CVE-2023-38817

关于 echo.ac 驱动中发现漏洞的 PoC 与详细分析。

CVE 信息

• 编号：CVE-2023-38817
• 厂商：Inspect Element Ltd (13017981)，以 Echo 名义运营。
• 受影响产品：echo.ac 反作弊扫描工具。
• 受影响版本：echo.ac - <5.2.1.0，echo_driver.sys - 所有已发布版本。
• 受影响操作系统：从 Windows 7 到 Windows 11 的 64 位 Windows 版本。
• 缓解措施：不要使用该软件，并将驱动签名加入黑名单。

## 证书已吊销

微软已将 Echo 驱动加入易受攻击驱动程序阻止列表，且证书已被吊销（即使 Echo 团队坚称该漏洞并不真实）。

呃，算了？看起来仍然有效 lol

如果你仍希望使用该漏洞利用，你必须启用测试签名并禁用微软易受攻击驱动程序阻止列表。

💕 致谢

• Whanos：https://github.com/Whanos/ - 初始发现、与 echo.ac 的首次联系、撰写。
• Lemon（希望保持匿名） - 漏洞利用开发与协助。
• kite03：https://github.com/kite03/ - 漏洞利用开发与撰写。

详细分析链接

https://ioctl.fail/echo-ac-writeup/

驱动下载

出于安全考虑，我已从本仓库中移除该二进制文件。

你可以从官方 loldrivers.io 页面阅读额外信息并下载驱动二进制文件：https://www.loldrivers.io/drivers/afb8bb46-1d13-407d-9866-1daa7c82ca63/

背景

echo.ac 是一款商业“屏幕共享工具”，主要面向 Minecraft PvP 社区进行营销和开发，但也被一些其他游戏社区使用，例如 Rust。 “屏幕共享工具”是一种旨在“协助”服务器管理员识别某人是否在游戏中使用作弊或类似被禁止的外部工具的程序——因此，这些程序会在用户计算机上执行大量侵入性扫描，同时对其收集哪些数据以及为何收集非常含糊。

Echo 在联系时拒绝承认此漏洞。

感谢你的时间 💜。