The Windows IOCTL Census: A Corpus-Scale, Multi-Architecture Database of the Driver Control-Code Surface

Technische Samenvatting: De Windows IOCTL Census

Probleemstelling
Het device-control pad in Windows vormt een kritiek aanvalsoppervlak waarbij ongeprivilegieerde processen via I/O control (IOCTL) codes toegang kunnen krijgen tot het kernelgeheugen. Kwetsbaarheden in dit pad, zoals ongecontroleerde bufferlengtes, maken privilege-escalatie mogelijk. Hoewel de security-community beschikt over scanners (bijv. ScrewedDrivers, POPKORN, ioctlance) die drivers symbolisch uitvoeren om specifieke kwetsbaarheden te vinden, en gecureerde lijsten (bijv. LOLDrivers) die bekende slechte drivers bijhouden, is er geen systematische, persistente kaart van het control-code dispatch-oppervlak over het gehele driver-ecosysteem. Bestaande symbolische tools lijden aan path explosion, hoge false-negative ratio's en architecturale beperkingen; met name falen ze vaak op 32-bit (x86) drivers, die ongeveer de helft van de geleverde driver-corpus vormen en vaak worden geëxploiteerd in "Bring Your Own Vulnerable Driver" (BYOVD) aanvallen. Bovendien genereren deze tools typisch one-shot bevindingenlijsten en verwerpen ze de teruggewonnen structurele data, wat cross-driver analyse of her-evaluatie verhindert.

Methodologie
De auteurs stellen een deterministische, architectuur-neutrale pipeline voor genaamd de Windows IOCTL Census, die een corpus van 27.087 ondertekende Windows drivers verwerkt via drie fasen: Recover, Enrich en Rank.

1. Recover (Deterministische Fase):

   • Architectuur: Deze fase vermijdt symbolische executie volledig. In plaats daarvan lift het driver-binaries naar een architectuur-neutrale intermediate representation (IR) met behulp van het glaurung framework.
   • Dispatch Recovery: Het identificeert de IRP_MJ_DEVICE_CONTROL handler en decodeert control codes door het analyseren van vergelijkingsconstanten en jump tables. Deze aanpak slaagt erin de dispatch-oppervlakken te herstellen voor zowel x64 als x86 architecturen.
   • Structurele Analyse: Voor x64 drivers construeert de pipeline inter-procedurale call graphs, voert het reachability-analyse uit vanaf de dispatch routines, en voert het een lichtgewicht taint-analyse uit. De taint-bron is de gebufferde input-pointer (Irp->AssociatedIrp.SystemBuffer), die wordt gevolgd naar sinks (dereferences of stores) om ongecontroleerde gecontroleerde inputs te identificeren.
   • Provenance: Het extraheert PE-metadata, Authenticode signing info, en device security descriptors (SDDL) om drivers met permissieve access control lists (ACLs) te markeren.
   • Constraints: De analyse wordt begrensd door driver-grootte (het overslaan van volledige disassembly voor drivers >4MB) en architectuur (x86 ontvangt alleen surface-only analyse zonder diepe taint/call graph vanwege een gebrek aan onafhankelijke validatie-oracles).

2. Enrich (Model Fase):

   • Targeting: Deze fase draait alleen op een smalle, hoge-prioriteit subset: dispatch routines in drivers met permissieve device descriptors die ten minste één ongecontroleerde buffered-input sink bevatten.
   • LLM Integratie: Een Large Language Model (LLM) wordt geprompt met een compacte feature-samenvatting (device descriptor, gedecodeerde codes, taint sink details, en een disassembly excerpt) om een gestructureerd oordeel te genereren. Het oordeel bevat risiconiveaus, primitieve typen (bijv. out-of-bounds write), en rationale. Het model krijgt expliciet de instructie om geen ruwe gedecompileerde bytes te zien om hallucinaties te voorkomen, en vertrouwt in plaats daarvan op de deterministische feiten.

3. Rank (Query Interface):

   • Het systeem legt de data bloot via relationele views. Belangrijke views zijn een "hunt" view die user-bereikbare handlers rangschikt op basis van het aantal ongecontroleerde sinks, een "cross-driver" view die gedeelde control codes tussen vendors groepeert, en een "oracle-agreement" view die statische taint-resultaten vergelijkt met geïnjecteerde symbolische executie-resultaten.

