搜索

[28631] 2020-10-15_利用GlobalProtect进行特权升级，第1部分：Windows

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-10-15_利用GlobalProtect进行特权升级，第1部分：Windows 利 用 G l o b a l P r o t e c t 进 行 特 权 升 级 ， 第 1 部 分 ： W i n d o w s H a n n o   H e i n r i c h s   O t s 安 全   2 0 2 0 - 1 0 - 1 5 C r o w d S t r i k e ® 情 报 高 级 研 究 团 队 在 P a l o   A l t o   N e t w o r k s   G l o b a l P r o t e c t   V P N 客 户 端 （ C V E - 2 0 1 9 - 1 7 4 3 5 ， C V E - 2 0 1 9 - 1 7 4 3 6 ） 的 W i n d o w s ， L i n u x 和 m a c O S 版 本 中 发 现 了 两 个 明 显 的 漏 洞 。 该 漏 洞 使 没 有 特 权 的 用 户 可 以 可 靠 地 升 级 到 使 用 G l o b a l P r o t e c t 软 件 的 计 算 机 上 或 该 计 算 机 上 。 固 定 版 本 于 2 0 1 9 年 1 0 月 1 5 日 由 P a l o   A l t o   N e t w o r k s 发 布 。 我 们 要 感 谢 P a l o   A l t o   N e t w o r k s 及 时 专 业 地 处 理 和 解 决 所 报 告 的 问 题 。 这 是 由 两 部 分 组 成 的 系 列 博 客 中 的 第 一 篇 ， 该 系 列 涵 盖 了 如 何 利 用 G l o b a l P r o t e c t   f o r   W i n d o w s 。 第 二 部 分 将 介 绍 L i n u x 和 m a c O S 客 户 端 的 利 用 。 要 闻 速 览 受 影 响 的 供 应 商 ：   P a l o   A l t o   N e t w o r k s 受 影 响 的 软 件 ：   W i n d o w s 的 G l o b a l P r o t e c t （ 在 W i n d o w s   1 0   L T S C   1 8 0 9   B u i l d   1 7 7 6 3 . 1 0 7 上 ） 受 影 响 的 版 本 ：   5 . 0 . 3 （ 或 更 早 版 本 ） ， 4 . 1 . 1 2 （ 或 更 早 版 本 ） 固 定 版 本 ：   5 . 0 . 4 、 4 . 1 . 1 3 漏 洞 ：   比 赛 状 态 /   T O C T T O U 估 计 风 险 ：   高 （ 本 地 特 权 提 升 为 ） 标 识 符 ：   C V E - 2 0 1 9 - 1 7 4 3 5   /   G P C - 8 9 7 7   /   P A N - S A - 2 0 1 9 - 0 0 3 6 供 应 商 参 考 ：   h t t p s   :   / / s e c u r i t y . p a l o a l t o n e t w o r k s . c o m / C V E - 2 0 1 9   - 1 7 4 3 5 C V E - 2 0 1 9 - 1 7 4 3 5 漏 洞 W i n d o w s   G l o b a l P r o t e c t   V P N 客 户 端 包 括 以 下 两 个 组 件 ： P a n G P S 在 启 动 期 间 启 动 一 次 。 它 负 责 协 商 V P N 连 接 ， 配 置 网 络 设 备 并 相 应 地 调 整 路 由 ， 以 及 安 装 软 件 更 新 。 为 了 完 成 这 些 任 务 ， 它 具 有 特 权 运 行 。 P a n G P S 在 上 侦 听 传 入 的 T C P 连 接 。 ： P a n G P A 在 每 个 登 录 会 话 中 自 动 启 动 一 次 ， 并 以 登 录 用 户 的 权 限 运 行 。 P a n G P A 负 责 显 示 图 形 用 户 界 面 （ G U I ） ， 向 用 户 通 知 状 态 更 改 以 及 下 载 软 件 更 新 等 。 P a n G P A 将 任 何 特 权 操 作 委 派 给 P a n G P S 。 