搜索

[13609] 2019-01-03_Windows0day任意文件读取漏洞POC分析

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-01-03_Windows0day任意文件读取漏洞POC分析 W i n d o w s   0 d a y 任 意 文 件 读 取 漏 洞 P O C 分 析 m a r k y u   F r e e B u f   2 0 1 9 - 0 1 - 0 3 漏 洞 名 称 漏 洞 名 称 W i n d o w s 任 意 文 件 读 取 漏 洞 简 介 漏 洞 简 介 1 2 月 月 2 0 日 ， 国 外 安 全 研 究 员 日 ， 国 外 安 全 研 究 员   S a n d b o x E s c a p e r 又 一 次 在 推 特 上 公 布 了 新 的 又 一 次 在 推 特 上 公 布 了 新 的 W i n d o w s   0   d a y 漏 洞 细 节 及 漏 洞 细 节 及 P o C 。 这 是 。 这 是 2 0 1 8 年 年 8 月 开 始 该 研 究 员 公 布 的 第 三 个 月 开 始 该 研 究 员 公 布 的 第 三 个 w i n d o w s   0   d a y 漏 洞 。 此 次 披 露 的 漏 洞 可 造 成 任 意 文 件 读 取 。 该 漏 洞 可 允 漏 洞 。 此 次 披 露 的 漏 洞 可 造 成 任 意 文 件 读 取 。 该 漏 洞 可 允 许 低 权 限 用 户 或 恶 意 程 序 读 取 目 标 许 低 权 限 用 户 或 恶 意 程 序 读 取 目 标 W i n d o w s 主 机 上 任 意 文 件 的 内 容 ， 但 不 可 对 文 件 进 行 写 入 操 作 。 从 放 出 的 主 机 上 任 意 文 件 的 内 容 ， 但 不 可 对 文 件 进 行 写 入 操 作 。 从 放 出 的 P O C 代 码 看 ， 在 微 软 官 方 补 丁 发 布 之 前 ， 所 有 代 码 看 ， 在 微 软 官 方 补 丁 发 布 之 前 ， 所 有 w i n d o w s 用 户 都 将 受 此 漏 洞 影 响 。 用 户 都 将 受 此 漏 洞 影 响 。 漏 洞 本 质 漏 洞 本 质 T i m e   o f   C h e c k   V e r s u s   T i m e   o f   U s e   （ T O C T O U ） T O C T O U 原 理 原 理 该 漏 洞 主 要 原 理 为 应 用 运 行 的 过 程 中 ， 在 某 个 操 作 之 前 ， 比 如 读 文 件 ， 都 会 检 查 一 下 文 件 是 否 存 在 与 是 否 具 有 权 限 ， 在 检 查 与 真 正 的 读 取 之 间 的 间 隔 就 是 一 个 可 以 被 利 用 的 竞 争 条 件 （ R a c e   C o n d i t i o n ） ， 在 这 个 间 隔 中 我 们 可 以 将 需 要 越 权 读 取 的 文 件 替 换 成 自 己 的 文 件 ， 使 其 检 查 过 程 通 过 ， 这 样 就 可 以 越 权 读 取 其 他 用 户 的 文 件 。 漏 洞 原 因 漏 洞 原 因 当 调 用 M s i A d v e r t i s e P r o d u c t 这 个 函 数 时 会 导 致 w i n d o w s 安 装 服 务 复 制 一 个 文 件 ， 在 复 制 文 件 时 我 们 可 以 通 过 T O C T O U 的 攻 击 方 式 控 制 传 进 M s i A d v e r t i s e P r o d u c t A 的 第 一 个 参 数 ， 将 该 参 数 在 检 查 通 过 后 被 替 换 成 我 们 实 际 需 要 读 取 的 文 件 ， 达 到 越 权 的 效 果 漏 洞 漏 洞 P O C 使 用 使 用
P O C 源 码 简 要 分 析 源 码 简 要 分 析 该 漏 洞 已 经 存 在 P O C ， 作 者 S a n d b o x E s c a p e r 开 源 在 g i t h u b 中 h t t p s : / / g i t h u b . c o m / S a n d b o x E s c a p e r / r a n d o m r e p o / b l o b / m a s t e r / R e a d f i l e . r a r   ， 不 过 源 码 部 分 没 有 注 释 ， 为 了 方 便 阅 读 与 理 解 ， 我 这 边 给 出 了 部 分 注 释 。 并 对 主 要 代 码 做 如 下 分 析 。 