KONDORDEVSECURITYCORP/CVE-2025-60709

## 🌐 语言 / Languages - [🇪🇸 Español](#-documentación-en-español) - [🇬🇧 English](#-english-documentation) # 🇪🇸 西班牙语文档 ## 描述 **CVE-2025-60709** 是 Windows **CLFS.sys** (Common Log File System) 驱动程序中的一个**本地提权 (LPE)** 漏洞。它允许具有本地代码执行权限的攻击者通过 CLFS 容器解析中的缓冲区溢出，从标准用户提升至 **NT AUTHORITY\SYSTEM**，从而获得内核内存的任意写入原语。 此仓库包含两个实现： - **CVE-2025-60709.c** — 原始 C 实现（直接访问 Windows 原生 API） - **CVE-2025-60709.go** — Go 移植版 **（演示/教育版本 —— 不利用真实漏洞）** ## 🎯 漏洞详情 | 字段 | 详情 | |-------|---------| | **CVE ID** | CVE-2025-60709 | | **类型** | 本地提权 (LPE) | | **组件** | CLFS.sys (Common Log File System driver) | | **目标系统** | Windows 11 24H2 (build 26100.3485+) | | **架构** | 仅 x64 | | **向量** | CLFS 容器解析中的缓冲区溢出 | | **影响** | 提升至 NT AUTHORITY\SYSTEM | | **前置条件** | 本地代码执行（标准用户） | ## 🏗️ 仓库结构 ``` CVE-2025-60709/ ├── CVE-2025-60709.c (5.3 KB, 157 líneas) — Exploit C original ├── CVE-2025-60709.go (9.2 KB, 285 líneas) — Port Go (demo educativa) └── README.txt (4.2 KB, 132 líneas) — Documentación original ``` ## 🔬 详细技术分析 ### 完整利用流程 ``` ┌─────────────────────────────────────────────────────────────┐ │ CVE-2025-60709 LPE │ └─────────────────────────────────────────────────────────────┘ [1] EVASIÓN DE DEFENSAS ├─ KillETW() → Parchea EtwEventWrite en ntdll con RET (0xC3) └─ KillAMSI() → Parchea AmsiScanBuffer en amsi.dll con RET (0xC3) [2] HEAP GROOMING (preparación de memoria) └─ GroomLookaside() ├─ Crea 4096 archivos: C:\Windows\Temp\groom_00000.blf ├─ Llama CreateLogFile() + AddLogContainer() por cada uno └─ Agota lookaside lists → garantiza layout de heap predecible [3] PRIMITIVA DE ESCRITURA ARBITRARIA — ClfsArbWrite(Address, Value) ├─ Construye buffer CLFS malformado (0x102010 bytes) │ ├─ Firma válida CLFS en +0x00: 0x0201 │ ├─ Sector size shift en +0x14: 2 │ ├─ First client region en +0x28: 0x100 │ ├─ cbRecord OVERSIZED en +0x100: 0xFF00 (64 KB > datos reales) │ ├─ Marcador shadow zone en +0x9A8: 0x13371337 │ └─ CClfsContainerContext falso en offset (0xFF00 + 0x100): │ ├─ pContainer = TargetAddress - 0x10 │ └─ cbContainer = Value (dato a escribir) ├─ Calcula checksum CLFS correcto (driver lo valida) ├─ Escribe contenedor malformado → C:\Windows\Temp\evil.blf ├─ Crea log apuntando a evil.blf ├─ Llama ClfsReadRestartArea() → dispara parsing kernel └─ Driver desborda buffer → escribe Value en Address ✓ [4] ROBO DE TOKEN SYSTEM ├─ Lee EPROCESS del proceso SYSTEM via PsInitialSystemProcess └─ Extrae token en EPROCESS + EPROCESS_TOKEN (offset 0x4c0) [5] ESCALACIÓN DE PRIVILEGIOS └─ ClfsArbWrite(CurrentEprocess + 0x4c0, SystemToken) └─ Sobreescribe token del proceso actual con token SYSTEM ✓ [6] EJECUCIÓN DE PAYLOAD C2 ├─ VirtualAlloc(PAGE_EXECUTE_READWRITE) ├─ Copia shellcode beacon de 1789 bytes ├─ CreateThread() → ejecución como NT AUTHORITY\SYSTEM └─ Beacon C2: IPv6 + DoH → fallback Gmail drafts └─ sRDI + sleep obfuscation + ETW/AMSI ya parcheados [7] PERSISTENCIA └─ Sleep(INFINITE) → proceso mantiene token SYSTEM ``` ### EPROCESS 偏移量 (Windows 11 24H2 build 26100.3485+) | 字段 | 偏移量 | 描述 | |-------|--------|-------------| | `EPROCESS_TOKEN` | `0x4C0` | 进程安全令牌 | | `EPROCESS_PID` | `0x440` | 进程 ID (PID) | | `EPROCESS_LINKS` | `0x448` | 活动进程链表 | | `EPROCESS_NAME` | `0x5A8` | 进程名称 (ImageFileName) | ### CLFS 中的缓冲区溢出机制 ``` Contenedor CLFS legítimo: [Header 0x100 bytes][Record: cbRecord bytes de datos reales] Contenedor malformado (evil.blf): [Header válido][cbRecord=0xFF00 → kernel lee 65,280 bytes] ↓ Kernel overflow → llega a CClfsContainerContext falso ↓ pContainer = TargetKernelAddress - 0x10 cbContainer = ValueToWrite ↓ Driver usa estructura falsa → escribe ValueToWrite en TargetKernelAddress ``` ### 关键函数 — `CVE-2025-60709.c` | 函数 | 用途 | |---------|-----------| | `GetKernelBase()` | `ZwQuerySystemInformation(SystemModuleInformation)` → ntoskrnl.exe 基地址 | | `KillETW()` | VirtualProtect + 用 `0xC3` (RET) 覆盖 ntdll.dll 中的 `EtwEventWrite` | | `KillAMSI()` | 加载 amsi.dll + 用 `0xC3` (RET) 覆盖 `AmsiScanBuffer` | | `GroomLookaside()` | 创建 4096 个 CLFS 日志以耗尽 lookaside lists → 确定性堆 | | `ClfsArbWrite()` | **利用核心** — 内核任意内存写入原语 | | `main()` | 编排攻击：ETW→AMSI→groom→token theft→arb write→beacon | ### C 与 Go 的差异 | 方面 | C 版本 | Go 版本 | |---------|-----------|-----------| | 类型 | 功能性利用（根据文档） | 仅教育演示 | | APIs | 直接访问 (ntdll, clfsw32, advapi32) | `syscall.NewLazyDLL()` 封装 | | CLFS 校验和 | 完整算法 | 简化占位符 | | 内核地址 | 真实地址 | 硬编码占位符 (`0x123456`) | | C2 Payload | 1789 字节 Shellcode | 测试用 NOP 字节 (`0x90`) | | 预期结果 | 提升至 SYSTEM | 消息 `"Arb write failed (yeah)"` | ### 编译 **C 版本** (需要 Visual Studio Build Tools + Windows SDK): ``` cl /O1 /MT /link ntdll.lib advapi32.lib clfsw32.lib CVE-2025-60709.c ``` **Go 版本** (需要 Windows x64 上的 Go 1.19+): ``` go build -ldflags="-s -w" -o CVE-2025-60709.exe CVE-2025-60709.go ``` ## 🛡️ 缓解与检测 ### Windows 缓解措施 | 缓解措施 | 有效性 | |-----------|-------------| | **HVCI** (Hypervisor-protected Code Integrity) | 高 — 防止内核内存写入 | | **kCFI** (Kernel Control Flow Integrity) | 高 — 增加构建 ROP/JOP 链的难度 | | **CFG** (Control Flow Guard) | 中 — 阻碍 shellcode 执行 | | **Windows Defender** | 中 — 检测已知技术 | | **Windows 