与 P a n G P S 的 进 程 间 通 信 （ I P C ） 通 过 与 的 T C P 连 接 实 现 。 G l o b a l P r o t e c t   I P C 发 现 在 P a n G P A 和 P a n G P S 之 间 交 换 的 所 有 消 息 都 是 使 用 A E S - 2 5 6 在 密 码 块 链 接 （ C B C ） 模 式 下 加 密 的 。 初 始 化 向 量 （ I V ） 是 固 定 的 ， 由 1 6 个 空 字 节 组 成 。 可 以 从 计 算 机 的 安 全 标 识 符 （ S I D ） 派 生 A E S 密 钥 ， 如 下 所 示 ： 每 条 加 密 的 消 息 都 有 一 个 1 6 字 节 的 标 头 作 为 前 缀 ， 该 标 头 以 A S C I I 编 码 的 十 进 制 声 明 主 体 的 长 度 ， 并 用 空 字 节 填 充 。 加 密 示 例 消 息 的 开 头 如 下 所 示 ： 进 一 步 的 调 查 表 明 ， 加 密 的 消 息 包 含 X M L 文 档 。 X M L 文 档 用 于 这 两 种 —   P a n G P A 请 求 P a n G P S 的 动 作 ， 并 且 P a n G P S 向 P a n G P A 报 告 回 状 态 信 息 。 最 经 常 观 察 到 的 请 求 之 一 是 请 求 ： S Y S T E M r o o t S Y S T E M P a n G P S . e x e : S Y S T E M 1 2 7 . 0 . 0 . 1 : 4 7 6 7 P a n G P A . e x e 1 2 7 . 0 . 0 . 1 : 4 7 6 7 A E S _ K E Y   =   M D 5 ( S I D   +   M D 5 ( “ p a n n e t w o r k ” ) )   +   M D 5 ( S I D   +   M D 5 ( “ p a n n e t w o r k ” ) ) u s e r _ c r e d e n t i a l
它 用 于 将 V P N 门 户 的 用 户 名 ， 密 码 和 主 机 名 从 P a n G P A 传 递 给 P a n G P S ， 然 后 P a n G P S 尝 试 建 立 V P N 连 接 并 定 期 报 告 状 态 。 软 件 升 级 在 正 常 使 用 期 间 ，   我 们 发 现 G l o b a l P r o t e c t   V P N 客 户 端 无 需 任 何 用 户 交 互 即 可 自 动 更 新 自 身 。 发 现 该 更 新 过 程 分 为 两 个 部 分 。 首 先 ， P a n G P A 下 载 潜 在 的 更 新 并 将 其 作 为 文 件 存 储 在 当 前 用 户 的 目 录 中 。 之 后 ， P a n G P A 将 软 件 升 级 请 求 发 送 到 特 权 P a n G P S 进 程 。 该 请 求 包 含 该 M S I 文 件 的 绝 对 路 径 ： 然 后 ， P a n G P S 验 证 文 件 的 签 名 ， 如 果 验 证 成 功 ， 则 将 其 复 制 到 。 如 果 目 标 文 件 不 存 在 ， 则 新 创 建 文 件 的 所 有 者 为 ;   否 则 ， 现 有 文 件 将 被 覆 盖 并 保 留 所 有 权 。 复 制 后 ， 将 删 除 源 文 件 ， 并 再 次 验 证 复 制 文 件 的 签 名 。 如 果 验 证 成 功 ， P a n G P S 将 写 入 一 个 批 处 理 文 件 ， 将 实 际 的 更 新 过 程 编 排 为 。 批 处 理 文 件 指 示 W i n d o w s 的 服 务 控 制 管 理 器 停 止 P a n G P S 服 务 。 然 后 ， 它 进 入 延 迟 三 秒 的 循 环 ， 以 等 待 P a n G P S 进 入 “ 停 止 ” 状 态 。 使 用 （ 以 红 色 突 出 显 示 ） 实 现 三 秒 钟 的 延 迟 ， 该 延 迟 至 少 被 调 用 一 次 ： 循 环 后 ， 将 卸 载 旧 的 G l o b a l P r o t e c t   V P N 客 户 端 （ 以 绿 色 突 出 显 示 ） ， 并 从 文 件 中 安 装 新 版 本 （ 以 蓝 色 突 出 显 示 ） 。 