搜索

[29053] 2021-07-05_【漏洞分析】CVE-2021-26892：MICROSOFTWINDOWSEFI系统分区上的授权绕过

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-07-05_【漏洞分析】CVE-2021-26892：MICROSOFTWINDOWSEFI系统分区上的授权绕过 【 漏 洞 分 析 】 C V E - 2 0 2 1 - 2 6 8 9 2 ： M I C R O S O F T   W I N D O W S   E F I   系 统 分 区 上 的 授 权 绕 过 O t s 安 全   2 0 2 1 - 0 7 - 0 5 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 2 0 2 0   年   1 0   月 ， 研 究 员   A b d e l h a m i d   N a c e r i （ 也 称 为   h a l o v ） 向   Z D I   提 交 了 一 个 独 特 的 漏 洞 。 W i n d o w s   1 0   中 的 此 漏 洞 允 许 低 权 限 用 户 清 除 U E F I   启 动 所 需 的 任 意 文 件 。 攻 击 甚 至 可 以 从 低 完 整 性 级 别 进 行 。 这 个 案 子 有 很 多 谜 团 ， 我 将 解 释 我 能 够 解 释 的 部 分 。 该 漏 洞 被 识 别 为 Z D I - 2 1 - 3 3 0   /   C V E - 2 0 2 1 - 2 6 8 9 2 ， 并 于   2 0 2 1   年   3   月 由 微 软 修 补 。 背 景 背 景 当 任 何 计 算 机 系 统 从 冷 态 启 动 时 ， 处 理 器 执 行 的 第 一 条 指 令 来 自 固 件 。 尽 管 我 们 想 快 速 过 渡 到 执 行 存 储 在 磁 盘 （ 例 如 操 作 系 统 ） 上 的 指 令 ， 但 冷 启 动 时 这 些 指 令 字 节 在 内 存 中 尚 不 可 用 。 因 此 处 理 器 必 须 从 执 行 固 件 指 令 开 始 。 固 件 提 供 了 从 磁 盘 检 索 操 作 系 统 启 动 指 令 并 最 终 跳 转 到 操 作 系 统 所 需 的 指 令 。 U E F I   是 一 种 固 件 。 对   U E F I   的 深 入 处 理 超 出 了 本 文 的 范 围 ， 但 出 于 我 们 的 目 的 ， 我 们 需 要 知 道   U E F I   固 件 将 查 找 包 含 称 为 E F I   系 统 分 区 或 E S P 。 此 分 区 使 用 固 件 可 以 解 析 的   F A T   文 件 系 统 的 变 体 之 一 进 行 格 式 化 。 在 这 个 文 件 系 统 中 ， 固 件 希 望 找 到 一 个 扩 展 名 为   的 文 件 . E F I ， 称 为 引 导 加 载 程 序 ， 它 可 以 从 中 读 取 继 续 启 动 操 作 系 统 所 需 的 进 一 步 步 骤 。 通 常 . E F I 存 在 对 应 于 不 同 架 构 的 多 个 文 件 。 U E F I   固 件 还 能 够 处 理 多 个 可 用 引 导 设 备 的 情 况 。 E F I   系 统 分 区 和 安 全 性 系 统 分 区 和 安 全 性 众 所 周 知 ， F A T   文 件 系 统 不 记 录 文 件 的   A C L   或 任 何 其 他 安 全 信 息 。 如 果   F A T   文 件 系 统 安 装 在   W i n d o w s   上 ， 则 每 个 文 件 实 际 上 都 有 一 个 空 的 安 全 描 述 符 ， 使 该 文 件 既 可 全 局 读 取 又 可 全 局 写 入 。 显 然 ， 这 对 于   E F I   系 统 分 区 来 说 是 不 可 接 受 的 。 如 果   E S P   上 的 文 件 是 全 局 可 写 的 ， 那 么 任 何 用 户 通 过 删 除 启 动 所 需 的 关 键 文 件 来 损 坏 系 统 都 将 是 微 不 足 道 的 。 非 特 权 用 户 甚 至 可 以 通 过 将 . E F I 文 件 替 换 为 包 含 恶 意 指 令 的 文 件 来 安 装   b o o t k i t   。 因 此 ， W i n d o w s   做 了 一 些 幕 后 工 作 来 对   E S P   的 访 问 施 加 特 殊 限 制 。 首 先 ， 默 认 情 况 下   E F I   分 区 不 会 挂 载 到 任 何 驱 动 器 号 。 如 果 非 管 理 用 户 尝 试 将 其 安 装 到 驱 动 器 号 ， 访 问 将 被 拒 绝 。 即 使 管 理 员 将 它 挂 载 到 驱 动 器 号 （ 事 实 上 ， 有 一 个 特 殊 的 命 令 行 语 法 用 于 挂 载   E F I   分 区 ： ） m o u n t v o l   F :   / S ， 非 管 理 用 户 仍 然 无 法 访 问 已 挂 载 的 驱 动 器 。 绕 过 绕 过   E S P   授 权 限 制 授 权 限 制 尽 管 有 这 些 限 制 ， 研 究 人 员 发 现 低 权 限 用 户 ， 即 使 以 低 完 整 性 运 行 ， 仍 然 可 以 获 得 对   E F I   系 统 分 区 上 文 件 的 一 些 访 问 权 限 。 