更新** | 高 — 官方补丁消除漏洞 | ### YARA 规则 ``` rule CVE_2025_60709_CLFS_LPE { meta: description = "Detects CVE-2025-60709 CLFS LPE exploit" author = "KONDORDEVSECURITYCORP" date = "2026-03" cve = "CVE-2025-60709" severity = "critical" strings: $clfs_sig = { 01 02 00 00 } $magic = { 37 13 37 13 } $evil_file = "evil.blf" ascii wide $groom_file = "groom_" ascii wide $etw_func = "EtwEventWrite" ascii wide $amsi_func = "AmsiScanBuffer" ascii wide $token_off = { C0 04 00 00 } // EPROCESS_TOKEN = 0x4C0 condition: 3 of them } ``` ### IOCs — 系统 artifacts | 类型 | 值 | |------|-------| | 恶意文件 | `C:\Windows\Temp\evil.blf` | | 恶意日志 | `\\.\C:\Windows\Temp\evil_log` | | Grooming 文件 | `C:\Windows\Temp\groom_00000.blf` … `groom_04095.blf` | | 进程 | 异常的 `REALTIME_PRIORITY_CLASS` 优先级 | ### 行为检测 ``` ARCHIVO: Creación masiva de *.blf en C:\Windows\Temp\ (> 100 en segundos) ARCHIVO: Creación de C:\Windows\Temp\evil.blf PROCESO: Proceso en modo REALTIME_PRIORITY + llamadas a ClfsReadRestartArea MEMORIA: Escritura en PAGE_EXECUTE_READWRITE + CreateThread inmediato API: VirtualProtect sobre EtwEventWrite o AmsiScanBuffer KERNEL: Acceso a PsInitialSystemProcess desde user-mode ``` ### 快速验证 ``` # 检查 grooming 文件 Get-ChildItem C:\Windows\Temp -Filter "groom_*.blf" | Measure-Object # 检查 exploit 文件 Test-Path C:\Windows\Temp\evil.blf # 检查 ntdll 完整性 (ETW patch) Get-AuthenticodeSignature (Get-Process -Name notepad | Select -First 1).Path ``` # 🇬🇧 英语文档 ## 描述 **CVE-2025-60709** 是 Windows **CLFS.sys** (Common Log File System) 驱动程序中的一个**本地提权 (LPE)** 漏洞。它允许具有本地代码执行权限的攻击者通过 CLFS 容器解析中的缓冲区溢出，从标准用户提升至 **NT AUTHORITY\SYSTEM**，从而获得内核内存的任意写入原语。 此仓库包含两个实现： - **CVE-2025-60709.c** — 原始 C 实现（直接访问 Windows 原生 API） - **CVE-2025-60709.go** — Go 移植版 **（演示/教育版本 —— 不利用真实漏洞）** ## 🎯 漏洞详情 | 字段 | 详情 | |-------|--------| | **CVE ID** | CVE-2025-60709 | | **类型** | 本地提权 (LPE) | | **组件** | CLFS.sys (Common Log File System driver) | | **目标系统** | Windows 11 24H2 (build 26100.3485+) | | **架构** | 仅 x64 | | **向量** | CLFS 容器解析中的缓冲区溢出 | | **影响** | 提升至 NT AUTHORITY\SYSTEM | | **前置条件** | 本地代码执行（标准用户） | ## 🔬 技术分析 ### 利用流程 ``` [1] DEFENSE EVASION ├─ KillETW() → Patch EtwEventWrite in ntdll with RET (0xC3) └─ KillAMSI() → Patch AmsiScanBuffer in amsi.dll with RET (0xC3) [2] HEAP GROOMING └─ GroomLookaside() ├─ Creates 4096 files: C:\Windows\Temp\groom_00000.blf ├─ Calls CreateLogFile() + AddLogContainer() for each └─ Exhausts lookaside lists → guarantees predictable heap layout [3] ARBITRARY WRITE PRIMITIVE — ClfsArbWrite(Address, Value) ├─ Constructs malformed CLFS