1 、 首 先 从 s t d a f x . h 预 编 译 头 文 件 中 一 直 跟 进 t a r g e t v e r . h ， 再 跟 进 S D K D D K V e r . h 头 文 件 ， 该 p o c 可 应 用 于 如 下 w i n d o w s 版 本 ， 几 乎 可 以 应 用 与 所 有 ： 其 中 m a i n 函 数 获 取 用 户 输 入 的 参 数 并 解 析 ， 取 出 需 要 读 取 的 文 件 路 径 （ t a r g e t f i l e ） 与 文 件 名 （ f i l e n a m e ） 备 用 2 、 调 用 M s i S e t I n t e r n a l U I 进 行 静 默 安 装 ， 在 安 装 前 需 要 获 取 文 件 f i l e （ 产 品 包 ） 的 路 径 ， 用 于 M s i A d v e r t i s e P r o d u c t A 进 行 广 告 推 送 ， 在 获 取 路 径 与 启 动 中 间 ， 调 用 了 函 数 r u n m e ( ) ， 该 函 数 即 为 T O C T O U 攻 击 的 实 现 过 程
3 、 查 看 r u n m e ( ) 函 数 ， 该 函 数 创 建 了 一 个 自 定 义 的 线 程 M y T h r e a d F u n c t i o n 4 、 查 看 线 程 M y T h r e a d F u n c t i o n 函 数 ， 首 先 获 取 c : w i n d o w s i n s t a l l e r 的 句 柄 h D i r ， 然 后 又 读 取 了 我 们 的 目 标 文 件 t a r g e t f i l e ， 用 于 下 面 的 替 换 5 、 然 后 便 是 循 环 判 断 该 句 柄 h F i l e 有 没 有 被 调 用 ， 假 如 被 调 用 了 ， 就 说 明 M s i A d v e r t i s e P r o d u c t A 就 开 始 读 取 上 面 我 们 指 定 的 f i l e 位 置 了 ， 并 且 已 经 检 查 通 过 这 时 便 将 其 路 径 替 换 为 我 们 需 要 读 取 文 件 的 路 径 ： 最 后 再 在 终 端 将 读 到 的 文 件 内 容 输 出 ， 并 设 置 s u c c e e d 参 数 为 t r u e , 然 后 退 出 m a i n 函 数
从 P O C 中 可 以 看 出 文 件 替 换 的 时 候 使 用 了 软 链 接 的 技 术 ， P O C 运 行 时 会 在 系 统 C 盘 目 录 下 临 时 创 建 b l a h 2 文 件 夹 与 链 接 到 b l a h 2 的 快 捷 方 式 b l a h ， 最 后 P O C 运 行 结 束 又 删 除 了 这 两 个 文 件 。 由 于 该 漏 洞 利 用 的 是 T O C T O U 这 种 方 式 ， 在 P O C 运 行 时 会 不 停 的 创 建 线 程 ， 故 系 统 C P U 占 用 会 达 到 1 0 0 % 漏 洞 修 复 漏 洞 修 复 截 至 目 前 ， 微 软 官 方 并 未 发 布 补 丁 ， 由 于 该 漏 洞 环 境 为 本 地 ， 不 可 以 远 程 触 发 ， 为 防 止 攻 击 者 对 该 漏 洞 进 行 利 用 ， 用 户 不 要 下 载 与 运 行 来 源 不 明 的 软 件 ， 并 实 时 监 控 系 统 的 C P U 利 用 率 是 否 达 到 1 0 0 % 参 考 ： h t t p s : / / t h e h a c k e r n e w s . c o m / 2 0 1 8 / 1 2 / w i n d o w s - z e r o - d a y - e x p l o i t . h t m l
h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / T i m e _ o f _ c h e c k _ t o _ t i m e _ o f _ u s e h t t p : / / w w w . c n b l o g s . c o m / l i q i u h a o / p / 9 4 5 0 0 9 3 . h t m l h t t p : / / b l o g . n s f o c u s . n e t / w i n d o w s - z e r o - d a y - e x p l o i t / * 本 文 作 者 ： m a r k y u ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理