Windows内核安全.md

Windows内核漏洞利用技术

内核利用基础知识

• Windows架构设计
  • 【Windows架构设计】
    • 中文博客
• Windows权限管理
  • 【浅析Windows的访问权限检查机制】
    • 中文博客
• Windows相关结构
  • 【terminus】：很好的Windows结构搜索网页
    • page link
  • 【深入研究 Windows PEB】
    • English Blog
  • 【关键的windows内核数据结构一览(上)】
    • 中文博客
  • 【关键的windows内核数据结构一览(下)】
    • 中文博客
  • 【Catalog of key Windows kernel data structures】
    • English Blog
  • 【Windows 对象】
    • object categories
    • user Object
    • gdi Object
    • kernel Object
    • Windows Object Header
    • Windows Desktop Heap
  • 【Peb结构及利用】
    • English Blog
  • 【xntsv】：一款展示windows数据结构的工具
    • download

内核调试工具

• 【pdbparse】:windows pdb解析工具
  • download
• 【Windbg】：windows kernel调试工具
  • download
  • getting-started-with-windows-debugging
  • Getting Started with WinDbg (User-Mode)
  • Getting Started with WinDbg (Kernel-Mode)
  • my-personal-cheat-sheet-for-using-windbg-for-kernel-debugging
  • Windbg加载用户层、内核层pdb文件
• 【Windbg Preview】：windows kernel调试工具(美观)
  • download
  • Debugging Using WinDbg Preview
• 【dbgview】：windows调试工具，捕获调试信息，用于Guest
  • download
  • Document help DebugView
  • Using DbgView To Capture Debug Traces From An Application
  • Using DebugView to see debug output in real-time
• 【OSRLoader】：驱动管理工具（安装，启动，暂停，卸载）
  • download
• 【VirtualKD】：双机调试工具，较老，不支持最新版VMWare
  • download
• 【VirtualKD-Redux】：双机调试工具，支持最新版本VMWare
  • download
• 【HyperDbg】：一款开源调试器，利用 Hypervisor 特性，支持用户态和内核态调试，主要为逆向分析、调试、Fuzz 设计使用
  • download

HEVD 内核利用教程

• 【HackSysExtremeVulnerableDriver】：windows内核利用技术学习项目
  • download
• 【HEVD StackOverflow】：
  • HEVD内核漏洞之栈溢出
  • HEVD栈溢出
  • Windows Kernel Exploitation Tutorial Part 2: Stack Overflow
• 【HEVD ArbitraryWrite】：
  • HEVD内核漏洞之任意地址覆盖
  • HEVD 任意地址覆盖
  • Windows Kernel Exploit 内核漏洞学习(3)-任意内存覆盖漏洞
  • Windows Kernel Exploitation Tutorial Part 3: Arbitrary Memory Overwrite (Write-What-Where)
• 【HEVD ArbitrayWrite BitMap】:
  • bitmap 任意地址写漏洞利用
  • Windows Kernel Exploit Part 5
• 【HEVD BufferOverflow NonPagedPool】
  • HEVD 非换页池溢出
  • HEVD内核漏洞学习(4)池溢出
  • Windows Kernel Exploitation Tutorial Part 4: Pool Feng-Shui –> Pool Overflow
• 【Writeup综合】
  • www漏洞从win7-win10
  • thunderjie 的 writeup
  • 50u1w4y 的 writeup
  • Saturn35 的 writeup
  • rootkit 的 writeup
  • Thunder J 的 writeup
  • fuzzing security 的 writeup
• 【Exp综合】
  • https://github.com/h0mbre/Windows-Exploits/tree/162dfd45d284556b47739835116a962177b243b0/Exploit-Code/HEVD
  • https://github.com/GradiusX/HEVD-Python-Solutions
  • https://github.com/dhn/OSEE/tree/master/Kernel_Exploitation/HEVD
  • https://github.com/ThunderJie/Windows-Kernel-Exploit

Token 权限滥用

• 【windows-privilege-abuse-auditing-detection-and-defense】：windows token利用
  • English Blog
• 【Abusing Token Privileges For EoP】：windows token权限滥用利用文章（含代码）
  • Paper
  • Code
• 【windows-privileges】
  • English pdf
• 【NTLM-RELAY】
  • English Blog
• 【Priv2Admin：在 Windows 中利用漏洞提权】
  • download
• 【The Rise of Potatoes Privilege Escalations in Windows Services】
  • PDF
• 【Potato家族提权分析】
  • 中文博客
• 【Potato家族本地提权细节】
  • 中文博客
• 【Potato家族本地提权】
  • 中文博客
• 【NamedPipePTH】
  • download
• 【SharpImpersonation】
  • English Blog
  • download
• 【lowbox token permissive learning mode】：James Forshaw 对 Windows LowBox Token Permissive Learning Mode 的分析
  • English Blog