buffer (0x102010 bytes) │ ├─ Valid CLFS signature at +0x00: 0x0201 │ ├─ Oversized cbRecord at +0x100: 0xFF00 (65,280 bytes) │ ├─ Shadow zone marker at +0x9A8: 0x13371337 │ └─ Fake CClfsContainerContext at offset (0xFF00 + 0x100): │ ├─ pContainer = TargetAddress - 0x10 │ └─ cbContainer = Value (data to write) ├─ Computes valid CLFS checksum (driver validates) ├─ Writes malformed container → C:\Windows\Temp\evil.blf ├─ Creates log pointing to evil.blf ├─ Calls ClfsReadRestartArea() → triggers kernel parsing └─ Driver overflows buffer → writes Value to Address ✓ [4] SYSTEM TOKEN THEFT ├─ Reads SYSTEM process EPROCESS via PsInitialSystemProcess └─ Extracts token at EPROCESS + 0x4C0 [5] PRIVILEGE ESCALATION └─ ClfsArbWrite(CurrentEprocess + 0x4C0, SystemToken) └─ Overwrites current process token with SYSTEM token ✓ [6] C2 PAYLOAD EXECUTION ├─ VirtualAlloc(PAGE_EXECUTE_READWRITE) ├─ Copy 1789-byte shellcode beacon ├─ CreateThread() → runs as NT AUTHORITY\SYSTEM └─ Beacon: IPv6 + DoH C2 → Gmail drafts fallback └─ sRDI + sleep obfuscation + ETW/AMSI already patched [7] PERSISTENCE └─ Sleep(INFINITE) → process keeps SYSTEM token ``` ### EPROCESS 偏移量 (Windows 11 24H2 build 26100.3485+) | 字段 | 偏移量 | 描述 | |-------|--------|-------------| | `EPROCESS_TOKEN` | `0x4C0` | 进程安全令牌 | | `EPROCESS_PID` | `0x440` | 进程 ID | | `EPROCESS_LINKS` | `0x448` | 活动进程链表 | | `EPROCESS_NAME` | `0x5A8` | 进程名称 (ImageFileName) | ### CLFS 缓冲区溢出机制 ``` Legitimate CLFS container: [0x100 byte Header][Record: cbRecord bytes of real data] Malformed container (evil.blf): [Valid Header][cbRecord=0xFF00 → kernel reads 65,280 bytes] ↓ Kernel overflows → reaches fake CClfsContainerContext ↓ pContainer = TargetKernelAddress - 0x10 cbContainer = ValueToWrite ↓ Driver uses fake structure → writes ValueToWrite to TargetKernelAddress ``` ### 关键函数 — `CVE-2025-60709.c` | 函数 | 用途 | |----------|---------| | `GetKernelBase()` | `ZwQuerySystemInformation(SystemModuleInformation)` → ntoskrnl.exe 基地址 | | `KillETW()` | VirtualProtect + 用 `0xC3` (RET) 覆盖 ntdll.dll 中的 `EtwEventWrite` | | `KillAMSI()` | 加载 amsi.dll + 用 `0xC3` (RET) 覆盖 `AmsiScanBuffer` | | `GroomLookaside()` | 创建 4096 个 CLFS 日志以耗尽 lookaside lists → 确定性堆 | | `ClfsArbWrite()` | **利用核心** — 内核任意内存写入原语 | | `main()` | 编排攻击：ETW→AMSI→groom→token theft→arb write→beacon | ### C 与 Go 的差异 | 方面 | C 版本 | Go 版本 | |--------|-----------|-----------| | 类型 | 功能性利用（根据文档） | 仅教育演示 | | APIs | 直接访问 (ntdll, clfsw32, advapi32) | `syscall.NewLazyDLL()` 封装 | | CLFS 校验和 | 完整算法 | 简化占位符 | | 内核地址 | 真实地址 | 