此 行 为 允 许 一 个 三 秒 钟 的 窗 口 ， 在 此 期 间 % T e m p % . M S I < r e q u e s t >     < t y p e > s o f t w a r e - u p g r a d e < / t y p e >     < c o m m a n d - l i n e > C : U s e r s U S E R A p p D a t a L o c a l T e m p _ t e m p X X X X . m s i < / c o m m a n d - l i n e > < / r e q u e s t > C : W i n d o w s T e m p g l o b a l p r o t e c t . m s i S Y S T E M C : P r o g r a m   F i l e s P a l o   A l t o   N e t w o r k s G l o b a l P r o t e c t u p d a t e _ t m p . b a t t i m e o u t . e x e e c h o   o f f s e t   / a   _ c o u n t = 0 " C : W i n d o w s s y s t e m 3 2 s c . e x e "   s t o p   p a n g p s   >   n u l l : l o o p i f   % _ c o u n t %   G T R   3 0 0   g o t o   e x i t t i m e o u t " C : W i n d o w s s y s t e m 3 2 t i m e o u t . e x e "   / t   3   / n o b r e a k   >   n u l l s e t   / a   _ c o u n t = _ c o u n t   +   3 " C : W i n d o w s s y s t e m 3 2 s c . e x e "   q u e r y   p a n g p s   |   f i n d   " S T O P P E D " i f   e r r o r l e v e l   1   g o t o   l o o p c d   C : P r o g r a m   F i l e s P a l o   A l t o   N e t w o r k s G l o b a l P r o t e c t " C : W i n d o w s s y s t e m 3 2 m s i e x e c . e x e "   / x   " { D 7 F D A 5 5 F - 2 1 E C - 4 3 A 9 - A 9 1 7 - C C B A B E 5 A 7 0 8 A } "   / q n   / n o r e s t a r t         K E E P R E G I S T R I E S = " Y E S "   / l + *   " C : P r o g r a m   F i l e s P a l o   A l t o   N e t w o r k s G l o b a l P r o t e c t P a n G P M s i . l o g " " C : W i n d o w s s y s t e m 3 2 m s i e x e c . e x e "   / n o r e s t a r t   / q n   / i   " C : W i n d o w s T E M P g l o b a l p r o t e c t . m s i "         T A R G E T D I R = " C : P r o g r a m   F i l e s P a l o   A l t o   N e t w o r k s G l o b a l P r o t e c t "     B E N I C E = " y e s "   / l + *         " C : P r o g r a m   F i l e s P a l o   A l t o   N e t w o r k s G l o b a l P r o t e c t P a n G P M s i . l o g " g o t o   n o r m a l e x i t : e x i t t i m e o u t e c h o   % d a t e %   % t i m e %   -   P a n G P S   s e r v i c e   c a n n o t   b e   s t o p p e d .   t i m e   o u t   3 0 0 .   > >   " C : P r o g r a m   F i l e s P a l o         A l t o   N e t w o r k s G l o b a l P r o t e c t P a n G P S . l o g " e x i t   1 : n o r m a l e x i t C : W i n d o w s T e m p g l o b a l p r o t e c t . m s i
