搜索

[10993] 2017-02-05_如何绕过Windows10的CFG机制

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2017-02-05_如何绕过Windows10的CFG机制 如 何 绕 过 W i n d o w s   1 0 的 C F G 机 制 鸢 尾   F r e e B u f   2 0 1 7 - 0 2 - 0 5 前 言 前 言 本 文 来 源 于 我 在 本 文 来 源 于 我 在 2 0 1 6 年 年 7 月 的 研 究 结 论 ， 由 于 各 种 原 因 现 在 才 能 发 布 。 月 的 研 究 结 论 ， 由 于 各 种 原 因 现 在 才 能 发 布 。 2 0 1 6 年 年 6 月 ， 月 ， T h e o r i 曾 发 表 了 一 篇 关 于 曾 发 表 了 一 篇 关 于 M S 1 6 - 0 6 3 中 修 中 修 补 了 的 补 了 的 I E 漏 洞 分 析 ， 文 中 发 布 的 漏 洞 分 析 ， 文 中 发 布 的 e x p l o i t 则 仅 是 针 对 则 仅 是 针 对 W i n d o w s 7 上 的 上 的 I E   1 1 版 本 ， 此 外 由 于 版 本 ， 此 外 由 于 W i n d o w s   1 0 采 用 了 采 用 了 C F G 机 制 所 以 无 法 机 制 所 以 无 法 对 对 W i n d o w s   1 0 机 器 进 行 利 用 。 机 器 进 行 利 用 。 而 本 文 就 描 述 了 我 是 如 何 在 W i n d o w s   1 0 下 绕 过 C F G 并 进 行 利 用 的 。 事 实 上 我 还 发 现 了 另 一 种 方 法 ， 会 在 接 下 来 的 一 篇 文 章 中 提 到 。 了 解 了 解 C F G 控 制 流 保 护 （ C o n t r o l   F l o w   G u a r d ， C F G ） 是 微 软 在 W i n d o w s   8 . 1   u p d a t e   3 和 W i n d o w s   1 0 下 实 现 的 一 个 保 护 机 制 ， 用 以 保 护 在 汇 编 层 下 的 直 接 调 用 。 趋 势 科 技 分 享 的 一 篇 W i n d o w s   1 0 如 何 实 现 C F G 的 分 析 文 章 很 不 错 。 虽 说 目 前 已 有 数 种 公 开 的 C F G 绕 过 方 法 ， 但 是 这 些 方 法 大 多 是 针 对 C F G 的 实 现 算 法 ， 而 我 想 从 功 能 的 薄 弱 点 入 手 。 T h e o r i 在 其 博 文 中 讲 到 由 于 C F G 机 制 ， 无 法 成 功 在 W i n d o w s   7 上 成 功 利 用 ， 接 下 来 就 让 我 们 来 细 究 一 二 ， 然 后 尝 试 绕 过 它 。 T h e o r i 分 享 的 利 用 代 码 在 W i n d o w s   1 0 的 I E 下 执 行 ， 直 到 调 用 虚 函 数 表 后 被 重 写 。 所 以 剩 下 的 问 题 便 是 ， 我 们 如 何 利 用 任 意 读 写 来 绕 过 C F G 。 根 据 趋 势 科 技 的 研 究 ， 函 数 L d r V a l i d a t e U s e r C a l l T a r g e t 调 用 C F G 验 证 函 数 是 否 有 效 使 用 了 间 接 调 用 ， 如 下 图 所 示 ： 加 载 到 E D X 中 的 指 针 是 验 证 b i t m a p 的 基 本 指 针 ， 在 本 例 为 ： 之 后 经 过 验 证 的 函 数 将 其 地 址 加 载 到 E C X ， 以 k e r n e l 3 2 ！ V i r t u a l P r o t e c t S t u b 作 为 例 子 ， 那 么 地 址 则 为 ： 接 着 地 址 向 右 偏 移 8 位 ， 用 以 加 载 存 储 着 验 证 位 ( v a l i d a t i o n   b i t ) 的 D W O R D 值 ： 函 数 地 址 右 移 3 位 ， 然 后 执 行 位 测 试 ， 实 质 上 对 偏 移 地 址 进 行 0 × 2 0 模 操 作 。 然 后 利 用 验 证 的 b i t m a p 对 D W O R D 进 行 检 测 ： 所 以 相 关 的 位 都 在 偏 移 地 址 0 × 1 4 ：
