references:

• https://googleprojectzero.blogspot.com/2021/01/hunting-for-bugs-in-windows-mini-filter.html

过滤驱动的实现

大打开一个文件的时候，IO管理器会分配一个IRP结构体用于描述IO请求，这其中包含了操作类型和与该操作相关的各种各样的 …

references:

• https://www.ioactive.com/wp-content/uploads/2018/09/Reverse_Engineering_and_Bug_Hunting_On_KMDF_Drivers.pdf

IRP的结构

IO管理器为每一个IRP创建一个IO stack location数组，数组里面的每一个元素对应设备栈中的一个设备驱动

Buffer访问方式有三种

• BUFFERED，IO管理器创建一个临时的buffer来共享给驱动，这种方式下input和output使用同一块内存
• DirectIO，IO管理器锁定用户模式的buffer对应的物理内存然后共享给驱动
• NEITHER …

rpc_demo，密码是1

搜索rpcserver注册位置，我们拿赛门铁克epp来做例子

主服务进程ccsvchst.exe

根据我们的rpc实例程序我们可以知道，rpc服务段肯定要调用RpcServerRegisterIf2函数进行注册，注册的时候要传入一个字符串来表示rpc服务的类型，示例程 …

references：

• https://www.ibm.com/think/x-force/patch-tuesday-exploit-wednesday-pwning-windows-ancillary-function-driver-winsock

约定，本文所有的数字如果没有人特别说明，均为16进制

镜像

漏洞函数code path定位

afd.sys中的AfdNotifyRemoveIoCompletion函数的patch前后对比，左侧为patch过的，右侧为漏洞版本 …

reference:

• https://msrc.microsoft.com/blog/2018/03/kva-shadow-mitigating-meltdown-on-windows/

约定，本文所有数字都是16进制，所有的index都是从0开始

KVA shadow

speculative execution side channels 漏洞

这个类型的漏洞跟处理器如何进行内核和 …

references:

• https://www.zscaler.com/blogs/security-research/technical-analysis-windows-clfs-zero-day-vulnerability-cve-2022-37969-part
• https://www.coresecurity.com/core-labs/articles/understanding-cve-2022-37969-windows-clfs-lpe
• https://github.com/ionescu007/clfs-docs/blob/main/README.md

镜像

poc项目

clfs驱动ida文件

成功将exp进程的token重写为system的token

安装完这个升级补丁之后就和上面文章中 …

references：

• https://back.engineering/blog/2021/05/18#PUSHVSPQ

术语：

• VIP，virtual instruction pointer相当于x86的ip寄存器，指向下一条指令的地址，vmp2使用rsi来保存vip的值，rsi就是vip
• VSP，virtual stack pointer，相当于x86的rsp，vmp 2使用rbp存储VSP，rbp相当于vsp
• VM handler，用于执行虚拟指令的routine …

references:

• https://www.ibm.com/think/x-force/critically-close-to-zero-day-exploiting-microsoft-kernel-streaming-service

约定，本文所有数字均为16进制

镜像下载网站

镜像地址

sha256: 7f6538f0eb33c30f0a5cbbf2f39973d4c8dea0d64f69bd18e406012f17a8234f

他这个东西的漏洞位置在FSRendezvousServer::FindObject函数中，他这个 …

漏洞样本文件

参考

分析majorfunction中的create函数可知打开rzpnk.sys驱动的设备的进程名需要是razeringameengine.exe或者rzdriverinstaller.exe

create dispatch:

DriverObject->MajorFunction[0] = (PDRIVER_DISPATCH)sub_1CC10;

sub_1CC10间接调用到函数sub_10C40，在该函数中检查进程名

满足这个条件后，随便一个普通用 …

references:

• https://alschwalm.com/blog/static/2016/12/17/reversing-c-virtual-functions/

here is a demo source file

here is the compiled binary

it is a x86 exe

the main function of it is sub_402A60

virtual function table of these three class begin from 40AB34

you can see two _purecall function in …