CVE-2025-8061 漏洞利用

概述

针对 LnvMSRIO.sys（联想 MSR I/O 驱动程序）的概念验证漏洞利用，演示了通过 Superfetch VA 到 PA 转换实现任意物理内存读写与内核内存访问。

驱动程序信息

存在漏洞的 IOCTL

该驱动程序向用户模式暴露了特权内核操作：

输入结构

物理内存读取（16 字节）：

Offset 0:  UInt64  PhysicalAddress
Offset 8:  DWORD   AccessSize (1=byte, 2=word, 8=qword)
Offset 12: DWORD   Count (number of elements)

物理内存写入（16 字节头部 + 数据）：

Offset 0:  UInt64  PhysicalAddress
Offset 8:  DWORD   AccessSize
Offset 12: DWORD   Count
Offset 16: Data[]  (bytes to write)

漏洞利用技术

VA 到 PA 转换

由于该驱动程序仅提供物理内存访问，我们使用 Superfetch 技术将内核虚拟地址转换为物理地址：

1. 通过 NtQuerySystemInformation(SystemSuperfetchInformation) 向 Superfetch 查询物理内存范围
2. 根据 PFN 条目构建 VA→PA 转换表
3. 将内核 VA 转换为物理地址
4. 使用驱动程序 IOCTL 读写物理内存

使用方法

LnvMSRIOExploit.exe <path_to_LnvMSRIO.sys>

要求：

• 以管理员身份运行
• 64 位 Windows（用于 Superfetch VA→PA）
• 驱动程序文件必须存在于指定路径

构建说明

1. 在 Delphi IDE（RAD Studio）中打开 LnvMSRIOExploit.dproj
2. 将目标平台设置为 Windows 64 位
3. 生成 → 生成项目（Ctrl+Shift+F9）
4. 输出：Win64\Release\LnvMSRIOExploit.exe

免责声明

本工具仅用于教育和授权的安全研究目的。对非您所有或未经明确授权测试的系统进行未授权使用属违法行为。作者不对滥用行为承担任何责任。

许可证

仅用于研究和教育目的。