搜索

[29140] 2021-09-01_【漏洞预警】CVE-2021-34486：Windows事件跟踪(ETW)TimerCallbackContex

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-19
2021-09-01_【漏洞预警】CVE-2021-34486：Windows事件跟踪(ETW)TimerCallbackContex 【 漏 洞 预 警 】 C V E - 2 0 2 1 - 3 4 4 8 6 ： W i n d o w s   事 件 跟 踪   ( E T W ) T i m e r C a l l b a c k C o n t e x O t s 安 全   2 0 2 1 - 0 9 - 0 1 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 概 述 概 述 W i n d o w s   事 件 跟 踪   ( E T W )   机 制 允 许 记 录 内 核 或 应 用 程 序 定 义 的 事 件 以 进 行 调 试 。 开 发 人 员 能 够 启 动 和 停 止 事 件 跟 踪 会 话 ， 检 测 应 用 程 序 以 提 供 跟 踪 事 件 ， 并 通 过 调 用   E T W   用 户 模 式 W i n d o w s   A P I   集 来 使 用 跟 踪 事 件 。 最 终 ， 这 些 将 导 致 对 内 核   ( n t o s k r n l . e x e )   的 相 应 系 统 调 用 请 求 以 执 行 功 能 。 在 E T W 请 求 更 新 周 期 性 捕 获 状 态 中 ， 在 特 定 条 件 下 ， 存 在 一 个 u s e - a f t e r - f r e e 漏 洞 ， 攻 击 者 可 以 可 控 地 分 配 一 个 0 x 3 0 字 节 的 缓 冲 区 ， 释 放 它 ， 然 后 重 用 这 个 缓 冲 区 来 执 行 任 意 代 码 。 受 影 响 的 版 本 受 影 响 的 版 本 P O C   测 试 在 安 装 了   K B 5 0 0 4 9 4 5   累 积 更 新 （ 2 0 2 1   年   7   月   7   日 ） 的   W i n d o w s   1 0   ( x 6 4 )   2 1 H 1 （ 操 作 系 统 内 部 版 本   1 9 0 4 3 . 1 0 8 3 ） 安 装 了   K B 5 0 0 3 6 3 7   累 积 更 新 （ 2 0 2 1   年   6   月 ） 的   W i n d o w s   1 0   ( x 6 4 )   2 1 H 1 （ 操 作 系 统 内 部 版 本   1 9 0 4 3 . 1 0 5 2 ） 安 装 了   K B 5 0 0 3 2 1 4   累 积 更 新 （ 2 0 2 1   年   5   月 ） 的   W i n d o w s   1 0   ( x 6 4 )   2 1 H 1 （ 操 作 系 统 内 部 版 本   1 9 0 4 3 . 1 0 2 3 ） 安 装 了   K B 5 0 0 3 1 7 3   累 积 更 新 （ 2 0 2 1   年   5   月 ） 的   W i n d o w s   1 0   ( x 6 4 )   2 1 H 1 （ 操 作 系 统 内 部 版 本   1 9 0 4 3 . 9 8 5 ） 以 下 分 析 是 在   n t o s k r n l . e x e   1 0 . 0 . 1 9 0 4 1 . 8 6 7 （ 即 ： W i n d o w s   1 0   2 0 H 2   与   2 0 2 1   年   3   月 更 新 ） 上 完 成 的 。 技 术 细 节 技 术 细 节 更 新 周 期 性 捕 获 状 态 的 请 求 与 N t T r a c e C o n t r o l ( ) 函 数 一 起 发 送 ， 函 数 代 码 为   0 x 2 5   并 遵 循 输 入 缓 冲 区 格 式 。 总 共 需 要   3   次 更 新 定 期 捕 获 状 态 的 请 求 才 能 触 发 释 放 后 使 用 漏 洞 。 在 第 一 个 请 求 中 ： n t o s k r n l   首 先 检 索 P V O I D   L o g g e r C o n t e x t 对 应 的 L o g g e r I d   2 .   然 后 它 确 保 所 有 G u i d s [ ] 在   t h i s   中 都 有 通 知 访 问 权 限 L o g g e r C o n t e x t 。 接 下 来 ， 它 为 P e r i o d i c C a p t u r e S t a t e T i m e r C a l l b a c k ( ) 计 时 器 回 调 例 程 及 其 回 调 上 下 文 参 数 分 配 一 个 计 时 器 对 象 ， 即 C O N T E X T I N F O   T i m e r C o n t e x t I n f o 带 有 E t w U 池 标 记 的   0 x 3 0   字 节 对 象 ， 保 存 引 用 并 激 活 它 。 