ZeroHVCI - 无需管理员权限或内核驱动程序即可绕过 HVCI

ZeroHVCI 可在受 Hypervisor 保护的代码完整性（HVCI）保护的环境中，无需管理员权限或内核驱动程序即可实现任意内核读/写/函数调用。

功能特性

• 完整的非特权内核读/写：通过利用 CVE-2024-26229 实现内核读/写，该漏洞无需进程提权。
• 任意函数调用：完全从用户态以所需参数调用任意内核函数。

快速开始

要开始使用 ZeroHVCI，你可以克隆此仓库并构建项目。

用法

//
// Read kernel memory example:
//
ReadKernelMemory(source_address, buffer_address, size);

//
// Write kernel memory example:
//
WriteKernelMemory(source_address, buffer_address, size);

//
// Kernel function calling example via name:
//
KF::CallKernelFunctionViaName<kernel_param_type1, kernel_param_type2, kernel_param_type3>(
  "kernel_function_name",
  param1,
  param2,
  param3);

//
// ExAllocatePool example:
//
KF::CallKernelFunctionViaName<PVOID, POOL_TYPE, SIZE_T>("ExAllocatePool", PoolType, Size);

//
// memcpy example:
//
KF::CallKernelFunctionViaName<PVOID, PVOID, PVOID, SIZE_T>("memcpy", Dst, Src, Size);

//
// PsLookupProcessByProcessId example:
//
PEPROCESS Process;
KF::CallKernelFunctionViaName<NTSTATUS, HANDLE, PEPROCESS*>("PsLookupProcessByProcessId", ProcessHandle, &Process);

工作原理

实现这一功能主要依赖两个项目

• KernelForge- 全部功劳归于 Dmytro Oleksiuk，他的项目通过滥用线程执行的层级结构和构造 ROP 链，使我们无需真正修补任何内容即可获得符合 HVCI 规范的内核函数调用能力。
• CVE-2024-26229- 全部功劳归于 Eric Egsgard，该漏洞利用通过滥用 csc.sys（一个 Windows 模块，如果你想了解更多，下方会提供相关资源）中带有 METHOD_NEITHER 的 IOCTL，使我们能够获得内核读/写能力。
• CVE-2024-35250- 全部功劳归于 Devcore 团队，该漏洞利用通过滥用 ks.sys（一个 Windows 模块，如果你想了解更多，下方会提供相关资源）中的 RtlClearAllBits，使我们能够获得内核读/写能力。

这有什么用途？

演示了如何将已公开的 CVE 串联起来，以便在受 HVCI 保护的环境中获取内核访问权限。对研究 Windows 内核完整性和 HVCI 绕过缓解措施的安全研究人员很有用。

致谢

Cr4sh 的 KernelForge
varwara 的 POC POC2
Eric Egsgard 的 演讲

免责声明

仅供教育和经授权的安全研究使用。请勿在你不拥有或未经明确许可测试的系统上使用。本人不对滥用行为负责。使用风险自负。

文中提及的所有产品名称、商标和注册商标均归其各自所有者所有。