搜索

[13981] 2019-04-13_NVIDIA任意文件写入命令执行（CVE-2019-5674）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-04-13_NVIDIA任意文件写入命令执行（CVE-2019-5674） N V I D I A 任 意 文 件 写 入 命 令 执 行 （ C V E - 2 0 1 9 - 5 6 7 4 ） A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 4 - 1 3 漏 洞 介 绍 漏 洞 介 绍 在 这 篇 文 章 中 ， 我 们 将 对 在 这 篇 文 章 中 ， 我 们 将 对 N V I D I A   G e F o r c e   E x p e r i e n c e （ （ G F E ） 中 的 任 意 文 件 写 入 漏 洞 （ ） 中 的 任 意 文 件 写 入 漏 洞 （ C V E - 2 0 1 9 - 5 6 7 4 ） 进 行 深 入 分 析 。 大 家 都 知 道 ， 很 多 使 ） 进 行 深 入 分 析 。 大 家 都 知 道 ， 很 多 使 用 了 用 了 N 卡 的 设 备 在 安 装 卡 的 设 备 在 安 装 N V I D I A   G e F o r c e 产 品 时 默 认 都 会 安 装 产 品 时 默 认 都 会 安 装 N V I D I A   G e F o r c e   E x p e r i e n c e （ （ G F E ） ， 由 于 存 在 这 个 漏 洞 ， 攻 击 者 将 能 够 强 制 让 应 ） ， 由 于 存 在 这 个 漏 洞 ， 攻 击 者 将 能 够 强 制 让 应 用 程 序 以 特 权 用 户 身 份 在 目 标 系 统 中 写 入 任 意 文 件 。 简 单 来 说 ， 你 可 以 通 过 重 写 关 键 系 统 文 件 来 让 主 机 无 法 正 常 服 务 ， 而 且 你 甚 至 还 可 以 控 制 、 利 用 程 序 以 特 权 用 户 身 份 在 目 标 系 统 中 写 入 任 意 文 件 。 简 单 来 说 ， 你 可 以 通 过 重 写 关 键 系 统 文 件 来 让 主 机 无 法 正 常 服 务 ， 而 且 你 甚 至 还 可 以 控 制 、 利 用 和 窃 取 目 标 系 统 中 的 数 据 。 用 和 窃 取 目 标 系 统 中 的 数 据 。 由 于 G F E 在 写 入 日 志 文 件 时 使 用 的 是 S Y S T E M 用 户 权 限 ， 这 种 不 安 全 的 权 限 设 置 将 导 致 任 意 系 统 文 件 均 可 被 重 写 。 除 此 之 外 ， 日 志 文 件 中 的 数 据 也 是 用 户 可 控 制 的 ， 攻 击 者 将 可 以 向 日 志 文 件 中 注 入 控 制 命 令 ， 然 后 将 其 存 储 为 b a t c h 文 件 来 执 行 并 实 现 提 权 。 N V I D I A   G e F o r c e   E x p e r i e n c e 根 据 N V I D I A 官 网 的 介 绍 ， G e F o r c e   E x p e r i e n c e   G F E 不 仅 可 以 更 新 升 级 显 卡 驱 动 ， 并 优 化 你 的 游 戏 设 置 ， 而 且 还 可 以 截 图 ， 或 跟 朋 友 分 享 视 频 流 文 件 。 更 重 要 的 是 ， 它 可 以 给 N 卡 用 户 提 供 更 多 的 附 加 功 能 。 漏 洞 发 现 漏 洞 发 现 当 时 在 分 析 N V I D I A 服 务 和 应 用 程 序 时 ， 我 先 打 开 的 是 进 程 监 控 软 件 （ P r o c m o n ） ， 分 析 后 我 发 现 ， 有 两 个 跟 N V I D I A 有 关 的 进 程 可 能 会 有 搞 头 ： n v c o n t a i n e r . e x e 和 N V D i s p l a y . C o n t a i n e r . e x e 。 接 下 来 ， 我 在 P r o c m o n 中 添 加 了 一 个 过 滤 器 来 查 看 * c o n t a i n e r . e x e 会 向 那 些 文 件 写 入 数 据 。 