GDI 滥用提权

内核利用从任意地址写 转换为 任意地址读写

BitMap RS1(v1607)前

• 【Windows GDI BitMap】
  • 中文博客
  • English Blog
• 【Bitmap轶事：Windows 10纪念版后的GDI对象泄露】
  • 中文博客
  • English Blog
• 【Abusing GDI objects: Bitmap object’s size in the kernel pool】
  • English Blog
• 【ring0层exp原语之滥用GDI】
  • 中文博客

Accelerator Table RS1(v1607)

• 【RS1 下 bitmap 的替代方法】
  • 中文博客
• 【Windows10 v1607内核提权技术的发展——利用AcceleratorTable】
  • 中文博客

lpszMenuName RS2(v1703)

• 【Windows10 v1703基于桌面堆泄露的内核提权技术】
  • 中文博客
• 【Part 18: Kernel Exploitation -> RS2 Bitmap Necromancy】
  • English Blog
  • 中文博客

Palette RS3 (v1709)

• 【Windows10 v1709特权提升：GDI Palette滥用】
  • 中文博客

综述

• 【GDI魔术:漏洞利用中的利器】
  • 中文pdf
• 【Abusing GDI for ring0 exploit primitives:Reloaded】
  • English pdf
• 【Abusing GDI for ring0 exploit primitives: Evolution】
  • English Blog
• 【滥用GDI对象】
  • 中文博客
• 【www漏洞从win7-win10】
  • 中文博客
• 【Taking-Windows-10-Kernel-Exploitation-To-The-Next-Level–Leveraging-Write-What-Where-Vulnerabilities-In-Creators-Update-wp】
  • English pdf
  • 中文 pdf

堆利用

• 【Windows内核池喷射的乐趣】
  • 中文博客
  • English Blog
• 【Windows kernel pool spraying fun】
  • Part 1 - Determine kernel object size
  • Part 2 - More objects
  • Part 3 - Let's make holes
  • Part 4 - object & pool headers, kex & putting it all together
• 【Kernel Pool Exploitation on Windows 7】
  • English paper
• 【PoolViewer】：查看和转储 Win10RS5+ 转储文件的池
  • download
• 【Windows Pool OverFlow漏洞利用】
  • 中文博客
• 【Windows-Non-Paged-Pool-Overflow-Exploitation】
  • English Blog
• 【SSTIC2020-Article-pool_overflow_exploitation_since_windows_10_19h1-bayet_fariello】：Windows 10 版本内核堆管理的细节以及 Heap Overflow 漏洞的利用
  • pdf

保护和绕过

• 【Windows Mitigation】
  • Github
• 【SMEP和SMAP绕过】
  • 中文博客
• 【Windows 10 x64上令牌窃取有效载荷问题，并绕过SMEP 上】
  • 中文博客
• 【Windows 10 x64上令牌窃取有效载荷问题，并绕过SMEP 下】
  • 中文博客
• 【Windows SMEP Bypass U=S】
  • English pdf
• 【RestrictedKernelLeaks】：可以实现 Windows 10 KASLR Bypass 的 API 列表
  • Github
• 【KCon 2021:剑走偏锋-蓝军实战缓解措施】
  • 中文pdf

Payload

• 【Attack Detection Fundamentals 2021 Windows Lab #1：构建一个可以绕过最常见保护机制的原始 payload】
  • English Blog
• 【Attack Detection Fundamentals 2021 Windows Lab #2 ：引入其它绕过防御的技术优化 payload】
  • English Blog
• 【Attack Detection Fundamentals 2021 Windows Lab #3：借助 API HOOK 针对使用远程桌面连接的用户劫持纯文本凭据】
  • English Blog
• 【Attack Detection Fundamentals 2021 Windows Lab #4：窃取目标用户的 Chrome 浏览器中的 cookie，并探索如何检测这类可疑的劫持行为】
  • English Blog

综述

• 【猫鼠游戏：Windows内核提权样本狩猎思路分享】
  • 中文博客
• 【Windows Kernel Address Leaks】
  • Code
• 【通过内核地址保护措施，回顾Windows安全加固技术】
  • 中文博客
• 【Windows Security Hardening Through Kernel Address Protection】
  • English pdf
• 【关于内核漏洞的原理分析】
  • 中文博客
• 【Level Up! Practical Windows Privilege Escalation - Andrew Smith】
  • Youtube
• 【I Got 99 Problem But a Kernel Pointer Ain’t One】
  • English pdf
• 【The Life And Death of Kernel Object Abuse】
  • English pdf
• 【A Window into Ring0】
  • English pdf
• 【Easy local Windows Kernel exploitation】
  • English pdf
• 【20-Han-Discovery-20-Yeas-Old-Vulnerabilities-In-Modern-Windows-Kernel】
  • English pdf
• 【内核漏洞攻防】
  • 中文博客
• 【基于用户模式回调函数的内核漏洞分析、利用与防范】
  • 中文博客