Belangrijkste Bijdragen

• Een Publieke, Querybare Database: De auteurs brengen een dataset vrij met 27.087 binaries, 3,1 miljoen gedecodeerde control codes, 8,18 miljoen functies en 15,95 miljoen call edges.
• Architectuur-Neutrale Dekking: Door gebruik te maken van IR lifting in plaats van symbolische executie, herstelt de tool de dispatch-oppervlakken voor 80% van de corpus (21.708 drivers), inclus\u00ad bij de 32-bit x86 helft die symbolische scanners doorgaans afbreken.
• Structurele Persistentie: In tegenstelling tot eerdere tools die structuur weggooien na het vinden van bugs, persisteert deze census de call graph, de taint sinks en de gedecodeerde codes, wat queries mogelijk maakt zoals "welke drivers delen deze specifieke control code?" of "welke handlers bereiken een copy sink zonder een length check?".
• Hybride Validatie: Het systeem integreert statische taint-analyse met resultaten van symbolische executie (via ioctlance) om bevindingen te kruis-valideren, waarbij wordt aangetoond dat beide methoden complementaire blinde vlekken hebben (bijv. statische taint mist METHOD_NEITHER codes, terwijl symbolische executie worstelt met path explosion).

Resultaten

• Dekking: De deterministische fase herstelde een dispatch-oppervlak voor 21.708 drivers (80,1% van de corpus). De x64 deep lane leverde 8,18 miljoen functies en 63.263 buffered-input taint sinks op.
• Filtering Efficiëntie: De deterministische filters (permissieve descriptor + ongecontroleerde sink) brachten de 27.087 drivers terug naar 330 kandidaat-handlers voor LLM enrichment.
• Model Prestaties: De LLM classificeerde 135 van de 329 verrijkte handlers als "kritiek" en 159 als "hoog". De auteurs benadrukken dat dit prioritiseringshypothesen zijn, geen bevestigde bugs, zonder gerapporteerde true-positive rate.
• Cross-Method Overeenkomst: In een vergelijking met ioctlance op een steekproef van 1.000 drivers, kwamen de twee methoden overeen op 65% van de door de symbolische engine gemarkeerde drivers. De onenigheid werd grotendeels toegeschreven aan het onvermogen van de symbolische engine om bepaalde handlers te bereiken (reachability ceiling), in plaats van precisiefouten.
• Backtesting: Een backtest tegen bekende CVE's en de LOLDrivers catalog toonde aan dat de ranking effectief is binnen zijn scope (bijv. een bekende kwetsbare handler in nvlddmkm.sys rangschikte in de top 0,14%). Echter, het systeem miste kwetsbaarheden in framework drivers (WDF/KMDF) waar input wordt opgehaald via andere mechanismen die niet door de buffered-input taint-bron worden gedekt.

Betekenis en Claims
Het artikel claimt betekenis niet als een kwetsbaarheidsdetector die het bestaan van nieuwe bugs bewijst, maar als een fundamentele kaart van het Windows driver control-code oppervlak.

• Verschuiving van Detectie naar Navigatie: De auteurs stellen dat de community een persistente, querybare registratie nodig heeft van het aanvalsoppervlak om schaarse reverse-engineering middelen te prioriteren. De census stelt onderzoekers in staat om door de "long tail" van geleverde drivers te navigeren in plaats van te vertrouwen op geluk of handgekozen targets.
• Democratisering van Toegang: Door de structurele data vrij te geven (decoding, call graphs, reachability) terwijl de specifieke targeting-tier (taint sinks en model-oordelen) wordt achtergehouden om dual-use exploitatie te voorkomen, beogen de auteurs de drempel voor het analyseren van driver-beveiliging te verlagen.
• Complementariteit: Het werk demonstreert dat deterministische recovery en symbolische executie complementair zijn; de census biedt de structurele context die deze methoden in staat stelt elkaar te controleren en blinde vlekken te dekken.
• Toekomstig Werk: De auteurs erkennen beperkingen, waaronder het gebrek aan taint-analyse voor x86 en arm64, de uitsluiting van METHOD_NEITHER en direct-I/O paden, en het onvermogen om runtime-toegepaste device descriptors te behandelen. Ze presenteren de census als een levende infrastructuur die kan worden uitgebreid met nieuwe analyzers (bijv. voor framework drivers of physical memory primitives) zonder de kern opnieuw op te bouwen.