搜索

[14134] 2019-05-21_实战介绍Windows下的PC客户端常见漏洞挖掘

文档创建者：s7ckTeam
浏览次数：64
最后更新：2025-01-18
2019-05-21_实战介绍Windows下的PC客户端常见漏洞挖掘 实 战 介 绍 W i n d o w s 下 的 P C 客 户 端 常 见 漏 洞 挖 掘 1 8 6 1 5 2 5 3 4 0 0   F r e e B u f   2 0 1 9 - 0 5 - 2 1 0 X 0 0   为 什 么 写 这 篇 文 章 为 什 么 写 这 篇 文 章 对 于 小 白 来 说 ， 对 于 小 白 来 说 ， W E B 安 全 方 面 似 乎 已 经 有 了 很 完 备 的 知 识 体 系 和 漏 洞 发 掘 流 程 ， 刚 刚 入 门 的 朋 友 总 是 喜 欢 选 择 安 全 方 面 似 乎 已 经 有 了 很 完 备 的 知 识 体 系 和 漏 洞 发 掘 流 程 ， 刚 刚 入 门 的 朋 友 总 是 喜 欢 选 择 w e b 方 向 来 作 为 自 己 的 发 展 方 向 ， 因 为 针 对 方 向 来 作 为 自 己 的 发 展 方 向 ， 因 为 针 对 w e b 系 统 的 渗 透 测 试 似 乎 获 得 的 成 就 感 要 更 高 ， 也 有 很 多 小 白 认 为 系 统 的 渗 透 测 试 似 乎 获 得 的 成 就 感 要 更 高 ， 也 有 很 多 小 白 认 为 w e b 似 乎 更 好 学 ， 然 而 对 于 似 乎 更 好 学 ， 然 而 对 于 P C 客 户 端 漏 洞 发 掘 ， 因 为 涉 及 到 了 一 些 计 算 机 和 操 作 系 统 底 层 的 知 识 ， 很 多 人 都 不 客 户 端 漏 洞 发 掘 ， 因 为 涉 及 到 了 一 些 计 算 机 和 操 作 系 统 底 层 的 知 识 ， 很 多 人 都 不 敢 去 碰 ， 而 实 际 上 敢 去 碰 ， 而 实 际 上 P C 客 户 端 的 漏 洞 比 大 家 想 象 中 要 容 易 的 多 ， 甚 至 你 并 不 需 要 精 通 汇 编 语 言 就 能 很 容 易 的 挖 到 客 户 端 的 漏 洞 比 大 家 想 象 中 要 容 易 的 多 ， 甚 至 你 并 不 需 要 精 通 汇 编 语 言 就 能 很 容 易 的 挖 到 P C 客 户 端 漏 洞 ， 不 过 汇 编 语 言 是 客 户 端 漏 洞 ， 不 过 汇 编 语 言 是 P C 客 户 端 漏 洞 发 掘 的 基 础 ， 最 好 还 是 学 好 它 。 客 户 端 漏 洞 发 掘 的 基 础 ， 最 好 还 是 学 好 它 。 另 外 ， 挖 掘 P C 客 户 端 漏 洞 和 挖 掘 W E B 漏 洞 是 一 样 的 ， 都 需 要 细 心 和 耐 心 ， 你 要 学 会 关 注 每 一 个 细 节 ， 了 解 系 统 和 软 件 是 如 何 协 同 工 作 的 。 本 文 主 要 讲 W i n d o w s 下 的 P C 客 户 端 漏 洞 发 掘 ， 为 了 浅 显 易 懂 ， 不 涉 及 R O P 等 高 级 内 存 攻 击 和 内 存 溢 出 技 术 ， 大 佬 请 绕 道 。 0 x 0 1   工 具 工 具 “ 工 欲 善 其 事 ， 必 先 利 其 器 ”   。 P C 客 户 端 漏 洞 挖 掘 主 要 是 逆 向 工 程 和 进 程 监 控 为 主 。 逆 向 工 程 方 面 我 推 荐 两 个 工 具 ， 一 个 是 静 态 分 析 之 王 ： I D A   p r o ， 另 一 个 是 动 态 调 试 里 面 最 好 用 的 ： O l l y d b g （ 推 荐 大 家 用 吾 爱 破 解 论 坛 版 本 的 ） 这 两 个 逆 向 分 析 工 具 一 查 就 可 以 查 到 ， 在 这 里 就 不 多 介 绍 了 。 进 程 监 控 工 具 主 要 分 为 进 程 本 地 行 为 监 控 本 地 行 为 监 控 和 进 程 网 络 行 为 监 控 。 网 络 行 为 监 控 。 本 地 行 为 监 控 工 具 我 推 荐 ： P r o c e s s E x p l o r e r 进 程 监 控 进 程 监 控 和 A u t o r u n s 进 程 监 控 进 程 监 控 ， 这 两 个 工 具 知 名 度 不 高 ， 但 是 很 好 用 。 P r o c e s s E x p l o r e r 进 程 监 控
