HITCON 2023 演示 CVE-2023-20562

描述

该演示于台湾 HITCON 2023 上进行。演示重点展示了 AMD μProf 中 AMDCpuProfiler.sys 的漏洞利用。通过对 EPROCESS token 触发任意写入，实现了提权到 SYSTEM 级别。禁用 DSE flag 后，可加载恶意未签名驱动。此外，演示还展示了对 360 Total Security 的攻击：通过使其 ObRegisterCallbacks 失效，从而能够对 360 Total Security 的进程执行恶意操作。

信息

• 议题：揭秘内核漏洞：探索 AMD Windows 内核驱动中的漏洞
• 会议：https://hitcon.org/2023/CMT/en/agenda/5cb8168d-8fd6-4741-95a5-2e32aeb3e8af/
• 幻灯片：https://drive.google.com/file/d/1bWwzsUL0aSQA3lqu1WFrtAp3EW93Y0cx/view?usp=sharing
• 演示视频：https://youtu.be/j8dpt3TLKKY

环境

• Windows 10 1909
• Visual Studio 2017
• AMD μProf 3.6.839
• 360 Total Security 6.6.0.1060

用法

1. 安装 AMD μProf 3.6.839 和 360 Total Security 6.6.0.1060
2. 将 exploit.exe 和 Malicious.sys 放在同一目录中。
3. 以普通用户执行 exploit.exe LPE，预期会弹出具有 SYSTEM 权限的 cmd.exe。
4. 在具有 SYSTEM 权限的 cmd.exe 中执行 exploit.exe BYOVD，预期 360 Total Security 的进程会被终止。

注意：由于 DSE flag 未恢复为原始值，且回调被强制置空，系统可能不稳定。

参考

• nt!_SEP_TOKEN_PRIVILEGES - Single Write EoP Protect: https://anti-reversing.com/Downloads/Sec_Research/ntoskrnl_v10.0.15063_nt!_SEP_TOKEN_PRIVILEGES-Single_Write_EoP_Protect.pdf
• EXPLOITING VIR.IT EXPLORER ANTI-VIRUS ARBITRARY WRITE VULNERABILITY: https://www.greyhathacker.net/?p=990
• 查找 DSE flag: https://github.com/hfiref0x/DSEFix