搜索

[13622] 2019-01-06_解析WindowsXP版永恒之蓝中的一个Bug

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2019-01-06_解析WindowsXP版永恒之蓝中的一个Bug 解 析 W i n d o w s   X P 版 永 恒 之 蓝 中 的 一 个 B u g A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 1 - 0 6 背 景 背 景 黑 掉 黑 掉 W i n d o w s   7 已 经 没 什 么 挑 战 了 ， 我 这 一 次 打 算 重 新 回 顾 一 下 那 个 针 对 已 经 没 什 么 挑 战 了 ， 我 这 一 次 打 算 重 新 回 顾 一 下 那 个 针 对 W i n d o w s   X P 永 恒 之 蓝 漏 洞 的 漏 洞 利 用 永 恒 之 蓝 漏 洞 的 漏 洞 利 用 代 码 ， 之 前 这 份 代 码 ， 之 前 这 份 E x p l o i t 就 没 成 功 过 ， 而 且 我 尝 试 了 各 种 版 本 的 补 丁 和 服 务 包 ， 但 这 份 漏 洞 利 用 代 码 要 么 无 法 工 就 没 成 功 过 ， 而 且 我 尝 试 了 各 种 版 本 的 补 丁 和 服 务 包 ， 但 这 份 漏 洞 利 用 代 码 要 么 无 法 工 作 ， 要 么 就 让 设 备 蓝 屏 。 因 此 我 打 算 继 续 研 究 一 下 ， 因 为 作 ， 要 么 就 让 设 备 蓝 屏 。 因 此 我 打 算 继 续 研 究 一 下 ， 因 为 F u z z B u n c h 有 太 多 没 有 被 挖 掘 出 来 的 有 太 多 没 有 被 挖 掘 出 来 的 “ 潜 力 潜 力 ” 了 。 了 。 但 是 在 一 次 针 对 其 他 W i n d o w s   X P 设 备 的 渗 透 测 试 过 程 中 ， 我 本 来 对 F u z z B u n c h 没 抱 希 望 的 ， 但 可 怕 的 是 ， 它 竟 然 能 用 … 所 以 我 问 自 己 ， 为 什 么 它 能 用 到 外 界 的 W i n d o w s   X P 设 备 上 ， 却 没 办 法 在 我 的 实 验 环 境 中 使 用 呢 ？ （ 长 话 短 说 ： 因 为 单 核 / 多 核 / P A E   C P U 中 的 N T / H A L 存 在 差 别 ， 导 致 F u z z B u n c h 的 X P   P a y l o a d 在 单 核 设 备 上 会 终 止 运 行 。 ） 多 个 漏 洞 利 用 链 多 个 漏 洞 利 用 链 请 记 住 ， 永 恒 之 蓝 有 很 多 个 版 本 。 但 是 F u z z B u n c h 针 对 W i n d o w s   X P 的 漏 洞 利 用 链 却 和 针 对 其 他 版 本 的 E x p l o i t 有 着 很 大 区 别 ， 具 体 请 参 考 D e r b y C o n   8 . 0 的 相 关 资 料 ： 【 点 击 阅 读 原 文 获 取 】 。 P a y l o a d 方 法 论 方 法 论 原 来 ， 漏 洞 利 用 代 码 根 本 没 问 题 ， 有 问 题 的 是 F u z z B u n c h 的 P a y l o a d 。 主 要 阶 段 的 S h e l l c o d e 执 行 的 是 下 列 活 动 ： 1 . 利 用 K d V e r s i o n B l o c k 技 术 获 取 & n t 和 & h a l ； 2 . 解 析 某 些 必 要 的 函 数 指 针 ， 比 如 说 h a l ! H a l I n i t i a l i z e P r o c e s s o r ； 3 . 恢 复 B o o t 处 理 器 K P C R / K P R C B ， 因 为 它 会 在 漏 洞 利 用 过 程 中 崩 溃 ； 4 . 运 行 D o u b l e P u l s a r ， 在 S M B 服 务 中 植 入 后 门 ； 5 . 将 n t ! P o p P r o c e s s o r I d l e 的 运 行 状 态 恢 复 到 正 常 状 态 。 单 核 分 支 异 常 单 核 分 支 异 常 在 I d l e F u n c t i o n 上 设 置 多 个 硬 件 断 点 ， 并 向 S h e l l c o d e 中 设 置 偏 移 量 + 0 x 1 7 0 ， 我 们 会 发 现 多 核 设 备 安 装 分 支 的 情 况 跟 单 核 设 备 的 不 同 。 多 核 设 备 会 要 求 获 取 一 个 指 向 h a l ! H a l I n i t i a l i z e P r o c e s s o r 的 函 数 指 针 。 k d > b a   w   1   f f d f f c 5 0   " b a   e   1   p o i ( f f d f f c 5 0 ) + 0 x 1 7 0 ; g ; "