A u t o r u n s 进 程 监 控 工 具 本 地 监 控 工 具 里 还 有 一 种 工 具 是 专 门 监 控 注 册 表 的 工 具 ， 这 里 推 荐 几 个 ： P r o c e s s   M o n i t o r ： 一 个 强 大 的 注 册 表 监 视 工 具 ， 可 以 添 加 过 滤 规 则 ， 很 方 便 。
R e g s h o t ： 一 个 注 册 表 备 份 和 比 对 工 具 ， 可 以 通 过 保 存 快 照 和 比 对 快 照 的 方 式 来 找 出 注 册 表 中 哪 些 值 发 生 了 变 化 。 R e g f r o m A p p ： 也 是 一 个 进 程 监 控 工 具 ， 可 以 选 择 一 个 进 程 之 后 跟 踪 其 对 注 册 表 的 修 改 。 网 络 行 为 监 控 工 具 当 然 首 推 大 名 鼎 鼎 的 W i r e s h a r k 啦 ， 当 然 还 有 一 个 工 具 很 小 众 但 是 很 好 用 ， 是 岁 月 联 盟 的 工 具 ， 叫 W S E x p l o r e r ( 进 程 抓 包 ) 。 W i r e s h a r k
岁 月 联 盟 的 进 程 抓 包 工 具 W S E x p l o r e r ， 非 常 方 便 ， 左 侧 是 进 程 ， 右 侧 是 抓 到 的 数 据 包 。 有 了 以 上 这 些 工 具 ， 我 们 便 可 以 对 程 序 在 我 们 的 计 算 机 上 做 了 些 什 么 了 如 指 掌 ， 知 己 知 彼 方 能 百 战 百 胜 ， 便 可 以 开 始 下 一 步 的 漏 洞 发 掘 了 。 0 x 0 2   缺 陷 缺 陷 对 于 开 发 者 来 说 ， 开 发 一 款 完 全 没 有 漏 洞 的 程 序 是 不 可 能 的 ， 特 别 是 这 个 程 序 的 体 量 及 其 庞 大 时 ， 则 其 必 定 存 在 漏 洞 ， 我 们 需 要 知 道 的 就 是 哪 些 位 置 容 易 出 现 漏 洞 ； 客 户 端 的 授 权 认 证 漏 洞 ： 客 户 端 的 授 权 认 证 漏 洞 ： 一 般 正 版 的 客 户 端 软 件 都 设 有 授 权 认 证 模 块 ， 这 些 授 权 认 证 方 式 所 需 要 达 成 的 目 的 无 非 就 是 “ 买 了 的 人 能 用 ， 没 买 的 人 不 能 用 ” ， 一 般 验 证 采 用 注 册 码 的 形 式 并 与 个 人 计 算 机 的 机 器 码 相 互 绑 定 ， 或 者 与 某 种 个 人 认 证 机 制 相 互 绑 定 ， 以 达 到 验 证 的 目 的 。 授 权 认 证 漏 洞 可 以 导 致 软 件 和 功 能 被 破 解 ， 盗 版 程 序 流 通 等 严 重 后 果 。 授 权 认 证 漏 洞 往 往 是 开 发 者 在 开 发 时 没 有 注 重 授 权 认 证 的 保 密 性 以 及 安 全 性 所 导 致 的 。 客 户 端 的 网 络 服 务 漏 洞 ： 客 户 端 的 网 络 服 务 漏 洞 ： 这 类 漏 洞 一 般 是 由 于 客 户 端 在 发 送 数 据 包 或 接 收 时 没 有 进 行 严 格 的 认 证 造 成 的 ， 可 导 致 无 条 件 调 用 高 级 权 限 的 服 务 。 客 户 端 功 能 逻 辑 漏 洞 ： 客 户 端 功 能 逻 辑 漏 洞 ： 这 类 漏 洞 一 般 是 由 客 户 端 功 能 设 计 不 合 理 导 致 的 ， 可 以 导 致 无 授 权 的 访 问 等 严 重 后 果 。 客 户 端 溢 出 漏 洞 ： 客 户 端 溢 出 漏 洞 ： 这 类 漏 洞 包 含 属 于 逆 向 工 程 中 比 较 高 难 度 的 一 块 ， 主 要 是 由 于 开 发 时 对 内 存 的 错 误 管 理 ， 或 者 程 序 本 身 的 执 行 逻 辑 漏 洞 导 致 的 。 本 文 仅 介 绍 前 三 种 漏 洞 。 0 x 0 3   实 战 实 战 客 户 端 功 能 逻 辑 漏 洞 ： 客 户 端 功 能 逻 辑 漏 洞 ： 挖 掘 这 类 漏 洞 应 主 要 关 注 客 户 端 功 能 之 间 的 逻 辑 ， 与 W e b 逻 辑 漏 洞 类 似 。 但 是 不 同 的 是 ， 功 能 逻 辑 漏 洞 也 包 括 在 反 编 译 之 后 的 部 分 ， 一 般 情 况 下 通 过 修 改 关 键 c a l l 函 数 之 上 的 跳 转 逻 辑 来 进 行 漏 洞 挖 掘 ， 主 要 成 因 是 客 户 端 逻 辑 过 于 简 单 ，