在 过 滤 器 的 帮 助 下 ， 我 们 只 需 要 关 注 “ 写 入 文 件 ” 的 操 作 即 可 ， 大 家 可 以 从 下 图 中 看 到 ， 这 些 进 程 会 以 “ N T   A U T H O R I T Y S Y S T E M ” 来 向 “ C : P r o g r a m D a t a ” 目 录 中 写 入 多 个 日 志 文 件 （ 其 中 还 包 括 普 通 用 户 可 以 修 改 的 文 件 ） 。 检 查 这 些 文 件 的 权 限 之 后 ， 我 们 可 以 看 到 “ E v e r y o n e ” 组 中 的 用 户 拥 有 对 这 些 文 件 的 完 整 控 制 权 。 所 以 ， S Y S T E M 组 和 E v e r y o n e 组 中 的 成 员 均 可 随 意 控 制 这 些 文 件 ， 包 括 创 建 跟 其 他 系 统 文 件 的 硬 链 接 或 符 号 链 接 。 如 果 攻 击 者 不 能 以 普 通 用 户 身 份 来 修 改 某 个 系 统 文 件 ， 那 么 在 创 建 了 跟 该 文 件 相 关 联 的 链 接 之 后 ， S Y S T E M 进 程 将 搜 索 这 个 链 接 （ 本 身 就 是 日 志 文 件 ， 默 认 时 可 写 入 的 ） ， 并 允 许 向 该 文 件 写 入 数 据 。 受 影 响 的 文 件 将 包 括 关 键 系 统 文 件 ， 而 这 些 文 件 一 旦 被 非 法 修 改 ， 将 导 致 应 用 程 序 或 操 作 系 统 崩 溃 。
利 用 任 意 文 件 写 入 漏 洞 利 用 任 意 文 件 写 入 漏 洞 在 利 用 该 漏 洞 前 ， 我 们 需 要 使 用 s y m b o l i c l i n k - t e s t i n g - t o o l s 来 创 建 符 号 链 接 和 硬 链 接 ， 因 为 该 工 具 可 以 帮 我 们 以 普 通 用 户 权 限 创 建 系 统 文 件 的 链 接 。 在 测 试 过 程 中 ， 我 还 使 用 了 C r e a t e s y m l i n k 工 具 并 创 建 了 一 个 临 时 符 号 链 接 ： “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n n v s t a p i s v r n v s t a p i s v r . l o g ” = > “ C : w i n d o w s t e s t . f i l e ” ， 这 个 t e s t . f i l e 文 件 只 有 管 理 员 权 限 可 写 。 为 了 确 保 符 号 链 接 创 建 成 功 ， 我 们 需 要 让 “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n n v s t a p i s v r ” 目 录 为 空 ， 如 果 该 目 录 不 为 空 ， 则 会 看 到 如 下 图 所 示 的 错 误 信 息 ： 接 下 来 ， 当 N V I D I A 特 权 进 程 向 日 志 文 件 “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n n v s t a p i s v r n v s t a p i s v r . l o g ” 中 写 入 数 据 时 ， 该 进 程 实 际 上 是 在 向 “ C : w i n d o w s t e s t . f i l e ” 写 入 数 据 。 这 就 表 明 ， 该 漏 洞 可 以 允 许 我 们 重 写 任 意 系 统 文 件 。 但 这 样 还 远 远 不 够 ， 因 为 我 们 还 无 法 让 某 些 文 件 崩 溃 或 让 系 统 拒 绝 服 务 。 这 是 因 为 特 定 日 志 文 件 中 的 数 据 目 前 仍 是 不 可 控 制 的 ， 它 只 会 写 入 所 有 本 该 记 录 的 日 志 数 据 。 因 此 ， 我 们 需 要 控 制 写 入 到 日 志 文 件 中 的 数 据 。 经 过 分 析 之 后 ， 我 发 现 “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n n v s t r e a m s v c n v s t r e a m s v c C u r r e n t . l o g ” 中 包 含 一 些 有 趣 的 字 符 串 ， 而 且 当 G e F o r c e   E x p e r i e n c e 的 “ G a m e S t r e a m ” 开 关 打 开 或 关 闭 时 ， “ C : P r o g r a m D a t a N V I D I A   C o r p o r a t i o n N v S t r e a m S r v s e t t i n g s . t x t ” 中 包 含 的 某 些 变 量 会 写 入 到 n v s t r e a m s v c C u r r e n 日 志 文 件 中 。 