HITCON 2023 演示 CVE-2023-20562

描述

此演示在台湾的 HITCON 2023 上进行。演示突出了对 AMD μProf 中 AMDCpuProfiler.sys 漏洞的利用。通过触发 EPROCESS 令牌上的任意写入，实现提权至 SYSTEM 级别。禁用 DSE 标志允许加载恶意未签名驱动程序。演讲进一步展示了通过清空 360 Total Security 的 ObRegisterCallbacks 来攻击该软件，从而能够对 360 Total Security 的进程执行恶意操作。

信息

• 主题：揭示内核漏洞：探索 AMD Windows 内核驱动程序中的漏洞
• 会议：https://hitcon.org/2023/CMT/en/agenda/5cb8168d-8fd6-4741-95a5-2e32aeb3e8af/
• 幻灯片：https://drive.google.com/file/d/1bWwzsUL0aSQA3lqu1WFrtAp3EW93Y0cx/view?usp=sharing
• 演示视频：https://youtu.be/j8dpt3TLKKY

环境

• Windows 10 1909
• Visual Studio 2017
• AMD μProf 3.6.839
• 360 Total Security 6.6.0.1060

使用方法

1. 安装 AMD μProf 3.6.839 和 360 Total Security 6.6.0.1060
2. 将 exploit.exe 和 Malicious.sys 放在同一目录下。
3. 以普通用户身份执行 exploit.exe LPE，预期会弹出一个具有 SYSTEM 权限的 cmd.exe。
4. 在具有 SYSTEM 权限的 cmd.exe 中执行 exploit.exe BYOVD，预期会终止 360 Total Security 的进程。

注意，由于 DSE 标志未恢复为原始值，且回调被强制清空，系统可能不稳定。

参考

• nt!_SEP_TOKEN_PRIVILEGES - 单次写入 EoP 保护：https://anti-reversing.com/Downloads/Sec_Research/ntoskrnl_v10.0.15063_nt!_SEP_TOKEN_PRIVILEGES-Single_Write_EoP_Protect.pdf
• 利用 VIR.IT EXPLORER 反病毒软件的任意写入漏洞：https://www.greyhathacker.net/?p=990
• 查找 DSE 标志：https://github.com/hfiref0x/DSEFix