环境配置及基础知识见上一篇，本篇及后续篇章不不再赘述。本篇使用环境如下：

触发漏洞源码如下：

对比Vulnerable版本与Secure版本可以发现，其在执行*(Where) = *(What)语句之前未通过ProbeForRead/ProbeForWrite函数校验读取及写入地址的合法性。跟进ProbeForRead函数：

首先是校验边界，其次校验地址是否处于用户空间范围内(nt!MmUserProbeAddress其值由MiInitializeBootDefaults函数初始化)：

边界未对齐，触发STATUS_DATATYPE_MISALIGNMENT异常：

越界则触发STATUS_ACCESS_VIOLATION异常：

ProbeForWrite函数在边界对齐及地址范围校验方面与ProbeForRead类似，除此之外该函数会校验地址是否可写，可读，可访问：

编写POC如下：

触发漏洞：

根据上文分析，现已可以实现任意地址写。将nt!HalDispatchTable中函数地址覆盖为Shellcode地址可以实现任意代码执行，具体见下文分析。

nt!HalDispatchTable中HalQuerySystemInformation与HalSetSystemInformation是在内核初始化过程中确定的：

二者分别可以通过NtQueryIntervalProfile与NtSetIntervalProfile函数调用：

下面分别来介绍如何按上图执行流来执行至目标函数。NtQueryIntervalProfile函数定义如下：

其中KPROFILE_SOURCE是一枚举类型：

NtQueryIntervalProfile首先校验_KTHREAD中PreviousMode(Offset 0x13A)字段值(关于_KPCR，_KPRCB，_KTHREAD上一篇有介绍)：

其次判断参数Interval指向地址是否超过MmUserProbeAddress：

最后判断ProfileSource是否为零，非零值则调用KeQueryIntervalProfile：

KeQueryIntervalProfile会判断ProfileSource是否为1，不为1才会继续调用nt!HalDispatchTable+0x4

如此，笔者构造Exploit中对该函数调用如下：

对nt!HalDispatchTable+0x4函数调用不止KeQueryIntervalProfile一处，所以在Shellcode中需要将其替换成原数值，通过其与HalSetSystemInformation函数地址相差0x912来进行恢复：

Shellcode如下：

NtSetIntervalProfile函数定义如下：

其对参数判断位于KeSetIntervalProfile函数内，首先校验nt!PerfGlobalGroupMask+0x4：

其次判断ProfileSource是否为0及是否为1：

上述两种方式思想相同，只是具体实现方式略有不同，两种方式完整Exploit如下：

效果如下：

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！