windows_kernel_address_leaks
1.0.0
このリポジトリは、ユーザー モードから Windows のカーネル モード ポインターにアクセスするためのさまざまな方法の使用法を実証する、機能するコードを提供することを目的としています。緑色のチケットは整合性の低いプロセスで機能するリークを示し、青色のチェックマークは中程度の整合性プロセスを必要とするリークを示します。
| 技術 | 7 | 8 | 8.1 | 10 - 1511 | 10 - 1607 | 10 - 1703 | 10 - 1703 + VBS |
|---|---|---|---|---|---|---|---|
| NtQueryシステム情報: システムハンドル情報 システムロック情報 システムモジュール情報 システムプロセス情報 システムビッグプール情報 |  | |  | | | | |
| システムコールの戻り値 | |  | | | | | |
| Win32k 共有情報ユーザー ハンドル テーブル | | | | | | | |
| 記述子テーブル | | | | | | | |
| HMValidateHandle | | | | | | | |
| GdiSharedHandleTable | | | | | | | |
| デスクトップヒープ | | | | | | | |
以下のテクニックは非標準の権限を必要とします。
| 技術 | 許可が必要です | 7 | 8 | 8.1 | 10 - 1511 | 10 - 1607 | 10 - 1703 | 10 - 1703 + VBS |
|---|---|---|---|---|---|---|---|---|
| NtSystemDebugControl: SysDbgGetTriageDump | SeDebugPrivilege | | | | | | |  |
| SeSystemProfilePrivilege |
機能しなくなったテクニックと変更点の詳細:
https://samdb.xyz/revisiting-windows-security-hardening-through-kernel-address-protection/
Notes/gSharedInfo.md - Creators Update/1703 で行われた変更の概要。あまり具体的でも詳細でもないので、私がもう一度見直して、より詳細なものを作成するかもしれません。あるいは、他の誰かが作成するかもしれません。
保留中
Notes/NPIEP.md - 非常に簡潔に「これは問題です」と書きましたが、夏のインターンが終わったときにテスト用ラップトップを取り戻すことについては詳細が保留中です...
テクニックについて読んだ場所と、コード内の特定の構造体などがどこから来たのかを参照しましたが、これらは情報の真のオリジナルのソースではない可能性があります:)
関数プロトタイプと構造体定義の多くは ReactOS から取得されています。
緑色のチェックマークのアイコン、FatCow 作成 (http://www.fatcow.com/free-icons) [CC BY 3.0]、ウィキメディア コモンズ経由
十字アイコン Cäsium137 作成 [パブリック ドメイン]、ウィキメディア コモンズ経由
Blue Tick Gregory Maxwell 著、ユーザー:David Levy、Wart Dark (en:Image:Blue check.png) [GFDL 1.2 (http://www.gnu.org/licenses/old-licenses/fdl-1.2.html)] 、ウィキメディア・コモンズ経由
