请使用 RAM ≤2 GB 的虚拟机。而且该漏洞利用会短暂重写网卡的 BAR0，因此请先禁用网络适配器，否则交换期间的中断会导致 BSOD。
已在 VMware Workstation（2 GB RAM）中的 Windows 10 x64 22H2 上测试。在安装了技嘉工具的机器上，该驱动程序已经加载；该漏洞利用也可以在测试机上通过 SCM 加载它。
gcc -O2 -o exploit.exe exploit.c -ladvapi32
exploit.exe
已于 2026 年 6 月报告给技嘉。技嘉完全移除了该驱动程序，并在 GBT_VGA_26.08.24.01 中将其替换为 GvVbiosDrv64.sys——旧的易受攻击驱动程序已不再存在。公告：Security Advisory 2454。
arb_rw.c 是一个独立的物理内存读/写/转储工具。
SHA256 a2353030d4ea3ad9e874a0f7ff35bbfa10562c98c949d88cabab27102bbb8e48 GVCIDrv64.sys