可 以 用 恶 意 负 载 替 换 已 复 制 并 已 验 证 的 M S I 安 装 程 序 。 但 是 ， 必 须 满 足 以 下 先 决 条 件 ， 无 特 权 的 用 户 才 能 成 功 利 用 此 漏 洞 来 实 现 将 本 地 特 权 提 升 为 ： 除 非 特 权 用 户 拥 有 该 文 件 ， 否 则 该 全 局 临 时 目 录 中 的 文 件 不 能 被 非 特 权 用 户 删 除 或 替 换 。 在 先 前 的 更 新 之 后 留 在 临 时 目 录 中 的 G l o b a l P r o t e c t 安 装 程 序 通 常 属 于 。 在 这 种 情 况 下 ， 要 么 必 须 首 先 更 改 所 有 权 ， 要 么 必 须 删 除 安 装 程 序 。 为 了 利 用 此 漏 洞 而 不 必 等 待 真 正 的 更 新 发 生 ， 必 须 找 到 一 种 启 动 伪 造 更 新 的 方 法 。 但 是 ， 制 作 虚 假 的 软 件 升 级 消 息 ， 对 其 进 行 加 密 并 将 其 发 送 到 P a n G P S   T C P 套 接 字 应 该 完 全 可 以 做 到 这 一 点 。 P a n G P S 守 护 程 序 仅 在 其 侦 听 套 接 字 上 接 受 单 个 T C P 连 接 ， 并 且 该 连 接 必 须 源 自 从 中 的 P E 映 像 创 建 的 进 程 。 有 一 些 方 法 可 以 满 足 所 有 这 些 先 决 条 件 ， 并 可 靠 地 触 发 更 新 过 程 ， 该 更 新 过 程 将 以 特 权 执 行 攻 击 者 提 供 的 文 件 。 漏 洞 利 用 如 前 所 述 ， 漏 洞 利 用 程 序 必 须 能 够 向 P a n G P S 发 送 升 级 请 求 ， 而 且 还 必 须 用 恶 意 文 件 替 换 有 效 的 升 级 文 件 。 触 发 升 级 为 了 使 利 用 在 实 际 情 况 下 有 用 ， 需 要 用 于 手 动 触 发 更 新 过 程 的 原 语 。 通 过 P a n G P A 和 P a n G P S 之 间 基 于 T C P 的 通 信 协 议 ， 这 应 该 是 可 能 的 。 但 是 ， W i n d o w s 版 本 的 P a n G P S 不 允 许 与 其 监 听 套 接 字 的 多 个 并 发 连 接 ， 并 且 P a n G P A 进 程 通 常 已 经 建 立 了 单 个 允 许 的 连 接 。 此 外 ， W i n d o w s 版 本 的 P a n G P S 会 对 每 个 传 入 的 连 接 进 行 检 查 ， 以 确 保 连 接 过 程 的 P E 映 像 指 向 下 方 的 可 执 行 文 件 。 非 特 权 用 户 通 常 不 允 许 写 入 以 下 目 录 。 通 过 将 D L L 注 入 P a n G P A ， 可 以 绕 过 P E 映 像 检 查 和 连 接 限 制 。 然 后 可 以 按 以 下 方 式 触 发 更 新 过 程 ：   1 .   首 先 ， 注 入 器 帮 助 程 序 可 执 行 文 件 计 算 基 于 机 器 的 A E S 加 密 密 钥 ， 对 伪 造 的 软 件 升 级 请 求 消 息 进 行 加 密 ， 然 后 将 其 写 入 磁 盘 。 2 .   接 下 来 ， 注 入 程 序 使 用 请 求 当 前 的 I P v 4   T C P 连 接 表 ，     并 在 结 果 集 中 搜 索 已 建 立 与 的 连 接 的 P a n G P A 进 程 。 如 果 找 到 ， 则 使 用 所 需 的 访 问 权 限 打 开 相 应 的 进 程 I D   。 然 后 ， 通 过 注 入 准 备 好 的 D L L   。 3 .   然 后 ， 注 入 的 D L L 枚 举 属 于 该 进 程 的 所 有 套 接 字 句 柄 。 