为 了 避 免 分 配 驱 动 器 号 的 需 要 ， 攻 击 者 可 以 C r e a t e F i l e 使 用 完 整 的 卷 名 和 特 定 已 知 文 件 的 路 径 调 用 A P I ， 例 如 ： 卷   G U I D   可 以 通 过 卷 的 枚 举 使 用 F i n d F i r s t V o l u m e 和 F i n d N e x t V o l u m e A P I   获 得 。 通 过 这 种 方 式 ， 攻 击 者 可 以 获 得   E F I   分 区 内 任 意 文 件 的 句 柄 ， 只 要 路 径 是 可 预 测 的 ， 这 很 常 见 。 我 做 了 一 个 实 验 并 调 用 G e t S e c u r i t y I n f o 了 结 果 句 柄 ， 正 如 预 期 的 那 样 ， 我 收 到 了 一 个 空 的 安 全 描 述 符 ， 表 ? V o l u m e { 6 4 1 e 9 a 1 4 - b 3 d 6 - 4 2 5 c - a f 6 e - 7 d 5 8 5 1 6 9 9 5 1 e } E F I M i c r o s o f t B o o t b o o t m g f w . e f i
明 该 文 件 是 全 局 可 读 和 可 写 的 ： O : W D G : W D D : N O _ A C C E S S _ C O N T R O L 。 即 便 如 此 ， W i n d o w s   也 不 会 按 照 此 安 全 描 述 符 所 暗 示 的 方 式 运 行 。 尝 试 打 开 文 件 进 行 读 取 或 写 入 （ G E N E R I C _ R E A D 或 G E N E R I C _ W R I T E ） 被 拒 绝 。 尽 管 如 此 — — 这 是 研 究 人 员 的 主 要 发 现 — — 攻 击 者 仍 然 有 办 法 获 得 有 限 数 量 的 写 访 问 权 限 。 诀 窍 是 调 用 C r e a t e F i l e 时 根 本 不 请 求 任 何 访 问 权 限 （ 既 不 是 G E N E R I C _ R E A D 也 不 是 G E N E R I C _ W R I T E ） ， 而 是 指 定 C R E A T E _ A L W A Y S .   此 标 志 要 求 如 果 目 标 文 件 存 在 ， 则 应 立 即 将 其 截 断 为 零 长 度 。 不 知 何 故 ， 这 种 组 合 超 越 了   W i n d o w s   为   E S P   实 现 的 授 权 逻 辑 。 尽 管 结 果 句 柄 上 的 访 问 掩 码 不 允 许 攻 击 者 向 文 件 写 入 任 何 字 节 ， 但 W i n d o w s   仍 会 在 C r e a t e F i l e 调 用 期 间 根 据 请 求 截 断 文 件 。 通 过 清 除 关 键 . E F I 文 件 的 内 容 ， 攻 击 者 可 以 使 系 统 无 法 启 动 。 漏 洞 再 现 困 难 漏 洞 再 现 困 难 在 分 析 这 个 案 例 时 ， 我 惊 讶 地 发 现 它 无 法 在 某 些 管 理 程 序 平 台 上 重 现 。 我 发 现 它 可 以 在 裸 机 和   H y p e r V   上 复 制 。 但 是 ， 在   E S X i   上 ， 即 使 安 全 描 述 符 作 为 全 局 可 写 的   出 现 O : W D G : W D D : N O _ A C C E S S _ C O N T R O L ， 截 断 . E F I 文 件 的 尝 试 也 会 失 败 并 显 示 E R R O R _ A C C E S S _ D E N I E D .   我 无 法 解 释 裸 机 和   E S X i   之 间 的 行 为 差 异 。 结 论 结 论 在 试 验 此 漏 洞 时 ， 最 好 备 份 . E F I 将 被 删 除 的 文 件 ， 尤 其 是 在 裸 机 上 运 行 时 。 成 功 复 制 会 导 致 完 全 无 法 启 动 机 器 。 提 交 这 个   b u g   的 研 究 员   ( h a l o v )   是   Z D I   程 序 的 频 繁 贡 献 者 ， 我 们 希 望 在 未 来 继 续 看 到 他 总 是 有 趣 的 研 究 。 原 文 链 接 ： h t t p s : / / w w w . z e r o d a y i n i t i a t i v e . c o m / b l o g / 2 0 2 1 / 6 / 3 0 / c v e - 2 0 2 1 - 2 6 8 9 2 - a n - a u t h o r i z a t i o n - b y p a s s - o n - t h e - m i c r o s o f t - w i n d o w s - e f i - s y s t e m - p a r t i t i o n 所 有 文 章 点 击 阅 读 原 文 均 可 阅 读 原 文 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理