搜索

[14272] 2019-06-25_一个工控漏洞引发的思考

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-06-25_一个工控漏洞引发的思考 一 个 工 控 漏 洞 引 发 的 思 考 w w 5 4 6 6 0 6 4   F r e e B u f   2 0 1 9 - 0 6 - 2 5 * 本 文 中 涉 及 到 的 相 关 漏 洞 已 报 送 厂 商 并 得 到 修 复 ， 本 文 仅 限 技 术 研 究 与 讨 论 ， 严 禁 用 于 非 法 用 途 ， 否 则 产 生 的 本 文 中 涉 及 到 的 相 关 漏 洞 已 报 送 厂 商 并 得 到 修 复 ， 本 文 仅 限 技 术 研 究 与 讨 论 ， 严 禁 用 于 非 法 用 途 ， 否 则 产 生 的 一 切 后 果 自 行 承 担 一 切 后 果 自 行 承 担 一 、 概 述 一 、 概 述 A d v a n t e c h W e b A c c e s s （ 前 称 （ 前 称 B r o a d W i n W e b A c c e s s ） 是 研 华 （ ） 是 研 华 （ A d v a n t e c h ） 公 司 的 一 套 基 于 浏 览 器 架 构 的 ） 公 司 的 一 套 基 于 浏 览 器 架 构 的 H M I / S C A D A 软 件 。 该 软 件 支 持 动 态 图 形 显 示 和 实 时 数 据 控 制 ， 并 提 供 远 程 控 制 和 管 理 自 动 化 设 备 的 功 能 ， 在 软 件 。 该 软 件 支 持 动 态 图 形 显 示 和 实 时 数 据 控 制 ， 并 提 供 远 程 控 制 和 管 理 自 动 化 设 备 的 功 能 ， 在 工 业 领 域 有 者 广 泛 的 应 用 。 工 业 领 域 有 者 广 泛 的 应 用 。 A d v a n t e c h W e b A c c e s s 软 件 一 直 是 漏 洞 挖 掘 者 的 最 爱 ， Z D I 的 一 篇 报 告 中 指 出 曾 经 一 天 内 收 到 1 0 0 个 关 于 A d v a n t e c h W e b A c c e s s 软 件 漏 洞 的 上 报 ， I C S - C E R T 中 亦 有 大 量 相 关 漏 洞 纰 漏 。 最 近 关 注 了 该 软 件 的 C V E - 2 0 1 7 - 1 6 7 2 0 / C N V D - 2 0 1 8 - 0 0 6 7 0 漏 洞 ， 有 的 地 方 描 述 该 漏 洞 为 路 径 遍 历 漏 洞 ， 有 的 描 述 为 R C E 漏 洞 ， 且 给 出 了 不 同 的 评 分 。 那 么 其 到 底 是 以 什 么 漏 洞 ？ 深 入 分 析 一 下 便 可 知 晓 。 二 、 初 步 分 析 二 、 初 步 分 析 很 显 然 Z D I 对 该 漏 洞 做 了 更 加 详 细 的 纰 漏 ， 一 眼 看 过 去 0 x 2 7 1 1 I O C T L ？ I O C T L 是 设 备 驱 动 程 序 中 对 设 备 的 I / O 通 道 进 行 管 理 的 函 数 ， 难 道 这 个 漏 洞 与 驱 动 有 关 ？ 经 过 大 量 资 料 查 阅 ， 最 终 找 到 了 相 关 解 释 ：
原 来 是 A d v a n t e c h W e b A c c e s s 软 件 中 该 服 务 的 函 数 调 用 形 式 与 W i n d o w s 设 备 I O 控 制 函 数 调 用 非 常 相 似 ， 故 沿 用 了 该 叫 法 。 从 这 段 解 释 中 ， 同 时 也 可 以 发 现 该 服 务 默 认 运 行 于 T C P 4 5 9 2 端 口 ， 可 基 于 R P C 协 议 进 行 远 程 访 问 控 制 。 纳 尼 ？ 和 R P C 扯 上 关 系 了 ？ 到 底 是 一 个 什 么 洞 ？ 先 搭 环 境 跑 P o C 再 说 。 三 、 漏 洞 调 试 分 析 三 、 漏 洞 调 试 分 析 下 载 A d v a n t e c h W e b A c c e s s   V . 8 . 0 （ 该 漏 洞 在 < = 8 . 3 . 2 中 均 存 在 ） 在 W i n 7 x 6 4 虚 拟 机 中 安 装 ， 相 应 端 口 开 放 情 况 如 下 图 所 示 ： 既 然 漏 洞 与 R P C 协 议 相 关 ， 使 用 R p c V i e w 对 该 进 程 进 行 查 看 ： 选 取 w e b v r p c s . e x e 进 程 ， 可 以 很 方 便 的 获 取 到 R P C 服 务 端 口 （ T C P 5 9 2 ） 、 接 口 的 u u i d 和 v e r s i o n 信 息 。 在 h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 4 4 2 7 8 获 取 P o C 代 码 并 执 行 ， 靶 机 中 的 C a l c . e x e 成 功 运 行 ， 可 发 现 存 在 R P C 协 议 交 互 数 据 ：
对 目 标 文 件 （ w e b v r p c s . e x e ） 进 行 I D A 逆 向 查 看 ， 由 于 该 服 务 （ w e b v r p c s . e x e ） 使 用 了 R P C 协 议 ， 启 用 I D A 插 件 m I D A 提 取 代 码 中 的 R P C 接 口 并 重 建 相 关 的 I D L （ I n t e r f a c e   D e f i n i t i o n   L a n g u a g e ） 文 件 ， 在 I D A 中 得 到 以 下 结 果 ： 对 P o C 代 码 进 行 走 读 ， 第 一 步 为 连 接 建 立 ， 三 次 R P C   c a l l 中 第 三 次 需 要 用 到 第 二 次 的 返 回 的 c o n t e x t   h a n d l e , 作 为 第 三 次 c a l l 的 参 数 ， R P C 协 议 正 是 利 用 这 种 模 式 在 S e r v e r 与 C l i e n t 之 间 建 立 稳 定 连 接 的 ：
