Windows 10内核漏洞利用：利用Creators Update中的Write-What-Where漏洞

"Morten Schenk在2017年的Black Hat USA黑客大会上探讨了如何将Windows 10内核利用提升到新的层次，特别是利用Creators Update中的Write-What-Where (WWW)漏洞。他的演讲涵盖了从内核开发历史到内核安全性的多个关键方面，包括任意内核读/写原语、KASLR（地址空间布局随机化）信息泄漏、取消随机化页表条目、动态功能位置、可执行内核内存分配以及对Win32k系统调用过滤的考虑。" 在Windows 10 Kernel Exploitation的历史回顾中，Morten Schenk强调了Windows 7时期的一些关键点。那时，内核信息泄露可以通过NtQuerySystemInformation获取，而NonPagedPool区域是可执行的，允许从内核模式执行用户模式内存中的代码。这为攻击者提供了便利，但随着操作系统安全性的增强，这些漏洞逐渐被修补。 在Creators Update中，Morten Schenk讨论了Write-What-Where (WWW)漏洞，这是一种允许攻击者在受控地址写入受控值或非受控值的漏洞类别。尽管在最佳情况下，攻击者可以完全控制写入的数据和地址，但在常见情况下，他们可能只能控制写入的地址而不能控制数据。然而，无论哪种情况，这种漏洞都可以被利用来获取内核模式下的代码执行权，这是非常危险的。 KASLR（地址空间布局随机化）是一种防止攻击者精确定位内核组件的防御机制。Morten Schenk提到的信息泄漏可能导致KASLR的有效性降低，使得攻击者能够确定关键内核结构的位置，从而绕过防护。 取消随机化页表条目是另一种提高攻击成功率的方法，通过揭示原本应随机分布的内存映射，攻击者可以更准确地定位目标地址。此外，动态功能位置的研究涉及了内核函数在内存中的动态定位，这可能会影响攻击策略。 在可执行内核内存分配方面，讨论了如何在内核上下文中创建可执行内存，这是实现内核级恶意代码执行的关键步骤。最后，Morten Schenk提到了Win32k系统调用过滤的重要性，这是一个防止恶意系统调用被滥用的安全特性。 这份报告深入探讨了Windows 10内核利用的高级技术，尤其是利用Creators Update中的Write-What-Where漏洞。它不仅揭示了过去和现在内核利用的策略，还提醒安全专家们关注不断演变的攻击手段，以便更好地保护操作系统免受潜在威胁。