搜索

[22019] 2021-05-28_利用WindowsRPC绕过CFG防护机制

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-05-28_利用WindowsRPC绕过CFG防护机制 利 用 W i n d o w s   R P C 绕 过 C F G 防 护 机 制 S e c T r 安 全 团 队   L e m o n S e c   2 0 2 1 - 0 5 - 2 8 概 述 概 述 控 制 流 保 护 ( C F G ) 是 微 软 在 W i n d o w s   8 . 1   u p d a t e   3 和 W i n d o w s   1 0 中 启 用 的 一 种 抵 御 内 存 泄 露 攻 击 的 新 机 制 ， 用 于 阻 止 针 对 可 执 行 文 件 间 接 调 用 的 恶 意 利 用 。 研 究 人 员 在 分 析 C V E - 2 0 2 1 - 2 6 4 1 1 漏 洞 样 本 时 ， 发 现 了 一 种 使 用 W i n d o w s   P R C ( 远 程 调 用 ) 绕 过 C F G 防 护 机 制 的 新 方 法 。 C V E - 2 0 2 1 - 2 6 4 1 1 漏 洞 回 顾 漏 洞 回 顾 C V E - 2 0 2 1 - 2 6 4 1 1 是 B l i n k 渲 染 引 擎 的 U A F 漏 洞 。 r e m o v e A t t r i b u t e N o d e ( ) 触 发 属 性 对 象 n o d e V a l u e 的 v a l u e O f 回 调 ， 回 调 期 间 手 动 调 用 c l e a r A t t r i b u t e s ( ) ， 导 致 n o d e V a l u e 中 保 存 的 B S T R 被 提 前 释 放 。 v a l u e O f 回 调 返 回 后 ， 未 检 查 n o d e V a l u e 对 象 是 否 存 在 ， 从 而 导 致 U A F 。 微 软 三 月 补 丁 日 中 对 该 漏 洞 的 修 复 措 施 是 ， 在 删 除 C A t t r A r r a y   : :   D e s t r o y 函 数 中 的 对 象 之 前 添 加 索 引 检 查 ： 对 于 这 种 具 有 可 控 制 内 存 大 小 的 U A F 漏 洞 ， 利 用 的 方 法 一 般 是 ： 使 用 两 种 不 同 类 型 的 指 针 ( B S T R 和 D i c t i o n a r y . i t e m s ) 指 向 重 用 内 存 ， 然 后 通 过 类 型 混 淆 来 实 现 指 针 泄 漏 和 指 针 取 消 引 用 能 力 ：
W i n d o w s   R P C 介 绍 介 绍 R P C ， 即 R e m o t e   P r o c e d u r e   C a l l ( 远 程 过 程 调 用 ) ， 用 于 支 持 分 布 式 客 户 端 / 服 务 器 功 能 调 用 的 方 案 。 基 于 W i n d o w s   R P C ， 客 户 端 可 以 调 用 与 本 地 函 数 调 用 相 同 的 服 务 器 功 能 。 W i n d o w s   R P C 的 基 本 体 系 结 构 如 下 所 示 ： 客 户 端 / 服 务 器 程 序 将 调 用 参 数 或 返 回 值 传 递 给 较 低 级 的 S t u b 函 数 。 S t u b 函 数 负 责 将 数 据 封 装 为 N D R 格 式 。 通 过 运 行 时 库 进 行 的 通 信 是 由 r p c r t 4 . d l l 提 供 的 。 下 面 是 一 个 I D L 接 口 示 例 ： [     u u i d ( " 1 B C 6 D 2 6 1 - B 6 9 7 - 4 7 c 2 - A F 8 3 - 8 A E 2 5 9 2 2 C 0 F F " ) ,     v e r s i o n ( 1 . 0 ) ]