t y p e d e f   s t r u c t   _ E T W _ U P D A T E _ P E R I O D I C _ C A P T U R E _ S T A T E { U L O N G       L o g g e r I d ; U L O N G       D u e T i m e ;     / / s y s t e m   t i m e   u n i t s   ( 1 0 0 - n a n o s e c o n d   i n t e r v a l s ) U L O N G       N u m O f G u i d s ; G U I D       G u i d s [ A N Y S I Z E _ A R R A Y ] ; }   E T W _ U P D A T E _ P E R I O D I C _ C A P T U R E _ S T A T E ,   *   P E T W _ U P D A T E _ P E R I O D I C _ C A P T U R E _ S T A T E ;                                                                 E T W _ U P D A T E _ P E R I O D I C _ C A P T U R E _ S T A T E   I n B u f f 1   =   {   2 ,   0 ,   1 ,   { G U I D ( {   0 x F 5 2 6 A D 2 F ,   0 x 5 7 F 9 ,   0 x 5 3 3 6 ,   { 0 x 9 6 ,   0 x 3 7 ,   0 x 5 C ,   0 x 2 E ,   0 x 5 4 ,   0 x F 8 ,   0 x 7 E ,   0 x 9 C }   } ) }   } ;       t y p e d e f   s t r u c t   _ C O N T E X T I N F O         {                 W O R K _ Q U E U E _ I T E M       W o r k I t e m ;                 U L O N G 6 4             U n k n o w n ;                 U S H O R T             L o g g e r I d ;                 U C H A R             P a d d i n g [ 6 ] ;         }   C O N T E X T I N F O ,   * P C O N T E X T I N F O ;         _ _ i n t 6 4   _ _ f a s t c a l l   E t w p U p d a t e P e r i o d i c C a p t u r e S t a t e ( u n s i g n e d   i n t   L o g g e r I d ,   u n s i g n e d   i n t   D u e T i m e ,   u n s i g n e d   _ _ i n t 1 6   N u m O f G u i d s ,   G U I D   * G u i d s )
该 P e r i o d i c C a p t u r e S t a t e T i m e r C a l l b a c k ( ) 例 程 只 是 将 S e n d C a p t u r e S t a t e N o t i f i c a t i o n s W o r k e r ( P C O N T E X T I N F O   T i m e r C o n t e n t I n f o )   回 调 例 程 作 为 系 统 工 作 队 列 的 工 作 项 排 入 队 列 。 最 后 ， S e n d C a p t u r e S t a t e N o t i f i c a t i o n s W o r k e r ( ) 例 程 将 构 建 通 知 数 据 包 并 将 其 发 送 给 所 有 G u i d s [ ] . 在 第 二 个 请 求 中 ： 但 是 ， 这 一 次 ， 如 果 其 中 任 何 一 个 G u i d s [ ] 在 检 索 L o g g e r C o n t e x t 到 的   中 没 有 通 知 访 问 权 限 ， 则 继 续 重 置 L o g g e r C o n t e x t - > N u m O f G u i d s 为   0 。         {                       . . . / / i f   t h e r e   i s   n o   s a v e d   t i m e r   o b j e c t   r e f e r e n c e ,   t h e n   a l l o c a t e   a   n e w   i n s t a n c e . . . i f   (   ! L o g g e r C o n t e x t _ - > E x T i m e r O b j e c t   )                 {                 T i m e r C o n t e x t I n f o   =   ( C O N T E X T I N F O   * ) E x A l l o c a t e P o o l W i t h T a g ( N o n P a g e d P o o l N x ,   0 x 3 0 u i 6 4 ,   ' U w t E ' ) ; / / a l l o c a t e   C O N T E X T I N F O   o b j e c t                 T i m e r C o n t e x t I n f o _   =   T i m e r C o n t e x t I n f o ; i f   (   ! T i m e r C o n t e x t I n f o   ) g o t o   R E T U R N _ E R R O R _ C 0 0 0 0 0 1 7 ;                 T i m e r C o n t e x t I n f o - > L o g g e r I d   =   L o g g e r I d ; / / I n B u f f 1 . L o g g e r I d                 T i m e r C o n t e x t