这 也 就 是 说 它 是 有 效 的 ， V i r t u a l P r o t e c t 存 在 有 效 调 用 地 址 ， 然 而 它 的 参 数 也 必 须 由 攻 击 者 提 供 ， 所 以 我 们 还 得 再 接 再 厉 。 通 常 情 况 是 在 R O P 链 中 完 成 ， 但 所 有 不 是 从 函 数 开 始 的 字 节 都 是 无 效 的 ， 因 此 解 决 方 案 是 找 到 一 个 在 被 调 用 参 数 是 可 以 控 制 的 函 数 ， 且 函 数 的 功 能 可 以 给 攻 击 者 提 供 便 利 。 在 在 W i n d o w s   1 0 中 利 用 中 利 用 T h e o r i 提 供 的 e x p l o i t ， 代 码 执 行 是 以 s t a c k   p i v o t 重 写 T y p e d A r r a y 的 虚 函 数 表 。 由 于 排 除 掉 其 他 可 能 性 ， 细 究 T y p e d A r r a y 提 供 的 函 数 还 是 很 不 错 的 ， 以 下 两 个 函 数 就 比 较 有 趣 ： 偏 移 地 址 分 别 为 0 x 7 c 和 0 × 1 8 8 ， 他 们 能 从 j a v a s c r i p t 代 码 中 直 接 调 用 ， 而 且 H a s I t e m 有 个 可 以 控 制 的 参 数 ， 与 此 同 时 S u b a r r a y 存 在 两 个 用 户 可 控 制 的 参 数 ， 然 而 问 题 是 它 们 都 不 返 回 除 布 尔 值 之 外 的 任 何 数 据 。 之 后 的 问 题 便 是 ， 我 们 该 选 择 哪 个 函 数 来 进 行 覆 盖 。 此 外 选 择 的 函 数 必 须 提 供 相 同 数 量 的 参 数 ， 否 则 在 返 回 时 会 导 致 堆 栈 不 平 衡 而 引 发 异 常 。 我 要 找 的 A P I 应 该 是 可 以 向 堆 栈 加 载 一 个 指 针 用 以 覆 盖 返 回 地 址 ， 从 而 绕 过 C F G 。 我 找 到 的 A P I 为 R t l C a p t u r e C o n t e x t ， 在 k e r n e l 3 2 . d l l 、 k e r n e l b a s e . d l l 和 n t d l l . d l l 中 都 有 调 用 ， 这 个 A P I 有 一 个 指 向 C O N T E X T 结 构 的 参 数 ： C O N T E X T 结 构 保 存 了 转 储 的 包 含 E S P 的 所 有 寄 存 器 ， 此 外 输 入 值 仅 仅 为 一 个 可 容 纳 数 据 的 指 向 缓 冲 区 的 指 针 。 如 下 为 T y p e d A r r a y 对 象 的 布 局 ： 第 一 个 D W O R D 值 是 虚 函 数 表 指 针 ， 其 能 够 被 覆 盖 偏 移 地 址 0 x 7 c 处 的 A P I   R t l C a p t u r e C o n t e x t 的 地 址 ， 然 后 创 建 一 个 假 的 虚 函 数 表 。 同 时 偏 移 地 址 0 × 2 0 下 的 D W O R D 是 T y p e d A r r a y 用 以 指 向 实 际 数 据 的 指 针 ： 由 于 它 依 旧 可 能 泄 漏 缓 冲 区 地 址 ， 我 们 就 将 其 充 当 为 R t l C a p t u r e C o n t e x t 的 参 数 。 为 了 构 造 假 的 虚 函 数 表 ， 必 须 在 偏 移 地 址 0 x 7 c 处 创
建 一 个 指 针 指 向 n t d l l ! R t l C a p t u r e C o n t e x t ， 这 意 味 着 泄 漏 了 R t l C a p t u r e C o n t e x t 地 址 ， 也 即 n t d l l . d l l 的 地 址 也 泄 漏 了 。 执 行 的 默 认 路 径 需 要 使 用 一 个 指 向 j s c r i p t 9 . d l l 的 指 针 的 虚 表 地 址 ： 从 该 指 针 向 上 迭 代 0 × 1 0 0 0 个 字 节 搜 索 M Z 头 ， 之 后 查 找 到 指 向 k e r n e l b a s e . d l l 的 导 入 表 。 然 后 使 用 同 样 的 方 法 找 到 k e r n e l b a s e . d l l 的 基 址 ， 接 着 找 到 n t d l l . d l l 的 导 入 表 指 针 并 再 次 获 得 其 基 址 ， 最 后 从 导 出 函 数 中 找 到 R t l C a p t u r e C o n t e x t 。 