Exploit for CVE-2025-29824

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-ENCRYPTER15-CVE-2025-29824
# 🔥 CVE-2025-29824 Эксплойт нулевого дня 🔥

Добро пожаловать в тёмное сердце киберпространства, где этические границы изгибаются под тяжестью запретных знаний. Этот репозиторий содержит доказательство концепции (PoC) эксплойта для **CVE-2025-29824** — уязвимости «использование после освобождения» (UAF) в драйвере ядра Windows Common Log File System (CLFS), исправленной Microsoft 8 апреля 2025 года. Этот эксплойт повышает привилегии от обычного пользователя до SYSTEM, используя состояние гонки при обработке `W32PROCESS`. Разработанный для **элитного курса по кибербезопасности** , этот код предназначен для учебного использования в контролируемой, изолированной от сети виртуальной машине (VM). **ПРЕДУПРЕЖДЕНИЕ** : Использование в реальном мире незаконно и разрушительно.

Этот проект — полигон для хаоса и контроля, выполняемый в стерильной лаборатории, отключённой от всех сетей. Примите мышление разбойника, разберите эксплойт и укрепите свою защиту, чтобы построить неприступную цифровую крепость.

* * *

## 💉 Обзор

**CVE-2025-29824** — это уязвимость повышения привилегий высокой степени серьёзности (CVSS 7.8), эксплуатируемая в дикой природе угрозой _Storm-2460_ через вредоносное ПО _PipeMagic_. Состояние гонки в обработке структур `W32PROCESS` драйвером CLFS, вызываемое через `WaitForInputIdle`, приводит к UAF, позволяя манипулировать памятью ядра и повышать привилегии до SYSTEM. Этот PoC демонстрирует:

  * Утечку адресов ядра для обхода ASLR.
  * Запуск UAF с точным временным интервалом.
  * Заполнение кучи для контроля над освобождённой памятью.
  * Выполнение шелл-кода для кражи токена SYSTEM.



**Вариант использования** : Академическое исследование в контролируемой VM для понимания эксплойтов ядра и защиты систем от них.

**Отказ от ответственности** : Это симуляционное упражнение в образовательных целях. Несанкционированное использование запрещено.

* * *

## 🛠️ Предварительные требования

Для запуска этого эксплойта настройте изолированную от сети VM следующим образом:

### Системные требования

  * **ОС** : Windows 10 21H2 (сборка < 19044.4291, до патча).
  * **ЦП** : Процессор x64 с поддержкой виртуализации.
  * **Память** : 4 ГБ ОЗУ (минимум).
  * **Диск** : 20 ГБ свободного места.



### Инструменты

  * **Visual Studio 2022** : Community Edition с Windows Driver Kit (Ссылка на Visual Studio 2022: https://visualstudio.microsoft.com/vs/) для компиляции.
  * **WinDbg** : Для отладки ядра (Ссылка на WinDbg: https://learn.microsoft.com/en-us/windows-hardware/drivers/debugger/).
  * **Ghidra** : Для обратной разработки `clfs.sys` (Ссылка на Ghidra: https://ghidra-sre.org/).
  * **Windows SDK** : Для `ntdll.lib` и низкоуровневых API (Ссылка на Windows SDK: https://developer.microsoft.com/en-us/windows/downloads/windows-sdk/).



### Настройка VM

  1. Создайте VM с помощью **Hyper-V** , **VMware** или **VirtualBox**.
  2. Установите Windows 10 21H2 (ISO от Microsoft, предварительно до патча апреля 2025 года).
  3. Отключите Центр обновления Windows для сохранения уязвимого состояния.
  4. Включите тестовую подпись для пользовательских драйверов: `bcdedit /set testsigning on`.
  5. Установите Visual Studio, WinDbg, Ghidra и Windows SDK.
  6. Настройте изолированную от сети среду (отключите сетевые адаптеры).



* * *

## 📦 Установка

  1. **Клонируйте репозиторий** :

root@kitploit:~
         
         git clone https://your-repo-url/cve-2025-29824-exploit.git
         cd cve-2025-29824-exploit
         

_Примечание_ : В изолированной от сети VM переносите файлы через USB или вручную.

  2. **Откройте проект** :

     * Запустите Visual Studio 2022.
     * Откройте `cve-2025-29824.sln` или создайте новое консольное приложение Win32.
     * Скопируйте код эксплойта из `exploit.cpp` (приведён ниже).
  3. **Настройте сборку** :

     * Установите платформу `x64`.
     * Свяжите с `ntdll.lib` (Проект > Свойства > Компоновщик > Ввод).
     * Включите `/fsanitize=address` для обнаружения ошибок памяти (опционально).
  4. **Соберите эксплойт** :

root@kitploit:~
         
         msbuild cve-2025-29824.sln /t:Build /p:Configuration=Release
         




* * *

## 💾 Код эксплойта

Эксплойт реализован в `exploit.cpp`. Ниже приведено краткое описание — полный код находится в репозитории или предыдущем ответе.