I n f o - > U n k n o w n   =   v 2 2 ;                 T i m e r C o n t e x t I n f o - > W o r k I t e m . W o r k e r R o u t i n e   =   S e n d C a p t u r e S t a t e N o t i f i c a t i o n s W o r k e r ; / / p o i n t e r   o f   w o r k e r   f u n c t i o n                 T i m e r C o n t e x t I n f o - > W o r k I t e m . P a r a m e t e r   =   T i m e r C o n t e x t I n f o ; / / i n p u t   p a r a m e t e r   f o r   w o r k e r   f u n c t i o n                 T i m e r C o n t e x t I n f o - > W o r k I t e m . L i s t . F l i n k   =   0 i 6 4 ;                 L o g g e r C o n t e x t _ - > E x T i m e r O b j e c t   =   E x A l l o c a t e T i m e r ( ( P E X T _ C A L L B A C K ) P e r i o d i c C a p t u r e S t a t e T i m e r C a l l b a c k ,   T i m e r C o n t e x t I n f o ,   8 u ) ; / / s a v e   t i m e r   r e f                 }                 E x T i m e r O b j e c t   =   ( P E X _ T I M E R ) L o g g e r C o n t e x t _ - > E x T i m e r O b j e c t ;                 L o g g e r C o n t e x t _ - > D u e T i m e   =   0 x F F F F F F F F F F 6 7 6 9 8 0 u i 6 4   *   D u e T i m e ;                 E x S e t T i m e r ( ( U L O N G _ P T R ) E x T i m e r O b j e c t ) ; / / D u e T i m e   =   I n B u f f 1 . D u e T i m e   *   F F F F F F F F F F 6 7 6 9 8 0 h                 L O D W O R D ( L o g g e r C o n t e x t _ - > E x T i m e r S t a t e )   =   1 ; g o t o   R E T U R N _ 1 ;                 . . .         R E T U R N _ 1 : i f   (   ( _ I n t e r l o c k e d E x c h a n g e A d d 6 4 ( p L o c k ,   0 x F F F F F F F F F F F F F F F F u i 6 4 )   &   6 )   = =   2   )                         E x f T r y T o W a k e P u s h L o c k ( p L o c k ) ;                 K e A b P o s t R e l e a s e ( ( U L O N G _ P T R ) p L o c k ) ;         R E T U R N _ 2 :                 E t w p R e l e a s e L o g g e r C o n t e x t ( L o g g e r C o n t e x t _ ,   0 i 6 4 ) ; r e t u r n   ( u n s i g n e d   i n t ) r e s _ E t w p C h e c k N o t i f i c a t i o n A c c e s s ;                         }                                                   E T W _ U P D A T E _ P E R I O D I C _ C A P T U R E _ S T A T E   I n B u f f 2   =   {   2 ,   0 ,   1 ,   { G U I D ( {   0 x 6 0 D 2 0 1 F 4 ,   0 x 7 4 1 E ,   0 x 4 7 9 2 ,   { 0 x B 5 ,   0 x B 3 ,   0 x 6 7 ,   0 x 3 F ,   0 x C 6 ,   0 x C 2 ,   0 x 5 B ,   0 x 3 B }   } ) }   } ;         _ _ i n t 6 4   _ _ f a s t c a l l   E t w p U p d a t e P e r i o d i c C a p t u r e S t a t e ( u n s i g n e d   i n t   L o g g e r I d ,   u n s i g n e d   i n t   D u e T i m e ,   u n s i g n e d   _ _ i n t 1 6   N u m O f G u i d s ,   G U I D   * G u i d s ) {                       . . .                 {                 . . .         F R E E _ P O O L S _ A N D _ R E S E T :                                 G u i d s P o o l   =   ( v o i d   * ) L o g g e r C o n t e x t _ - > G u i d s P o o l ; i f   (   G u i d s P o o l   )                 {                         E x F r e e P o o l W i t h T a g ( G u i d s P o o l ,   0 ) ;                         L o g g e r C o n t e x t - > G u i d s P o o l   =   0 i 6 4 ;
到 这 个 时 候 ， D u e T i m e 应 该 已 经 过 期 并 且 S e n d C a p t u r e S t a t e N o t i f i c a t i o n s W o r k e r ( ) 工 作 例 程 被 调 用 。 该 例 程 类 似 地 首 先 检 索 相 应 的 L o g g e r C o n t e x t .   并 且 由 于 L o g g e r C o n t e x t - > N u m O f G u i d s 已 被 第 二 个 请 求 重 置 ， 该 例 程 将 不 会 执 行 其 任 何 预 期 任 务 。 相 反 ， 它 会 立 即 释 放 其 输 入 参 数 ； 该 P C O N T E X T I N F O   T i m e r C o n t e x t I n f o 池 。                         L o g g e r C o n t e x t - > G u i d s P o o l   =   0 i 6 4 ;                         L O W O R D ( L o g g e r C o n t e x t - > N u m O f G u i d s )   =   0 ;                 }                 . . .                 } i f   (   ( _ D W O R D ) N u m O f G u i d s _   )                 { w h i l e   (   1   ) / / l o o p   t o   e n s u r e   a l l   G u i d s [ ]   h a v e   n o t i f i c a t i o n - a c c e s s   r i g h t s                 {                         r e s _ E t w p C h e c k N o t i f i c a t i o n A c c e s s   =   E t w p C h e c k N o t i f i c a t i o n A c c e s s (                                                                                                 & G u i d s [ v 4 ] . D a t a 1 ,                                                                                                 ( _ _ i n t 6 4 ) & L o g g e r C o n t e x t _ - > f i e l d _ 0 [ 0 x 1 2 4 ] ) ; i f   (   r e s _ E t w p C h e c k N o t i f i c a t i o n A c c e s s   <   0   ) b r e a k ; i f   (   + + v 4   > =   ( i n t ) N u m O f G u i d s _   ) g o t o   A L L _ G U I D S _ H A V E _ N O T I F I C A T I O N _ A C C E S S _ O K ;                 }                 r e s _ E t w p C h e c k N o t i f i c a t i o n A c c e s s   =   0 x C 0 0 0 0 0 2 2 ;                 v 8   =   0 ; g o t o   F R E E _ P O O L S _ A N D _ R E S E T ;                 }         A L L _ G U I D S _ H A V E _ N O T I F I C A T I O N _ A C C E S S _ O K :                 . . .         }         v o i d   _ _ f a s t c a l l   S e n d C a p t u r e S t a t e N o t i f i c a t i o n s W o r k e r ( C O N T E X T I N F O   * T i m e r C o n t e x t I n f o )         {         . . . i f   (   T i m e r C o n t e x t I n f o   )         {                 L o g g e r C o n t e x t   =   ( L O G G E R C O N T E X T   * ) E t w p A c q u i r e L o g g e r C o n t e x t B y L o g g e r I d (                                                                                 T i m e r C o n t e x t I n f o - > U n k n o w n ,                                                                                 L O W O R D ( T i m e r C o n t e x t I n f o - > L o g g e r I d ) , 0 ) ; i f   (   L o g g e r C o n t e x t   )                 {                 p L o c k   =   & L o g g e r C o n t e x t - > L o c k ;                 E x A c q u i r e P u s h L o c k E x c l u s i v e E x ( ( U L O N G _ P T R ) & L o g g e r C o n t e x t - > L o c k ,   0 i 6 4 ) ;                 L O D W O R D ( L o g g e r C o n t e x t _ _ - > E x T i m e r S t a t e )   =   0 ; i f   (   * ( _ D W O R D   * ) & L o g g e r C o n t e x t _ _ - > f i e l d _ 0 [ 3 3 6 ]   )                 { / / t h i s   b r a n c h   i s   t h e   m a i n   f u n c t i o n a l i t y   o f   S e n d C a p t u r e S t a t e N o t i f i c a t i o n s W o r k e r ( )   w o r k e r   r o u t i n e . . .                         N u m O f G u i d s   =   L O W O R D ( L o g g e r C o n t e x t _ _ - > N u m O f G u i d s ) ; i f   (   ( _ W O R D ) N u m O f G u i d s   ) / / . . . w h i c h   w i l l   b e   e x e c u t e d   w h e n   L o g g e r C o n t e x t - > N u m O f G u i d s   >   0                         {                         . . . i f   (   ( i n t ) E t w p B u i l d N o t i f i c a t i o n P a c k e t ( v 1 0 ,   v 2 3 ,   v 1 5 ,   & v 1 9 )   > =   0   )                                                                 {                                                                         E t w p S e n d D a t a B l o c k ( v 1 2 ,   v 1 9 ) ;                                                                         E t w p U n r e f e r e n c e D a t a B l o c k ( v 1 9 ) ;
在 第 三 个 也 是 最 后 一 个 请 求 中 ： n t o s k r n l   的 执 行 与 第 一 个 数 据 包 类 似 。 除 了 这 一 次 ， 因 为 在   中 保 存 了 计 时 器 对 象 的 引 用 L o g g e r C o n t e x t _ - > E x T i m e r ， 之 前 释 放 的 C O N T E X T I N F O   T i m e r C o n t e x t I n f o 池 将 被 重 用 以 启 动 新 的 计 时 器 操 作 E x S e t T i m e r ( ) 。 随 后 ， 释 放 的 池 被 引 用 ， 导 致 蓝 屏 死 机 。 再 次 引 用 已 释 放 池 有 以 下 三 种 常 见 情 况 ： 在   中 的 工 作 项 验 证 期 间 E x Q u e u e W o r k I t e m ( ) ， 导 致   B S O D   错 误 检 查 代 码   E 4   ( W O R K E R _ I N V A L I D ) 在 S e n d C a p t u r e S t a t e N o t i f i c a t i o n s W o r k e r ( )   工 作 程 序 中 再 次 释 放 ， 导 致   B S O D   错 误 检 查 代 码   1 3 A   ( K E R N E L _ M O D E _ H E A P _ C O R R U P T I O N ) 已 为 释 放 池 重 新 分 配 的 其 他 无 关 代 码 ， 导 致   B S O D   错 误 检 查 代 码   5 0   ( P A G E _ F A U L T _ I N _ N O N P A G E D _ A R E A ) 值 得 注 意 的 是 ， 有 时 ， 该 L o g g e r I d 值 必 须 为   3   而 不 是   2   才 能 触 发 漏 洞 。 