硬编码占位符 (`0x123456`) | | C2 Payload | 1789 字节 Shellcode | NOP 字节 (`0x90`) | | 预期结果 | 提升至 SYSTEM | 消息 `"Arb write failed (yeah)"` | ### 构建说明 **C 版本** (需要 Visual Studio Build Tools + Windows SDK): ``` cl /O1 /MT /link ntdll.lib advapi32.lib clfsw32.lib CVE-2025-60709.c ``` **Go 版本** (需要 Windows x64 上的 Go 1.19+): ``` go build -ldflags="-s -w" -o CVE-2025-60709.exe CVE-2025-60709.go ``` ## 🛡️ 缓解与检测 ### Windows 缓解措施 | 缓解措施 | 有效性 | |-----------|--------------| | **HVCI** (Hypervisor-protected Code Integrity) | 高 — 防止内核内存写入 | | **kCFI** (Kernel Control Flow Integrity) | 高 — 阻止 ROP/JOP 链 | | **CFG** (Control Flow Guard) | 中 — 阻碍 shellcode 执行 | | **Windows Defender** | 中 — 检测已知技术 | | **Windows 更新** | 高 — 官方补丁消除漏洞 | ### YARA 规则 ``` rule CVE_2025_60709_CLFS_LPE { meta: description = "Detects CVE-2025-60709 CLFS LPE exploit" author = "KONDORDEVSECURITYCORP" date = "2026-03" cve = "CVE-2025-60709" severity = "critical" strings: $evil_file = "evil.blf" ascii wide $groom_file = "groom_" ascii wide $etw_func = "EtwEventWrite" ascii wide $amsi_func = "AmsiScanBuffer" ascii wide $magic = { 37 13 37 13 } $token_off = { C0 04 00 00 } condition: 3 of them } ``` ### IOCs — 系统 artifacts | 类型 | 值 | |------|-------| | 恶意文件 | `C:\Windows\Temp\evil.blf` | | 恶意日志 | `\\.\C:\Windows\Temp\evil_log` | | Grooming 文件 | `C:\Windows\Temp\groom_00000.blf` … `groom_04095.blf` | | 进程 | 异常的 `REALTIME_PRIORITY_CLASS` 优先级 | ### 行为检测 ``` FILE: Mass creation of *.blf in C:\Windows\Temp\ (> 100 in seconds) FILE: Creation of C:\Windows\Temp\evil.blf PROCESS: REALTIME_PRIORITY process + ClfsReadRestartArea calls MEMORY: Write to PAGE_EXECUTE_READWRITE + immediate CreateThread API: VirtualProtect over EtwEventWrite or AmsiScanBuffer KERNEL: PsInitialSystemProcess access from user-mode ``` ### 快速验证 ``` # Check grooming files Get-ChildItem C:\Windows\Temp -Filter "groom_*.blf" | Measure-Object # Check exploit file Test-Path C:\Windows\Temp\evil.blf ``` ## 📚 技术参考 / Technical References - [Common Log File System (CLFS) 架构 — Microsoft Docs](https://learn.microsoft.com/en-us/windows-hardware/drivers/kernel/introduction-to-the-common-log-file-system) - [EPROCESS 结构分析 — Windows Internals]() - [Lookaside List 堆布局技术]() - [Windows 内核利用 — Token 窃取]() - [HVCI 和基于虚拟化的安全性 — Microsoft]() ## ⚠️ 法律声明 / Legal Notice

标签：24H2, CLFS, CLFS.sys, CSV导出, CVE, CVE-2025-60709, EVTX分析, Exploit, Golang, Go语言, Linux, LPE, PoC, Web报告查看器, Win32 API, Windows 11, 任意地址写, 内核开发, 内核漏洞, 内核驱动, 安全编程, 提权, 数字签名, 数据展示, 日志审计, 暴力破解, 本地提权, 概念验证, 溢出, 漏洞, 程序破解, 红队, 缓冲区溢出, 网络协议