搜索

[13870] 2019-03-15_WindowsDHCPServer远程代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-03-15_WindowsDHCPServer远程代码执行漏洞分析 W i n d o w s   D H C P S e r v e r 远 程 代 码 执 行 漏 洞 分 析 A D L a b   F r e e B u f   2 0 1 9 - 0 3 - 1 5 一 一   漏 洞 背 景 漏 洞 背 景 2 月 月 1 2 日 ， 微 软 发 布 日 ， 微 软 发 布 2 月 份 月 度 例 行 安 全 公 告 ， 修 复 了 多 个 高 危 漏 洞 ， 其 中 包 括 月 份 月 度 例 行 安 全 公 告 ， 修 复 了 多 个 高 危 漏 洞 ， 其 中 包 括 W i n d o w s   D H C P   S e r v e r 远 程 代 码 远 程 代 码 执 行 漏 洞 执 行 漏 洞 C V E - 2 0 1 9 - 0 6 2 6 。 当 攻 击 者 向 。 当 攻 击 者 向 D H C P 服 务 器 发 送 精 心 设 计 的 数 据 包 并 成 功 利 用 后 ， 就 可 以 在 服 务 器 发 送 精 心 设 计 的 数 据 包 并 成 功 利 用 后 ， 就 可 以 在 D H C P 服 服 务 中 执 行 任 意 代 码 ， 漏 洞 影 响 范 围 较 大 。 针 对 此 漏 洞 ， 启 明 星 辰 务 中 执 行 任 意 代 码 ， 漏 洞 影 响 范 围 较 大 。 针 对 此 漏 洞 ， 启 明 星 辰 A D L a b 第 一 时 间 对 其 进 行 了 详 细 分 析 。 第 一 时 间 对 其 进 行 了 详 细 分 析 。 二 二   漏 洞 影 响 版 本 漏 洞 影 响 版 本 W i n d o w s   7 W i n d o w s   8 . 1 W i n d o w s   1 0 W i n d o w s   S e r v e r   2 0 0 8 W i n d o w s   S e r v e r   2 0 1 2 W i n d o w s   S e r v e r   2 0 1 6 W i n d o w s   S e r v e r   2 0 1 9 三 三   协 议 简 介 协 议 简 介 D H C P ， 动 态 主 机 配 置 协 议 ， 前 身 是 B O O T P 协 议 ， 是 一 个 局 域 网 的 网 络 协 议 。 D H C P 通 常 用 于 集 中 管 理 分 配 I P 地 址 ， 使 c l i e n t 动 态 地 获 得 I P 地 址 、 G a t e w a y 地 址 、 D N S 服 务 器 地 址 等 信 息 。 D H C P 客 户 端 和 D H C P 服 务 端 的 交 互 过 程 如 下 图 所 示 。 传 输 的 D H C P 协 议 报 文 需 遵 循 以 下 格 式 ：
D H C P 包 含 许 多 类 型 的 O p t i o n ， 每 个 O p t i o n 由 T y p e 、 L e n g t h 和 D a t a 三 个 字 段 组 成 。 T y p e 取 值 范 围 1 ~ 2 5 5 ， 部 分 T y p e 类 型 如 下 图 所 示 。 D H C P 服 务 在 处 理 V e n d o r S p e c i f i c   类 型 （ T y p e = 4 3 ） 的 O p t i o n 结 构 存 在 安 全 漏 洞 。 首 先 看 下 D H C P 服 务 程 序 对 O p t i o n 的 处 理 过 程 ，   P r o c e s s M e s s a g e 函 数 负 责 处 理 收 到 的 D H C P 报 文 ， 调 用 E x t r a c t O p t i o n s 函 数 处 理 D H C P 的 O p t i o n 字 段 ， 传 入 函 数 E x t r a c t O p t i o n s 的 参 数 1 （ v 7 ） 为 D H C P 报 文 指 针 ， 参 数 3 （ ( u n s i g n e d   i n t   ) ( v 5   +   1 6 ) ） 对 应 指 针 偏 移 位 置 + 1 6 的 数 据 ， 即 L e n 字 段 。
E x t r a c t O p t i o n 函 数 如 下 所 示 。   v 6   =   ( u n s i g n e d _ _ i n t 6 4 ) & a 1 [ a 3   -   1 ] ; 指 向 报 文 末 尾 位 置 ； v 1 0 = a 1 + 2 4 0 ; 指 向 报 文 中 O p t i o n 结 构 。 在 f o r 循 环 中 处 理 不 同 类 型 的 O p t i o n 结 构 ， 当 t y p e = 4 3 （ V e n d o r   S p e c i f i c   I n f o r m a t i o n ） ， 传 入 指 针 v 1 0 和 指 针 v 6 作 为 参 数 ， 调 用 P a r s e V e n d o r S p e c i f i c 函 数 进 行 处 理 。