找 到 连 接 到 的 套 接 字 句 柄 后 ， 将 从 磁 盘 读 取 先 前 加 密 的 数 据 包 并 将 其 发 送 到 该 套 接 字 ， 然 后 触 发 更 新 过 程 。 替 换 升 级 文 件 仅 当 非 特 权 用 户 可 写 M S I 文 件 路 径 时 ， 才 能 成 功 利 用 此 漏 洞 ， 以 便 在 更 新 过 程 中 可 以 用 恶 意 负 载 替 换 该 文 件 。 但 是 ， 如 果 以 前 有 合 法 的 软 件 更 新 ， 则 该 文 件 可 能 已 经 存 在 并 属 于 用 户 ， 这 将 阻 止 常 规 的 ， 没 有 特 权 的 用 户 删 除 或 替 换 文 件 。 在 这 种 情 况 下 ， 必 须 先 删 除 该 文 件 。 这 可 以 通 过 更 新 过 程 的 一 些 副 作 用 来 实 现 ： 文 件 删 除 开 始 安 装 P A N 签 名 的 M S I 文 件 后 ， P a n G P S 将 源 M S I 文 件 复 制 到 ， 然 后 将 其 删 除 。 因 此 ， 如 果 发 出 了 以 该 路 径 作 为 源 的 软 件 升 级 请 求 ， 则 P a n G P S 会 验 证 源 的 签 名 ， 将 源 文 件 复 制 到 其 自 身 上 ， 然 后 将 其 删 除 。 签 名 的 第 二 次 验 证 将 失 败 ， 并 且 将 不 执 行 任 何 实 际 升 级 。 为 了 使 P a n G P S 执 行 这 些 操 作 ， 源 文 件 （ 即 必 须 删 除 的 文 件 ） 必 须 由 P A N 进 行 数 字 签 名 ， 而 在 实 际 情 况 下 可 能 并 非 总 是 如 此 。 为 了 提 高 漏 洞 利 用 的 可 靠 性 ， 因 此 可 以 在 文 件 删 除 之 前 添 加 另 一 个 以 已 知 的 ， 良 好 的 P A N 签 名 的 M S I 文 件 作 为 源 的 软 件 升 级 请 求 。 该 “ 升 级 ” 通 常 应 C : W i n d o w s T e m p g l o b a l p r o t e c t . m s i S Y S T E M g l o b a l p r o t e c t . m s i S Y S T E M C : P r o g r a m   F i l e s P a l o   A l t o   N e t w o r k s G l o b a l P r o t e c t g l o b a l p r o t e c t . m s i S Y S T E M C : P r o g r a m   F i l e s P a l o   A l t o   N e t w o r k s G l o b a l P r o t e c t C : P r o g r a m   F i l e s G e t E x t e n d e d T c p T a b l e ( ) 1 2 7 . 0 . 0 . 1 : 4 7 6 7 O p e n P r o c e s s ( ) P R O C E S S _ A L L _ A C C E S S C r e a t e R e m o t e T h r e a d ( ) 1 2 7 . 0 . 0 . 1 : 4 7 6 7 C : W i n d o w s T e m p g l o b a l p r o t e c t . m s i S Y S T E M C : W i n d o w s T e m p g l o b a l p r o t e c t . m s i g l o b a l p r o t e c t . m s i
成 功 完 成 ， 并 将 正 确 签 名 的 M S I 文 件 保 留 在 中 ， 然 后 可 以 通 过 先 前 记 录 的 技 术 删 除 该 文 件 ， 以 确 保 对 非 特 权 用 户 进 行 写 访 问 。 文 件 替 换 执 行 完 这 些 步 骤 后 ， 系 统 将 进 入 状 态 ， 其 中 没 有 文 件 ， 并 且 没 有 特 权 的 用 户 可 以 通 过 触 摸 它 来 简 单 地 声 明 所 有 权 。 接 下 来 ， 可 以 使 用 P A N 签 名 的 M S I 文 件 作 为 源 启 动 软 件 更 新 过 程 。 P a n G P S 验 证 的 真 实 性 后 ， 它 将 执 行 批 处 理 文 件 。 该 进 程 将 被 调 用 ， 并 且 相 应 的 进 程 列 表 条 目 可 用 作 漏 洞 利 用 的 指 示 器 ， 该 漏 洞 利 用 的 时 机 正 是 用 攻 击 者 控 制 的 版 本 替 换 文 件 的 时 间 。 