这 个 函 数 估 计 是 用 来 清 理 K P R C B 的 半 崩 溃 状 态 的 。 单 核 设 备 无 法 找 到 h a l ! H a l I n i t i a l i z e P r o c e s s o r ， s u b _ 5 4 7 会 返 回 N U L L 值 。 P a y l o a d 将 无 法 继 续 运 行 ， 然 后 通 过 数 据 清 零 来 进 行 自 毁 ， 并 且 会 设 置 R O P 链 来 释 放 某 些 内 存 ， 恢 复 执 行 流 程 。 根 本 原 因 分 析 根 本 原 因 分 析 s u b _ 5 4 7 这 个 S h e l l c o d e 函 数 无 法 在 单 核 C P U 主 机 上 找 到 h a l ! H a l I n i t i a l i z e P r o c e s s o r 的 地 址 ， 从 而 导 致 P a y l o a d 的 执 行 过 程 被 强 制 终 止 。 因 此 我 们 需 要 对 这 个 S h e l l c o d e 函 数 进 行 逆 向 分 析 ， 找 到 导 致 攻 击 P a y l o a d 运 行 失 败 的 根 本 原 因 。 这 里 的 内 核 S h e l l c o d e 存 在 一 个 问 题 ， 即 没 有 考 虑 到 W i n d o w s   X P 上 所 有 可 用 的 不 同 类 型 的 N T 内 核 可 执 行 文 件 。 比 如 说 ， 多 核 设 备 的 N T 程 序 （ 例 如 n t k r n l a m p . e x e ） 可 以 正 常 工 作 ， 但 单 核 设 备 （ 例 如 n t o s k r n l . e x e ） 就 会 出 现 问 题 。 除 此 之 外 ， h a l m a c p i . d l l 和 h a l a c p i . d l l 也 存 在 类 似 的 问 题 。
N T 疑 惑 疑 惑 s u b _ 5 4 7 要 做 的 第 一 件 事 就 是 获 取 N T 程 序 所 使 用 的 H A L 导 入 函 数 。 P a y l o a d 首 先 会 读 取 N T 程 序 中 的 0 x 1 0 4 0 偏 移 量 来 查 找 H A L 函 数 。 在 多 核 W i n d o w s   X P 设 备 中 ， 读 取 这 个 偏 移 地 址 可 以 让 S h e l l c o d e 找 到 正 确 的 h a l ! H a l Q u e r y R e a l T i m e C l o c k 函 数 ： 但 是 在 单 核 设 备 上 是 没 有 H A L 导 入 表 的 ， 只 有 一 个 字 符 串 表 ： 一 开 始 我 以 为 自 己 找 到 了 问 题 的 根 源 ， 但 其 实 不 然 ， 因 为 这 里 有 一 个 修 正 码 问 题 。 S h e l l c o d e 会 检 查 偏 移 量 0 x 1 0 4 0 的 值 是 否 位 于 H A L 范 围 内 。 如 果 条 件 不 满 足 ， 则 会 减 去 0 x c 4 0 ， 然 后 以 0 x 4 0 作 为 增 量 值 在 H A L 地 址 范 围 内 进 行 搜 索 ， 直 到 搜 索 地 址 再 次 到 达 0 x 1 0 4 0 为 止 。
最 终 ， 单 核 设 备 上 的 P a y l o a d 会 找 到 一 个 H A L 函 数 ， 即 h a l ! H a l C a l i b r a t e P e r f o r m a n c e C o u n t e r ： 题 外 话 ： 方 程 式 组 织 （ 国 际 著 名 黑 客 组 织 ） 在 判 断 不 同 X P   N T 类 型 上 做 得 非 常 优 秀 ！ H A L 可 变 字 节 表 可 变 字 节 表 S h e l l c o d e 在 找 到 了 H A L 函 数 之 后 ， 会 尝 试 定 位 h a l ! H a l I n i t i a l i z e P r o c e s s o r 。 S h e l l c o d e 中 内 置 的 表 （ 位 于 0 x 5 e 7 偏 移 量 ） 包 含 了 一 个 长 度 为 1 字 节 的 域 ， 后 面 可 以 跟 一 段 字 节 序 列 。 接 下 来 ， S h e l l c o d e 会 以 在 增 量 0 x 2 0 字 节 遍 历 搜 索 新 的 H A L 函 数 地 址 。 下 面 是 多 核 版 本 H A L 中 找 到 的 5 个 字 节 目 标 数 据 ： 但 是 ， 单 核 版 本 的 H A L 函 数 差 异 就 很 大 ：
这 里 有 一 个 类 似 的 m o v 指 令 ， 但 它 并 不 是 m o v z x 指 令 。 因 为 这 个 函 数 中 并 不 包 含 这 个 字 节 序 列 ， 因 此 代 码 无 法 找 到 这 个 目 标 函 数 。 总 结 总 结 大 家 都 知 道 ， 在 不 同 版 本 的 W i n d o w s 系 统 中 ， 想 通 过 搜 索 字 节 序 列 来 识 别 函 数 并 不 是 一 件 容 易 的 事 情 。 从 这 个 漏 洞 中 ， 我 们 至 少 应 该 学 到 一 点 ， 即 各 位 E x p l o i t 开 发 者 在 设 计 漏 洞 利 用 代 码 时 必 须 要 考 虑 周 全 ， 注 意 N T O S K R N L 和 H A L 在 单 核 / 多 核 / P A E 架 构 上 存 在 的 差 异 。 这 也 是 E t e r n a l 系 列 漏 洞 的 一 个 分 析 样 例 ， 全 球 的 网 络 组 织 可 能 会 重 复 使 用 相 同 的 漏 洞 利 用 代 码 或 P a y l o a d ， 但 他 们 也 会 使 用 不 同 的 方 法 来 开 发 E x p l o i t 。 如 果 一 种 方 法 无 法 成 功 ， 也 可 以 通 过 漏 洞 利 用 代 码 的 多 样 化 特 点 最 终 完 成 他 们 的 攻 击 任 务 。 * 参 考 来 源 ： z e r o s u m 0 x 0 ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理