尽 管 这 个 方 法 是 有 效 的 但 是 有 个 缺 陷 ， 如 果 系 统 中 装 了 E M E T ， 会 触 发 来 自 j s c r i p t 9 . d l l 的 代 码 崩 溃 ， 因 为 从 P E 头 或 导 出 表 读 取 数 据 是 不 被 允 许 的 ， 为 了 绕 过 E M E T 我 使 用 了 另 外 的 技 术 。 记 住 C F G 会 保 护 所 有 的 间 接 调 用 ， 由 于 j s c r i p t 9 . d l l 的 函 数 被 C F G 保 护 了 ， 所 以 不 能 调 用 直 接 指 向 n t d l l 的 函 数 。 偏 移 地 址 0 × 1 0 下 就 有 一 个 这 样 的 函 数 ： 使 用 读 操 作 ， 能 通 过 以 下 函 数 找 到 指 向 n t d l l . d l l 的 指 针 ： 通 过 一 个 指 向 n t d l l . d l l 的 指 针 得 到 R t l C a p t u r e C o n t e x t 的 地 址 ， 这 一 步 可 以 不 通 过 查 找 导 出 表 而 是 通 过 搜 索 签 名 或 者 h a s h 完 成 。 R t l C a p t u r e C o n t e x t 内 容 如 下 ：
前 0 × 3 0 字 节 保 持 不 变 且 看 来 相 当 的 独 特 。 如 下 所 示 当 把 他 们 整 合 在 一 起 时 ， 将 其 作 为 不 受 限 制 的 哈 希 碰 撞 ： 函 数 可 以 使 用 指 向 n t d l l . d l l 的 指 针 作 为 参 数 。 接 着 将 其 全 都 整 合 到 一 起 ： 缓 冲 区 偏 移 地 址 0 × 2 0 0 包 含 了 来 自 R t l C a p t u r e C o n t e x t 返 回 的 结 果 ：
从 上 面 可 以 清 楚 地 看 出 堆 栈 指 针 被 泄 漏 ， 现 在 我 们 需 要 找 到 一 个 能 执 行 控 制 的 地 址 用 以 进 行 重 写 。 注 意 堆 栈 顶 部 ： 这 就 是 当 前 函 数 的 返 回 地 址 。 运 气 不 要 太 好 ， 该 偏 移 地 址 与 其 他 简 单 函 数 将 是 相 同 的 ， 所 以 可 以 进 行 写 入 并 使 其 覆 盖 其 返 回 地 址 ， 从 而 绕 过 C F G 。 利 用 补 充 如 下 ： 运 行 时 显 示 E I P 控 制 ： 此 外 在 偏 移 地 址 0 × 4 0 和 0 × 4 4 的 写 入 现 在 位 于 栈 顶 ， 其 允 许 创 建 s t a c k   p i v o t 于 是 获 得 R O P 链 ， 接 下 来 就 是 使 用 P O P   E A X   g a d g e t ， 随 后 使 用 X C H G   E A X ， E S P   g a d g e t 。 解 决 方 案 解 决 方 案 然 而 微 软 表 示 ， 通 过 损 坏 堆 栈 上 的 返 回 地 址 以 绕 过 C F G 是 一 个 已 知 的 设 计 限 制 ， 因 此 无 法 领 取 任 何 种 类 的 赏 金 ， 如 下 所 示 ： 说 了 这 么 多 ， 微 软 做 了 两 个 事 情 来 解 决 这 个 问 题 ， 首 先 在 W i n d o w s   1 0 即 将 到 来 的 版 本 中 ， 将 引 进 R F G 机 制 （ R e t u r n   F l o w   G u a r d ） ， 防 止 通 过 损 坏 堆 栈 以 获 取 执 行 控 制 的 方 式 。 其 次 便 是 在 W i n d o w s   1 0 的 周 年 版 发 布 中 引 入 敏 感 的 A P I 的 介 绍 ， 它 仅 保 护 微 软 E d g e 。 虽 然 对 于 本 例 来 说 没 有 什 么 帮 助 ， 但 是 他 能 限 制 微 软 E d g e 中 的 R t l C a p t u r e C o n t e x t   A P I 。 P o c 代 码 可 以 在 这 找 到 ： h t t p s : / / g i t h u b . c o m / M o r t e n S c h e n k / R t l C a p t u r e C o n t e x t - C F G - B y p a s s * 参 考 来 源 ： i m p r o s e c ， F B 小 编 鸢 尾 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理