24、Windows 驱动漏洞分析与内核提权漏洞利用

Windows 驱动漏洞分析与内核提权漏洞利用

1. 驱动静态分析与动态分析准备

在对驱动进行分析时，我们发现某个块有两个块指向它，一个将 edx 清零，另一个将 1 移入 dl 。 dl 寄存器的值决定了 sub_15294 函数是否使用 r9 作为 memmove 调用的源或目标指针。通过追踪这两个块，我们得到了对应的 IOCTL 代码： 0x9B0C1EC4 和 0x9B0C1EC8 。

此时，我们已掌握足够信息，可进入驱动的动态分析阶段。作为额外练习，还可探究该驱动中其他 IOCTL 的功能。

2. 与驱动交互的代码编写

为了与驱动进行交互，我们将使用 Rust 编写工具，具体步骤如下：
1. 环境准备 ：在目标虚拟机上，下载并安装 Visual Studio Community 或 Visual Studio 的 Build Tools，这是 Rust Windows MSVC 工具链编译和链接程序所必需的。从 https://rustup.rs 下载 rustup-init.exe 并安装 x86_64-pc-windows-msvc 工具链。
2.