开 发 策 略 开 发 策 略 主 要 的 利 用 计 划 是 回 收 释 放 的   0 x 3 0   字 节 池 并 用 受 控 字 节 覆 盖 它 。 这 将 允 许 我 们 控 制 回 调 函 数 指 针 及 其 对 应 的 参 数 指 针 。 尽 管 大 多 数 堆 喷 射 技 术 分 配 的 池 大 小 大 于   0 x 3 0   字 节 ， 但 没 有 必 要 像 这 些 技 术 那 样 保 持 池 分 配 。 换 句 话 说 ， 如 果 可 以 分 配 一 个   0 x 3 0   字 节 的 池 ， 写 入 它 的 内 容 就 足 够 了 ， 只 要 缓 冲 区 没 有 被 其 他 模 块 重 新 分 配 ， 随 后 是 否 释 放 缓 冲 区 就 没 有 关 系 。 幸 运 的 是 ， 有 一 些   N t   函 数 允 许 我 们 这 样 做 。 接 下 来 ， 我 们 必 须 找 到 一 个 设 置 S E _ D E B U G _ P R I V I L E G E 令 牌 位 的 小 工 具 函 数 ， 条 件 是 它 只 接 受   1   个 指 针 参 数 。 幸 运 的 是 ， 经 过 一 些 逆 向 工 程 ， 发 现 （ 给 魏 磊 的 帽 子 提 示 ） R t l S e t A l l B i t s ( ) t o   函 数 是 完 美 的 候 选 者 ； 它 需 要 一 个 R T L _ B I T M A P   B i t M a p H e a d e r 结 构 指 针 并 相 应 地 设 置 位 。 但 是 ， 由 于 系 统 线 程 正 在 执 行 回 调 函 数 ， 因 此 R T L _ B I T M A P   B i t M a p H e a d e r 必 须 在 内 核 中 分 配 该 结 构 。 否 则 ， 超 级 用 户 模 式 访 问 保 护   ( S M A P )   将 进 行 错 误 检 查 。 要 解 决 此 问 题 ， 可 以 将 结 构 （ 加 上 填 充 ） 设 置 为 线 程 名 称 ， 并 且 可 以 使 用 N t Q u e r y S y s t e m I n f o r m a t i o n ( S y s t e m B i g P o o l I n f o r m a t i o n ) [ 1 ] 泄 漏 其 池 地 址 。 最 后 ， 小 工 具 功 能 和 过 程 标 记 指 针 可 与 广 泛 使 用 的 泄 露 N t Q u e r y S y s t e m I n f o r m a t i o n ( S y s t e m M o d u l e I n f o r m a t i o n ) 和 N t Q u e r y S y s t e m I n f o r m a t i o n ( S y s t e m H a n d l e I n f o r m a t i o n ) 技 术 。 总 而 言 之 ， 利 用 步 骤 是 ： 总 而 言 之 ， 利 用 步 骤 是 ： 1 .   泄 漏   n t o s k r n l . e x e   的 内 核 基 地 址   N t Q u e r y S y s t e m I n f o r m a t i o n ( S y s t e m M o d u l e I n f o r m a t i o n )                                                                 }                                 . . . i f   (   L O W O R D ( L o g g e r C o n t e x t _ _ - > N u m O f G u i d s )   & &   ! L O D W O R D ( L o g g e r C o n t e x t _ _ - > E x T i m e r S t a t e )   )                                 {                                 E x S e t T i m e r ( L o g g e r C o n t e x t _ _ - > E x T i m e r ) ;                                 L O D W O R D ( L o g g e r C o n t e x t _ _ - > E x T i m e r S t a t e )   =   1 ;                                 v 2   =   1 ;                                 }                                                         . . .                         . . .                         }         / /   e n d   o f   " N u m O f G u i d s "   c o n d i t i o n                 }         / /   e n d   o f   " L o g g e r C o n t e x t _ _ - > f i e l d _ 0 [ 3 3 6 ] "   c o n d i t i o n i f   (   ( _ I n t e r l o c k e d E x c h a n g e A d d 6 4 ( p L o c k ,   0 x F F F F F F F F F F F F F F F F u i 6 4 )   &   6 )   = =   2   )                         E x f T r y T o W a k e P u s h L o c k ( p L o c k ) ;                 K e A b P o s t R e l e a s e ( ( U L O N G _ P T R ) p L o c k ) ;                 E t w p R e l e a s e L o g g e r C o n t e x t ( L o g g e r C o n t e x t _ _ ,   0 i 6 4 ) ; i f   (   v 2   ) / / v 2   i s   s e t   w h e n   m a i n   f u n c t i o n a l i t y   i s   e x e c u t e d ,   a n d   h e n c e   T i m e r C o n t e x t I n f o   p o o l   i s   s t i l l   i n - u s e d . . . r e t u r n ; g o t o   L A B E L _ 3 1 ; / / . . . o t h e r w i s e ,   T i m e r C o n t e x t I n f o   p o o l   i s   f r e e d                 }         }         L A B E L _ 3 1 :         E x F r e e P o o l W i t h T a g ( T i m e r C o n t e x t I n f o ,   0 ) ;         } E T W _ U P D A T E _ P E R I O D I C _ C A P T U R E _ S T A T E   I n B u f f 3   =   {   2 ,   0 ,   1 ,   { G U I D ( {   0 x F 5 2 6 A D 2 F ,   0 x 5 7 F 9 ,   0 x 5 3 3 6 ,   { 0 x 9 6 ,   0 x 3 7 ,   0 x 5 C ,   0 x 2 E ,   0 x 5 4 ,   0 x F 8 ,   0 x 7 E ,   0 x 9 C }   } ) }   } ;
2 .   获 取 R t l S e t A l l b i t s ( ) n t o s k r n l . e x e   中 的 函 数 偏 移 量 3 .   泄 漏 当 前 进 程 令 牌 地 址   N t Q u e r y S y s t e m I n f o r m a t i o n ( S y s t e m H a n d l e I n f o r m a t i o n ) 4 .   设 置 一 个 虚 假 的 R T L _ B I T M A P   F a k e B i t M a p H e a d e r 线 程 名 称 并 泄 漏 其 内 核 池 地 址 N t Q u e r y S y s t e m I n f o r m a t i o n ( S y s t e m B i g P o o l I n f o r m a t i o n ) 5 .   分 配 C O N T E X T I N F O   F a k e C o n t e x t I n f o 具 有 以 下 条 件 的 假 结 构 ： F a k e C o n t e x t I n f o - > W o r k I t e m . L i s t . F l i n k =   0 （ 这 样 当 前 W o r k I t e m 将 被 验 证 和 入 队 ） F a k e C o n t e x t I n f o - > W o r k I t e m . W o r k e r R o u t i n e = n t o s k r n l 基 地 址   + R t l S e t A l l B i t s ( ) 偏 移 量 F a k e C o n t e x t I n f o - > W o r k I t e m . P a r a m e t e r   =   R T L _ B I T M A P   F a k e B i t M a p H e a d e r 6 . 发 送 第 一 个 N t T r a c e C o n t r o l ( 0 x 2 5 ) 请 求 以 触 发 真 实 C O N T E X T I N F O   C o n t e x t I n f o 池 的 分 配 7 . 发 送 第 二 个 N t T r a c e C o n t r o l ( 0 x 2 5 ) 请 求 以 触 发 免 费 的 真 实 C O N T E X T I N F O   C o n t e x t I n f o 池 8 . 回 收 并 覆 盖 释 放 的 池   F a k e C o n t e x t I n f o 9 . 发 送 第 三 个 N t T r a c e C o n t r o l ( 0 x 2 5 ) 请 求 以 触 发 （ 重 新 ） 使 用   F a k e C o n t e x t I n f o ， 以 启 用 当 前 进 程 令 牌 的   S E _ D E B U G _ P R I V I L E G E 1 0 . 注 入 s h e l l c o d e w i n l o g o n . e x e 创 建 一 个 S Y S T E M c m d . e x e 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理