采 用 了 较 少 的 逻 辑 判 断 。 这 种 漏 洞 在 具 有 完 备 功 能 的 客 户 端 上 并 不 常 见 。 客 户 端 的 授 权 认 证 漏 洞 ： 客 户 端 的 授 权 认 证 漏 洞 ： 1 . 基 于 本 地 注 册 表 的 破 解 ： 基 于 本 地 注 册 表 的 破 解 ： 某 些 软 件 虽 然 使 用 网 络 进 行 授 权 验 证 ， 但 是 由 于 其 试 用 次 数 设 计 的 验 证 缺 陷 ， 可 以 导 致 通 过 修 改 注 册 表 来 实 现 无 限 次 数 的 试 用 ， 导 致 “ 不 付 费 也 能 用 ” ， 即 出 现 了 授 权 认 证 漏 洞 。 下 面 这 款 客 户 端 程 序 即 是 如 此 ， 我 们 在 刚 刚 打 开 它 的 时 候 会 提 示 试 用 次 数 还 剩 2 9 次 。 现 在 我 们 打 开 P r o c e s s   M o n i t o r ， 使 用 过 滤 功 能 添 加 白 名 单 使 P m 仅 显 示 该 进 程 的 相 关 信 息 。 添 加 过 滤 白 名 单 ， 仅 显 示 该 进 程 关 键 部 位 做 了 处 理 。 。 之 后 停 止 所 有 捕 获 ， 关 闭 并 重 启 客 户 端 ， 多 次 重 复 后 我 们 监 控 到 每 次 客 户 端 打 开 时 ， 会 自 动 做 一 次 R e g s e t V a l u e ( 注 册
表 值 修 改 ) ， 如 下 ： 经 过 测 试 后 ， 发 现 剩 余 试 用 次 数 是 用 整 数 3 0 减 去 注 册 表 中 一 个 名 为 N o w t i m e s 的 键 下 面 的 值 。 于 是 我 们 编 写 一 个 B A T 脚 本 ， 修 改 该 客 户 端 指 向 的 那 个 值 ， 并 让 他 在 客 户 端 启 动 时 自 动 运 行 ， 即 可 锁 定 试 用 次 数 为 3 0 次 ， 不 会 减 少 。 这 个 漏 洞 的 成 因 主 要 是 因 为 试 用 次 数 认 的 方 法 太 简 单 了 ， 不 联 网 不 加 密 直 接 写 进 注 册 表 中 ， 并 且 键 名 还 那 么 浅 显 易 懂 叫 做 “ N o w t i m e s ” ， 这 种 存 在 在 注 册 表 的 漏 洞 发 掘 和 利 用 方 法 还 是 比 较 简 单 的 ， 但 是 问 题 是 这 样 的 漏 洞 还 蛮 多 的 ， 所 以 大 家 在 挖 掘 时 注 意 关 注 注 册 表 。 另 外 如 果 注 册 表 禁 止 监 控 ， 我 们 可 以 用 R E G s h o t 来 保 存 前 后 的 快 照 进 行 比 对 分 析 。 2 . 基 于 网 络 授 权 验 证 的 基 于 网 络 授 权 验 证 的 h o s t s 欺 骗 破 解 欺 骗 破 解 这 一 部 分 内 容 需 要 用 到 一 部 分 逆 向 工 程 的 知 识 。 这 次 破 解 的 客 户 端 没 有 设 置 试 用 机 制 ， 所 以 第 一 种 路 子 行 不 通   ， 我 们 转 而 把 眼 光 放 到 它 的 网 络 验 证 模 式 上 来 ， 看 看 到 底 这 个 客 户 端 的 网 络 授 权 验 证 方 式 是 如 何 工 作 的 。 关 键 位 置 打 码 处 理 R e g   a d d   H K C U S o f t w a r e 客 户 端 名 字 一 个 位 置   / v   N o w t i m e s   / t   R E G _ D W O R D   / d   0   / f