由 此 可 以 看 到 第 一 个 C a l l 似 乎 没 有 太 多 用 处 （ 最 后 可 以 作 验 证 ） 。 由 于 漏 洞 函 数 指 向 0 x 2 7 1 1   I O C T L ， 且 在 C a l l 的 过 程 中 使 用 的 o p c o d e 为 1 ， 因 此 在 m I D A 的 输 出 中 ， 首 先 选 择 o p c o d e   0 x 0 1 ， 右 击 D e c o m p i l e ， 得 到 函 数 原 型 如 下 ： 可 见 该 函 数 有 5 个 参 数 ， 与 最 终 传 入 C a l l 的 s t u b d a t a 相 对 应 : 4 个 数 字 型 和 一 个 s t r i n g 型 参 数 。 开 启 I D A 调 试 器 ， 从 s u b _ 4 0 1 2 6 0 入 手 进 行 单 步 调 试 ， 发 现 从 开 始 到 最 终 c a l c . e x e 得 到 执 行 ， 整 个 过 程 中 函 数 调 用 顺 序 为 ： 1 、 w e b v r p c s . e x e : s u b _ 4 0 1 2 6 0 2 、 w e b v r p c s . e x e : s u b _ 4 0 2 c 6 0 3 、 w e b v r p c s . e x e : s u b _ 4 0 4 6 D 0 4 、 d r a w s r v . d l l : D s D a q W e b S e r v i c e 5 、 d r a w s r v . d l l : s u b _ 1 0 0 0 1 7 B 0 对 于 第 4 个 函 数 D s D a q W e b S e r v i c e 需 要 对 d r a w s r v . d l l 进 行 检 查 ， 可 见 E D X 中 保 存 了 I O C T L 的 值 ， 在 I D A 把 代 码 进 行 缩 小 ， 可 发 现 有 非 常 多 的 分 支 / 跳 转 ， 而 E A X 的 值 最 终 决 定 了 函 数 的 下 一 步 跳 转 到 哪 个 分 支 ：
进 过 几 步 跳 转 ， 最 终 来 到 问 题 函 数 ， 查 看 伪 代 码 如 下 ： 函 数 s u b _ 1 0 0 0 1 7 B 0 起 了 一 个 新 进 程 ， 且 带 有 参 数 l p C o m m a n d L i n e ， 函 数 中 调 用 了 W i n d o w s   A P I   C r e a t e P r o c e s s A , 且 将 参 数 l p C o m m a n d L i n e 直 接 传 入 ， 对 于 函 数 C r e a t e P r o c e s s A 的 详 细 使 用 方 式 可 查 阅 W i n d o w s   A P I ， 同 时 结 合 W i n d o w s 在 系 统 中 搜 索 文 件 的 规 则 ， 该 参 数 可 以 使 用 类 似 P o C 中 使 用 的 形 式 ：
同 时 亦 可 直 接 使 用 ： 对 上 述 想 法 进 行 验 证 ： 首 先 注 销 第 一 个 R P C   C a l l ,   其 次 将 P a y l o a d 中 的 c o m m a n d 换 成 如 上 所 示 ， 再 次 执 行 仍 然 可 以 成 功 弹 出 计 算 器 。 四 、 总 结 四 、 总 结 从 对 漏 洞 整 个 分 析 以 及 P o C 分 析 来 看 ， 此 漏 洞 应 定 性 为 远 程 代 码 执 行 漏 洞 而 非 路 径 遍 历 漏 洞 ， 且 漏 洞 具 有 非 常 大 的 危 害 ， 此 前 研 华 公 司 先 后 声 称 在 V 8 . 3 、 V 8 . 3 . 1 等 版 本 中 已 经 修 补 此 漏 洞 ， 但 实 际 漏 洞 均 存 在 ， 当 前 最 新 版 本 的 V 8 . 4 . 0 中 漏 洞 已 经 得 到 修 复 。 另 外 ， 从 I D A 分 析 中 可 以 发 现 问 题 函 数 附 近 存 在 大 量 跳 转 ， 这 意 味 者 漏 洞 的 触 发 可 能 存 在 多 种 方 式 （ 于 是 就 是 多 个 不 同 的 C V E 了 ） ， 而 从 以 往 已 公 开 的 漏 洞 情 况 来 看 ， 有 大 量 漏 洞 与 本 文 分 析 的 C V E - 2 0 1 7 - 1 6 7 2 0 相 似 的 ， 小 伙 伴 们 ， 撸 起 袖 子 加 油 干 ， 大 量 C V E 等 待 收 割 。 * 本 文 作 者 ： w w 5 4 6 6 0 6 4 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 c o m m a n d   = " . . . . w i n d o w s s y s t e m 3 2 c a l c . e x e " c o m m a n d   =   " c a l c . e x e "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理