点 击 这 个 开 关 ， 可 以 让 “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n n v s t r e a m s v c n v s t r e a m s v c C u r r e n t . l o g ” 记 录 s e t t i n g s . t x t 文 件 中 包 含 的 U R L 地 址 ： 接 下 来 ， 我 尝 试 向 这 些 变 量 值 后 面 添 加 一 些 命 令 来 修 改 日 志 文 件 ： 果 然 成 功 了 ： 虽 然 这 里 有 一 堆 其 他 的 日 志 数 据 ， 但 我 们 注 入 的 命 令 最 终 还 是 会 在 . b a t 文 件 中 执 行 的 。 再 加 上 现 在 我 可 以 向 任 意 目 录 中 写 入 文 件 ， 那 么 我 就 可 以 向 存 在 漏 洞 的 文 件 中 注 入 有 效 命 令 ， 然 后 把 文 件 写 入 到 系 统 启 动 目 录 中 ， 然 后 执 行 注 入 的 命 令 ， 最 终 实 现 提 权 。 但 这 里 还 是 有 一 个 问 题 ， 也 就 是 创 建 符 号 链 接 的 目 录 必 须 为 空 ， 但 现 在 的 目 录 包 含 N V I D I A 服 务 需 要 使 用 的 文 件 ， 而 且 我 还 删 不 掉 。 但 是 ， 这 个 问 题 进 入 安 全 模 式 就 解 决 了 。 总 结 一 下 ：
1 、 将 需 要 执 行 的 命 令 添 加 到 “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n N v S t r e a m S r v s e t t i n g s . t x t ” ； 2 、   清 空 “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n n v s t r e a m s v c ” 目 录 ； 3 、   创 建 符 号 链 接 ： “ C : P r o g r a m D a t a N V I D I A C o r p o r a t i o n n v s t r e a m s v c n v s t r e a m s v c C u r r e n t . l o g ” = > “ C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t U p c m d . b a t ” 创 建 符 号 链 接 ： 切 换 “ G a m e S t r e a m ” 服 务 的 开 关 ， 然 后 系 统 启 动 目 录 中 就 会 有 我 们 的 c m d . b a t 文 件 了 ： 完 整 提 权 完 整 提 权 N V I D I A 本 身 带 有 很 多 b a t c h 文 件 ， 这 些 文 件 可 以 在 “ C : W i n d o w s ” 目 录 中 找 到 ： 当 “ N V I D I A   D i s p l a y   C o n t a i n e r ” 或 “ N V I D I A   T e l e m e t r y C o n t a i n e r ” 服 务 崩 溃 了 两 次 以 上 时 ， 这 些 文 件 就 会 以 S Y S T E M 权 限 运 行 ， 这 也 是 N V I D I A 服 务 的 恢 复 机 制 ： 这 些 文 件 同 样 是 我 们 可 以 利 用 的 ， 我 们 只 需 要 让 N V I D I A 服 务 崩 溃 三 次 ， 就 可 以 强 制 让 B A T 文 件 执 行 ， 并 实 现 提 权 。 所 受 影 响 版 本 所 受 影 响 版 本   *   参 考 来 源 ： 参 考 来 源 ： r h i n o s e c u r i t y l a b s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读 G e F o r c e   E x p e r i e n c e   < =   3 . 1 8
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理