超 时 循 环 结 束 后 ， 将 删 除 旧 的 G l o b a l P r o t e c t 安 装 ， 并 安 装 现 在 由 攻 击 者 控 制 的 M S I 文 件 。   有 效 载 荷 为 了 将 特 权 提 升 到 ， 我 们 的 利 用 程 序 使 用 了 产 生 外 壳 程 序 的 M S I 文 件 。 它 还 会 触 发 真 正 的 G l o b a l P r o t e c t 客 户 端 的 重 新 安 装 ， 以 维 护 G l o b a l P r o t e c t 软 件 安 装 的 完 整 性 。 结 论 在 此 博 客 中 ， 我 们 展 示 了 如 何 利 用 G l o b a l P r o t e c t   f o r   W i n d o w s 中 几 个 看 似 较 小 的 问 题 的 组 合 来 成 功 提 升 W i n d o w s 的 特 权 。 回 顾 一 下 ： G l o b a l P r o t e c t 代 理 由 P a n G P S 和 P a n G P A 两 个 组 件 组 成 ， 其 中 P a n G P S 以 提 升 的 特 权 运 行 ， 因 此 它 可 以 执 行 特 权 操 作 ， 例 如 升 级 代 理 软 件 。 要 触 发 软 件 升 级 ， 非 特 权 用 户 必 须 通 过 本 地 T C P 连 接 与 P a n G P S 通 信 。 P a n G P S 试 图 确 保 只 有 P a n G P A 可 以 建 立 这 样 的 连 接 ， 但 是 可 以 通 过 将 代 码 注 入 P a n G P A 来 绕 过 此 检 查 。 触 发 升 级 后 ， 没 有 特 权 的 用 户 可 以 与 更 新 过 程 进 行 竞 争 ， 并 用 恶 意 的 有 效 负 载 替 换 经 过 签 名 的 良 性 M S I 文 件 ， 然 后 以 提 升 的 特 权 执 行 该 文 件 。 仅 当 用 户 能 够 操 作 文 件 时 ， 此 文 件 替 换 才 能 成 功 。 并 非 总 是 这 样 ， 但 是 P a n G P S 中 的 其 他 缺 陷 使 无 特 权 的 用 户 可 以 删 除 任 何 有 冲 突 的 文 件 ， 并 在 开 始 实 际 的 特 权 升 级 利 用 之 前 进 行 控 制 。 请 继 续 关 注 第 二 部 分 ， 在 第 二 部 分 中 ， 我 们 将 讨 论 L i n u x 和 m a c O S 的 G l o b a l P r o t e c t 中 的 另 一 个 漏 洞 ， 该 漏 洞 也 允 许 这 些 平 台 上 的 特 权 升 级 。 其 他 资 源 阅 读 有 关 当 今 最 复 杂 威 胁 的 专 家 见 解 和 分 析 ， 下 载 《 C r o w d S t r i k e   2 0 2 0 全 球 威 胁 报 告 》   通 过 访 问 产 品 页 面 ， 了 解 有 关 使 用 C r o w d S t r i k e   F a l c o n 平 台 进 行 全 面 端 点 保 护 的 更 多 信 息 。 C : W i n d o w s T e m p g l o b a l p r o t e c t . m s i g l o b a l p r o t e c t . m s i C : W i n d o w s T e m p C : W i n d o w s T e m p g l o b a l p r o t e c t . m s i t i m e o u t . e x e g l o b a l p r o t e c t . m s i S Y S T E M S Y S T E M
亲 自 测 试 C r o w d S t r i k e 下 一 代 A V 。 立 即 开 始 免 费 试 用 F a l c o n   P r e v e n t ™ 。 本 文 翻 译 自   -   h t t p s : / / w w w . c r o w d s t r i k e . c o m / b l o g / e x p l o i t i n g - e s c a l a t i o n - o f - p r i v i l e g e s - v i a - g l o b a l p r o t e c t - p a r t - 1 / 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理