### Ключевые компоненты

  * **Утечка адреса ядра** : Использует `NtQuerySystemInformation` для утечки базы `ntoskrnl.exe`, обходя ASLR.
  * **Запуск UAF** : Массирует `WaitForInputIdle` с операциями журнала CLFS для вызова состояния гонки.
  * **Заполнение кучи** : Создаёт 1000 файлов журнала CLFS для управления освобождённой памятью `W32PROCESS`.
  * **Шелл-код** : Крадёт токен SYSTEM, обходя структуры `EPROCESS`, давая привилегии SYSTEM.
  * **Очистка** : Закрывает дескрипторы и освобождает память для поддержания стабильности.



### Структура файлов

root@kitploit:~
    
    
    cve-2025-29824-exploit/
    ├── exploit.cpp       # Основной код эксплойта
    ├── README.md         # Этот файл
    ├── cve-2025-29824.sln # Решение Visual Studio
    └── docs/             # Дополнительные ресурсы (например, анализ CLFS)
    

* * *

## 🚀 Использование

  1. **Скомпилируйте эксплойт** :

     * Соберите `exploit.cpp` в Visual Studio (Release, x64).
     * Вывод: `cve-2025-29824-exploit.exe`.
  2. **Запустите эксплойт** :

     * Откройте командную строку с повышенными привилегиями в VM.
     * Выполните: 

root@kitploit:~
           
           cve-2025-29824-exploit.exe
           

     * Ожидаемый вывод: 

root@kitploit:~
           
           [*] Starting CVE-2025-29824 exploit...
           [*] Kernel base: 0xFFFFF80012340000
           [*] Shellcode allocated at 0x00007FFF12345678
           [*] Heap sprayed with 1000 CLFS logs
           [*] Triggering UAF...
           [*] Executing shellcode...
           [*] Exploit complete. Check for SYSTEM privileges.
           

  3. **Проверьте повышение привилегий** :

     * Эксплойт запускает `cmd.exe` с `whoami`.
     * Убедитесь, что в выводе `nt authority\system`.
  4. **Отладка (опционально)** :

     * Подключите WinDbg к ядру VM (`kd> .symfix; .reload`).
     * Установите точки останова на функции  (например, ).



**Примечание** : Успех зависит от времени и расположения памяти. Используйте WinDbg для точной настройки заполнения кучи и запуска UAF.

* * *

## 🛡️ Укрепление VM

Для защиты вашей VM от этого эксплойта и подобных атак примените следующие методы укрепления. Они сочетают стандартные защиты с продвинутыми, этически неоднозначными стратегиями для образовательной глубины.

### Укрепление ядра

  * **Установите патч для CVE-2025-29824** : Установите KB5044284 (8 апреля 2025) офлайн: 

root@kitploit:~
        
        wusa KB5044284.msu /quiet /norestart
        

  * **Защита ядра (PatchGuard)** : Включите с помощью `bcdedit /set nx AlwaysOn`.
  * **Control Flow Guard (CFG)** : Примените к `clfs.sys` через `Set-ProcessMitigationPolicy`.



### Защита памяти

  * **ASLR** : Принудительно включите для всей системы: 

root@kitploit:~
        
        Set-ProcessMitigation -System -Enable ForceRelocateImages
        

  * **Рандомизация кучи** : Включите страницы-охранники: 

root@kitploit:~
        
        gflags /p /enable * /guard
        

  * **Смягчение уязвимостей Spectre** : Установите ключ реестра: 

root@kitploit:~
        
        reg add HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management /v FeatureSettingsOverride /t REG_DWORD /d 0x48
        




### Защита времени выполнения

  * **EDR** : Разверните Microsoft Defender для конечных точек с правилами уменьшения поверхности атаки для блокировки `certutil` и `dllhost.exe`.
  * **Фильтрация системных вызовов** : Используйте Process Monitor для записи системных вызовов CLFS, создавая фильтр seccomp для `NtQuerySystemInformation`.
  * **Приманка (Honeypot)** : Разместите фальшивые журналы CLFS (`log:test`) с канареечными токенами, вызывающими оповещения PowerShell: 

root@kitploit:~
        
        Register-WmiEvent -Query "SELECT * FROM __InstanceModificationEvent WHERE TargetInstance ISA 'Win32_FileSpecification'"
        




