windows_kernel_address_leaks

Vazamentos de endereço do kernel do Windows

Este repositório tem como objetivo fornecer código funcional que demonstrou o uso de várias maneiras diferentes de obter acesso aos ponteiros do modo Kernel no Windows a partir do modo de usuário. Um ticket verde indica um vazamento que funciona a partir de um processo de baixa integridade e um tick azul indica um vazamento que requer um processo de integridade média.

Técnica	7	8	8.1	10 - 1511	10 - 1607	10 - 1703	10 - 1703 + VBS
Informações do sistema NtQuery: Informações do SystemHandle Informações do SystemLock Informações do módulo do sistema Informações de processo do sistema Informações do sistemaBigPool
Valores de retorno de chamada do sistema
Tabela de identificador de usuário de informações compartilhadas do Win32k
Tabelas Descritoras
HMValidateHandle
GdiSharedHandleTable
DesktopHeap

As seguintes técnicas requerem permissões não padrão.

Técnica	Permissão necessária	7	8	8.1	10 - 1511	10 - 1607	10 - 1703	10 - 1703 + VBS
NtSystemDebugControl: SysDbgGetTriageDump	SeDebugPrivilege
	SeSystemProfilePrivilege

Mais detalhes

Mais alguns detalhes sobre técnicas que não funcionam mais e o que foi alterado:

Valores de retorno de NtQuerySystemInformation/chamada do sistema:

https://samdb.xyz/revisiting-windows-security-hardening-through-kernel-address-protection/

Tabela de identificador de usuário de informações compartilhadas do Win32k

notas/gSharedInfo.md ​​- Uma breve olhada nas alterações feitas no Creators Update/1703. Não muito concreto ou detalhado, posso revisitá-lo e criar algo mais detalhado ou talvez outra pessoa o faça.

GdiSharedHandleTable/Pilha de área de trabalho

Pendente

NPIEP

notas/NPIEP.md - Um breve artigo sobre "é uma coisa", mais detalhes pendentes para eu receber um laptop de teste de volta quando os estagiários de verão partirem ...

Atribuições

Mencionei onde li sobre uma técnica e de onde vieram estruturas específicas, etc. no código, no entanto, essas podem não ser as verdadeiras fontes originais da informação :)
Muitos dos protótipos de funções e definições de estruturas são retirados do ReactOS.
Ícone de marca verde por FatCow (http://www.fatcow.com/free-icons) [CC BY 3.0], via Wikimedia Commons
Ícone cruzado por Cäsium137 [domínio público], via Wikimedia Commons
Blue Tick Por Gregory Maxwell, usuário: David Levy, Wart Dark (en:Image:Blue check.png) [GFDL 1.2 (http://www.gnu.org/licenses/old-licenses/fdl-1.2.html)] , através do Wikimedia Commons