hcmzah/data-ptr-comm

🛰️ Giao tiếp bí truyền giữa user-mode và kernel-mode qua con trỏ bị hoán đổi

Khai thác NtUserSetGestureConfig trong win32k.sys để truyền dữ liệu bí mật giữa user-mode và kernel-mode mà không cần thay đổi hành vi bình thường của hệ thống.

Dự án data-ptr-comm của hcmzah cung cấp một phương pháp truyền thông giữa không gian người dùng (user-mode) và không gian hạ nhân (kernel-mode) thông qua việc sử dụng một con trỏ QWORD bị đồng bộ (swapped). Kỹ thuật này thường được dùng trong ngữ cảnh vượng mặt trái các hệ thống chống gian lận như EasyAntiCheat và BattlEye.

✨ Điểm nổi bật

• Giao tiếp user-kernel: Truyền dữ liệu giữa user-mode và kernel-mode mà không cần gọi trực tiếp các API nhạy cảm.
• NtUserSetGestureConfig: Nạn nhân là hàm này trong win32k.sys, nơi chữ ký hợp lệ được tạo ra thông qua con trỏ QWORD bị hoán đổi.
• Không cần driver tùy chỉnh: Tận dụng lỗ hổng tồn tại trong thiết kế hàm để thực hiện giao tiếp.
• Kiểm chứng trên Windows 21H2: Đã được kiểm nghiệm trên phiên bản Windows cụ thể.
• Hỗ trợ chuỗi con trỏ: Có thể kết hợp với kỹ thuật chuỗi con trỏ khác để tránh bị phát hiện.

💡 Vì sao đáng chú ý

Không giống như các phương pháp truyền thống cần cài đặt driver riêng hoặc gọi trực tiếp các hàm hạ nhân nguy hiểm, data-ptr-comm khai thác một lỗ hổng trong thiết kế hàm NtUserSetGestureConfig để thực hiện giao tiếp một cách gián điệp. Điều này giúp giảm thiểu dấu vết và tăng khả năng tránh bị các hệ thống chống gian lận phát hiện.

#KernelCommunication #AntiCheatBypass #Win32kExploit #TiniX