【漏洞剖析】CVE-2024-38063(Windows IPV6 远程执行代码漏洞)

目录

一、搭建环境

1.内核调试环境

2.获取pdb符号文件

二、静态分析

三、动态调试

四、触发漏洞

五、【强运】的回响

---

一、搭建环境

1.内核调试环境

VMware 17 以上请下载https://github.com/4d61726b/VirtualKD-Redux

主机环境：

Windbg（尽量默认路径安装，后边省的改设置）

Virtualkd：VirtualKD - Windows Kernel Debugger Booster for Virtual Machines

Vmware虚拟机环境：

Windows10（有漏洞版本）            Wireshark（监测数据包用）

Virtualkd也下载一份，双击启动target/vminstall.exe，点击install，全部默认选是，自动重启虚拟机，进入debug模式

主机上启动 vmmon64.exe

虚拟机打开target64目录下的vminstall.exe，默认设置确定，重启后在这个界面按F8

选择“禁用驱动程序签名强制”（关键嗷，不然主机这边挂不上调试）

主机上OS和Debugger都是yes，证明成功挂上调试

主机windbg出现int 3，并且虚拟机卡住，这时在windbg命令行输入g继续运行

2.获取pdb符号文件

在使用windbg输入命令调试时，如果一直busy，可以先break一下，输入命令后再g继续运行

在windbg设置符号路径，确保WinDbg能够访问微软的符号服务器

.sympath srv*C:\Symbols*https://msdl.microsoft.com/download/symbols

其中C:\Symbols是本地符号缓存目录&#x