P a r s e V e n d o r S p e c i f i c 函 数 内 部 调 用 U n c o d e O p t i o n 函 数 。 U n c o d e O p t i o n 函 数 参 数 a 1 指 向 o p t i o n 起 始 位 置 ， a 2 指 向 报 文 的 末 尾 位 置 。 U n c o d e O p t i o n 函 数 存 在 安 全 漏 洞 ， 下 面 结 合 P O C 和 补 丁 比 对 进 行 分 析 。 四 四   漏 洞 分 析 漏 洞 分 析 构 造 一 个 D H C P   D i s c o v e r y 报 文 ， P O C 如 下 所 示 ， P O C 包 含 两 个 v e n d o r _ s p e c i f i c 类 型 的 O p t i o n 结 构 。 v e n d o r _ s p e c i f i c 1 是 合 法 的 O p t i o n 结 构 ， L e n g t h 取 值 0 x 0 a 等 于 D a t a 的 实 际 长 度 （ 0 x 0 a ） ， v e n d o r _ s p e c i f i c 2 是 不 合 法 的 O p t i o n 结 构 ， L e n g t h 取 值 0 x 0 f 大 于 D a t a 的 实 际 长 度 （ 0 x 0 a ） 。 （ 1 ） D H C P 服 务 器 收 到 D i s c o v e r y 请 求 报 文 ， 对 数 据 包 进 行 处 理 。 首 先 执 行 E x t r a c t O p t i o n s 处 理 O p t i o n s ， 当 处 理 v e n d o r _ s p e c i f i c 类 型 的 O p t i o n 时 ， 进 入 到 P a r s e V e n d o r S p e c i f i c 进 行 处 理 。 P O C 中 构 造 一 个 合 法 的 v e n d o r _ s p e c i f i c 1 ， 目 的 是 为 了 绕 过 8 4 ~ 8 5 行 的 校 验 代 码 ， 使 程 序 顺 利 执 行 到 P a r s e V e n d o r S p e c i f i c 函 数 。
（ 2 ） P a r s e V e n d o r S p e c i f i c 调 用 U n c o d e O p t i o n 函 数 。 a .   3 2 ~ 4 3 行 在 d o - w h i l e 循 环 中 计 算 O p t i o n 结 构 的   L e n g t h 值 之 和 ， 保 存 到 v 1 3 ， 作 为 分 配 堆 内 存 长 度 。 P O C 中 包 含 两 个 v e n d o r _ s p e c i f i c 结 构 ， 首 先 处 理 v e n d o r _ s p e c i f i c 1 ， 计 算 v 1 3 ， 即 v e n d o r _ s p e c i f i c 1 长 度 a ， 并 且 使 v 1 2 指 向 下 一 个 O p t i o n 结 构 v e n d o r _ s p e c i f i c 2 ， 当 进 入 4 3 行 w h i l e 条 件 判 断 ， 由 于 v e n d o r _ s p e c i f i c 2 长 度 不 合 法 ， d o - w h i l e 循 环 结 束 。 b .   4 8 行 调 用 H e a p A l l o c 分 配 堆 内 存 ， 分 配 的 内 存 大 小 v 1 3 = a 。 c .   5 1 ~ 5 8 行 在 f o r 循 环 中 依 次 将 v e n d o r _ s p e c i f i c 结 构 中 的 D a t a 拷 贝 到 分 配 的 堆 内 存 中 。 进 入 第 一 次 循 环 时 ， v 1 指 向 v e n d o r _ s p e c i f i c 1 ， v 8 指 向 末 尾 位 置 ， 满 足 条 件 v 1 < v 8 ， 5 5 行 调 用 m e m c p y 将 v e n d o r _ s p e c i f i c 1 的 D a t a 字 段 拷 贝 到 分 配 的 堆 内 存 ， 拷 贝 长 度 L e n g t h = a 。 进 入 第 二 次 循 环 ， v 1 指 向 v e n d o r _ s p e c i f i c 2 ， v 8 指 向 末 尾 位 置 ， 仍 然 满 足 条 件 v 1 < v 8 ， 再 次 调 用 m e m c p y 将 v e n d o r _ s p e c i f i c 2 的 D a t a 字 段 拷 贝 到 分 配 的 堆 内 存 ， 拷 贝 长 度 L e n g t h = 0 x f 。 由 于 分 配 的 堆 内 存 大 小 只 有 a 个 字 节 ， 而 拷 贝 的 总 长 度 = 0 x 0 a + 0 x 0 f ， 从 而 导 致 堆 溢 出 。
五 五   补 丁 比 对 补 丁 比 对 补 丁 后 的 版 本 添 加 了 对 L e n g t h 字 段 的 有 效 性 判 断 。
六 六   安 全 建 议 安 全 建 议 及 时 安 装 安 全 补 丁 ： h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 1 9 - 0 6 2 6 * 本 文 作 者 ： 本 文 作 者 ： A D L a b ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理