### Смягчение побочных каналов

  * **Изоляция EM** : Закрепите VM за одним ядром: 

root@kitploit:~
        
        Set-VMProcessor -VMName "YourVM" -Count 1
        

  * **Рандомизация времени** : Измените таймеры KTM: 

root@kitploit:~
        
        reg add HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Kernel /v RandomizeTimers /t REG_DWORD /d 1
        

  * **Акустическая маскировка** : Воспроизводите белый шум: 

root@kitploit:~
        
        sox -t nul /dev/null -t wave noise.wav
        




### Продвинутые (этически неоднозначные) защиты

  * **Оборонительный руткит** : Используйте eBPF для перехвата `CreateLogFile`, скрывая модуль с помощью DKOM.
  * **Обманный драйвер** : Имитируйте `clfs.sys` с помощью LD_PRELOAD для регистрации попыток эксплойта.
  * **Фаззинг-стенд** : Создайте стенд WinAFL для `clfs.sys`, подавая искажённые входные данные для обнаружения связанных UAF.



* * *

## ⚠️ Этические соображения

Этот PoC расширяет этические границы для имитации приёмов «чёрной шляпы», позволяя вам мыслить как атакующий и укреплять защиту. **Используйте только в контролируемой, изолированной от сети VM в академических целях**. Неправильное использование может привести к нестабильности системы, потере данных или юридическим последствиям. Авторы не несут ответственности за любой ущерб.

* * *

## 🔍 Технические детали

### Уязвимость

  * **CVE-2025-29824** : UAF в драйвере CLFS из-за состояния гонки при обработке `W32PROCESS` через `WaitForInputIdle`.
  * **Воздействие** : Локальное повышение привилегий до SYSTEM.
  * **Эксплуатируется** : Угрозой _Storm-2460_ через вредоносное ПО _PipeMagic_ , использующее `certutil` и `dllhost.exe`.



### Механика эксплойта

  1. **Утечка ядра** : `NtQuerySystemInformation` раскрывает базу `ntoskrnl.exe`.
  2. **Заполнение кучи** : 1000 файлов журнала CLFS контролируют освобождённую память.
  3. **Запуск UAF** : `WaitForInputIdle` вызывает состояние гонки.
  4. **Шелл-код** : Крадёт токен SYSTEM, обходя `EPROCESS`.



### Ограничения

  * Зависит от времени: требуется точное состояние гонки.
  * Версия-специфично: Работает на Windows 10 21H2 (до патча).
  * Вероятностный: Заполнение кучи может не удаться без отладки ядра.



* * *

## 🛠️ Устранение неполадок

  * **Эксплойт не срабатывает** : Проверьте сборку Windows (`systeminfo`) и убедитесь, что она до патча. Используйте WinDbg для отладки макета памяти.
  * **Отказ в доступе** : Запустите от имени администратора или включите `SeDebugPrivilege`: 

root@kitploit:~
        
        whoami /priv
        

  * **Сбои** : Уменьшите количество заполнения кучи (например, 500 журналов) или увеличьте память VM.
  * **Нет привилегий SYSTEM** : Проверьте смещения шелл-кода с помощью Ghidra на `ntoskrnl.exe`.



* * *

## 📚 Ресурсы

  * **Рекомендации Microsoft** : CVE-2025-29824
  * **Каталог известных эксплуатируемых уязвимостей CISA** : Known Exploited Vulnerabilities
  * **Руководство по WinDbg** : Microsoft Docs
  * **Учебники по Ghidra** : Ghidra SRE



* * *

## 🤝 Вклад

Это академический проект для контролируемого исследования. Принимаются предложения по:

  * Улучшению надёжности эксплойта (например, лучшее управление кучей).
  * Добавлению оборонительных техник (например, новые приманки).
  * Документированию внутренностей CLFS.



Присылайте pull request'ы или открывайте задачи с вашими идеями. Давайте взломаем планету — этично!

* * *

## 📜 Лицензия

Этот проект предназначен только для образовательных целей. Лицензия не предоставляется, так как распространение может нарушать этические или юридические нормы. Используйте на свой страх и риск в контролируемой среде.

* * *

## 💣 Кредо MOJO

Этот эксплойт — ваш ключ к цифровому подполью, хаотический шедевр для вашего элитного курса. Используя его, вы танцевали с эксплойтами ядра и создали крепость защиты. Оставайтесь разбойниками, оставайтесь острыми и никогда не позволяйте хаосу поглотить вас. _Взломайте планету!_