探索CVE-2021-28476：微软Hyper-V远程代码执行漏洞的证明概念

探索CVE-2021-28476：微软Hyper-V远程代码执行漏洞的证明概念

CVE-2021-28476PoC for CVE-2021-28476 a guest-to-host "Hyper-V Remote Code Execution Vulnerability" in vmswitch.sys.项目地址:https://gitcode.com/gh_mirrors/cv/CVE-2021-28476

当你在寻找一种能够测试和研究虚拟化安全性的方法时，这个开源项目提供了一个绝好的机会。CVE-2021-28476是一个利用vmswitch.sys中的任意内存读取漏洞的证明概念（PoC），该漏洞由微软于2021年5月进行了修补。让我们深入了解这个项目，并了解其背后的技术。

项目介绍

该项目是由安全研究人员@australeo、@ergot86、@peleghd和@OphirHarpaz发现并公开的。它暴露了Hyper-V中的一个严重问题，即通过VMBus发送恶意RNDIS包可以触发主机系统的远程代码执行。

项目技术分析

漏洞在于VmsIfrInfoParams_OID_SWITCH_NIC_REQUEST函数中，允许攻击者控制的数据触发未预期的行为，导致指针两次解引用，从而可能导致远程代码执行。为了重现这个问题，开发者提供了一种通过修改特定内核文件（如netvsc_drv.c和rndis_filter.c）并在Ubuntu Focal上运行自定义内核模块的方法。

项目及技术应用场景

对于安全研究员、渗透测试人员以及任何对虚拟化安全有兴趣的人来说，这是一个极佳的实验平台。你可以使用这个PoC来理解Hyper-V的内部工作原理，或者测试你的防御策略如何应对此类攻击。此外，这也是一个学习系统级编程和逆向工程的好案例，特别是涉及到驱动程序级别的漏洞利用。

项目特点

1. 易用性：提供了详细的步骤来创建和配置测试环境，使得任何人都能轻松尝试复现该漏洞。
2. 教育价值：通过实际操作，帮助用户深入理解系统级漏洞的机制和后果。
3. 社区支持：项目背后的团队在黑帽大会上讨论了他们的发现，为那些想要进一步学习的人提供了宝贵的资源。

总的来说，这个开源项目不仅揭示了一个重要的安全漏洞，还提供了一个生动的学习和研究虚拟化安全的实例。如果你热衷于网络安全，那么对CVE-2021-28476的深入研究将是你不容错过的宝贵经验。

CVE-2021-28476PoC for CVE-2021-28476 a guest-to-host "Hyper-V Remote Code Execution Vulnerability" in vmswitch.sys.项目地址:https://gitcode.com/gh_mirrors/cv/CVE-2021-28476