随 便 输 一 个 注 册 码 进 去 随 便 输 入 一 个 注 册 码 然 后 确 定 ， 根 据 弹 出 的 错 误 窗 口 来 定 位 到 客 户 端 的 注 册 检 测 验 证 的 函 数 处 。 拖 入 O L L Y d b g 查 找 字 串 “ 注 册 码 有 误 ” ， 并 跟 踪 到 汇 编 窗 口 。 于 是 我 们 得 到 了 注 册 授 权 的 服 务 器 地 址 。 为 了 进 一 步 验 证 ， 我 们 使 用 w i r e s h a r k 来 分 析 这 个 客 户 端 注 册 时 的 网 络 请 求 。 可 以 看 出 客 户 端 携 带 着 我 们 的 机 器 码 和 几 个 其 他 数 据 请 求 了 服 务 器 的 / v e r i f y c h e c k / l o g i n . p h p 再 回 到 我 们 的 汇 编 窗 口 中 ， 我 们 可 以 看 到 几 个 u n i c o d e 的 编 码 ， 疑 似 服 务 器 的 返 回 ， 记 录 下 来 。
直 接 用 浏 览 器 访 问 ， 可 以 发 现 返 回 值 和 汇 编 窗 口 的 记 录 值 中 的 一 条 相 同 ， 所 以 我 们 猜 测 可 以 构 造 一 个 假 服 务 器 ， 修 改 主 机 的 h o s t s 文 件 来 实 现 请 求 重 定 向 ， 让 我 们 的 服 务 器 返 回 注 册 成 功 的 信 息 。 修 改 h o s t s 文 件 ， 将 服 务 器 域 名 绑 定 到 我 们 自 己 的 假 服 务 器 的 i p 地 址 在 服 务 器 上 构 造 不 同 的 p a y l o a d ， 可 以 得 到 客 户 端 不 同 的 反 应 ， 说 明 漏 洞 成 功 了 一 半 。
至 此 我 们 可 以 排 除 掉 其 他 的 p a y l o a d ， 从 而 确 定 一 个 格 式 化 日 期 返 回 值 是 注 册 成 功 的 标 志 。 所 以 我 们 构 造 一 个 格 式 化 时 间 ， 并 且 重 新 打 开 客 户 端 输 入 任 意 注 册 码 注 册 ， 即 可 看 到 注 册 成 功 的 窗 口 。 最 终 的 p a y l o a d
这 一 漏 洞 的 成 因 为 客 户 端 软 件 在 校 验 注 册 码 返 回 时 的 数 据 太 过 简 单 ， 进 而 非 常 容 易 构 造 注 册 成 功 的 返 回 。 并 且 客 户 端 的 反 编 译 能 力 也 非 常 差 ， 敏 感 信 息 在 反 编 译 后 直 接 就 能 够 看 到 。 在 挖 掘 这 一 类 漏 洞 时 ， 我 们 需 要 一 些 逆 向 工 程 的 基 本 知 识 ， 以 及 计 算 机 网 络 的 一 些 基 础 知 识 ， 重 点 关 注 客 户 端 与 网 络 服 务 器 之 间 的 通 讯 数 据 ， 利 用 抓 包 工 具 来 进 行 漏 洞 挖 掘 。 客 户 端 的 网 络 服 务 漏 洞 ： 客 户 端 的 网 络 服 务 漏 洞 ： 由 于 想 拿 来 做 例 子 的 漏 洞 厂 商 还 没 有 修 复 ， 所 以 这 里 不 放 例 子 了 。 网 络 服 务 漏 洞 发 掘 主 要 采 用 客 户 端 网 络 请 求 分 析 的 方 式 ， 主 要 的 工 具 就 是 前 面 提 到 的 进 程 抓 包 工 具 以 及 W i r e s h a r k ,   大 部 分 网 络 服 务 漏 洞 起 因 是 由 于 在 客 户 端 的 网 络 请 求 中 没 有 采 取 验 证 方 式 或 者 采 取 了 安 全 性 非 常 低 的 验 证 方 式 ， 从 而 使 得 任 何 人 都 可 以 以 客 户 端 合 法 的 名 义 来 请 求 这 个 网 络 服 务 ， 实 现 没 有 权 限 的 调 用 私 有 网 络 服 务 接 口 。 常 常 出 现 在 客 户 端 v i p 付 费 资 源 的 试 听 服 务 ， 客 户 端 付 费 的 查 询 功 能 接 口 处 等 ， 不 安 全 的 客 户 端 请 求 可 以 被 拦 截 并 分 析 ， 进 而 实 现 越 权 调 用 无 权 限 的 资 源 或 接 口 。 在 挖 掘 这 类 漏 洞 时 ， 我 们 需 要 更 多 的 关 注 客 户 端 的 网 络 传 输 层 面 上 的 东 西 ， 尽 可 能 的 分 析 客 户 端 的 每 一 个 通 过 网 路 服 务 器 实 现 的 功 能 ， 来 进 行 漏 洞 挖 掘 。 * 本 文 作 者 ： 1 8 6 1 5 2 5 3 4 0 0 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理