当 客 户 端 调 用 a d d 函 数 时 ， 服 务 器 从 r p c r t 4 . d l l 接 收 处 理 请 求 并 调 用 r p c r t 4 ! N d r s e r v e r C a l l 2 ： r p c r t 4 ! N d r s e r v e r C a l l 2 仅 具 有 一 个 参 数 P R P C _ M E S S A G E ， 其 中 包 含 重 要 数 据 ， 例 如 函 数 索 引 和 参 数 。 服 务 器 R P C _ M E S S A G E 结 构 和 主 要 子 数 据 结 构 如 下 所 示 ( 3 2 位 ) ： 如 上 图 所 示 ， 在 R P C _ M E S S A G E 结 构 中 ， 函 数 调 用 的 两 个 重 要 变 量 是 b u f f e r 和 R p c I n t e r f a c e I n f o r m a t i o n 。 缓 冲 区 存 储 函 数 的 参 数 ， 并 且 R p c I n t e r f a c e I n f o r m a t i o n 指 向 R P C _ s e r v e r _ I N T E R F A C E 结 构 。 R P C _ s e r v e r _ I N T E R F A C E 结 构 保 存 服 务 器 程 序 接 口 信 息 ， 其 中 D i s p a t c h T a b l e ( + 0 x 2 c ) 保 存 运 行 时 库 的 接 口 函 数 指 针 和 s t u b 函 数 ， 而 I n t e r p r e t e r I n f o ( + 0 x 3 c ) 指 向 M I D L _ s e r v e r _ I N F O 结 构 。 M I D L _ s e r v e r _ I N F O 结 构 保 存 服 务 器 I D L 接 口 信 息 ， 而 D i s p a t c h T a b l e ( + 0 x 4 ) 保 存 服 务 器 例 程 函 数 的 指 针 数 组 。 根 据 上 面 给 出 的 I D L ， 当 客 户 端 调 用 a d d ( 0 x 1 1 1 , 0 x 2 2 2 ) 时 ， 服 务 器 程 序 将 在 r p c r t 4 ! N d r s e r v e r C a l l 2 处 中 断 ： ] i n t e r f a c e   H e l l o R P C {     i n t   a d d ( i n t   x ,   i n t   y ) ; }
可 以 看 出 ， 动 态 调 试 内 存 转 储 与 R P C _ M E S S A G E 结 构 分 析 一 致 ， 并 且 a d d 函 数 存 储 在 M I D L _ s e r v e r _ I N F O . D i s p a t c h T a b l e 中 。 接 下 来 ， 我 们 将 分 析 r p c r t 4 ! N d r s e r v e r C a l l 2 如 何 根 据 R P C _ M E S S A G E 调 用 a d d 函 数 ： r p c r t 4 ! N d r s e r v e r C a l l 2 在 内 部 调 用 r p c r t 4 ! N d r S t u b C a l l 2 。 r p c r t 4 ! N d r S t u b C a l l 2 根 据 M I D L _ s e r v e r _ I N F O . D i s p a t c h T a b l e 和 R P C _ M E S S A G E . P r o c N u m 计 算 函 数 指 针 地 址 ， 并 将 函 数 指 针 、 函 数 参 数 和 参 数 长 度 传 递 给 r p c r t 4 ! I n v o k e ： r p c r t 4 ! I n v o k e 最 终 调 用 服 务 器 提 供 的 例 程 功 能 ：
漏 洞 利 用 漏 洞 利 用 基 于 以 上 分 析 ， 在 实 现 任 意 内 存 读 / 写 原 语 后 ， 我 们 可 以 通 过 构 造 虚 假 的 R P C _ M E S S A G E ， 设 置 要 调 用 的 函 数 指 针 和 函 数 参 数 ， 然 后 手 动 调 用 r p c r t 4 ! N d r s e r v e r C a l l 2 以 实 现 任 意 代 码 执 行 。 如 图 所 示 ， 这 是 一 个 间 接 函 数 调 用 ， 并 且 具 有 C F G 检 查 。 因 此 ， 在 篡 改 M I D L _ s e r v e r _ I N F O . D i s p a t c h T a b l e 函 数 指 针 之 后 ， 我 们 需 要 考 虑 如 何 绕 过 C F G 防 护 机 制 。 如 何 在 如 何 在 j a v a s c r i p t 中 调 用 中 调 用 r p c r t 4 ! N d r s e r v e r C a l l 2 ？ ？ 我 们 可 以 使 用 r p c r t 4 ! N d r s e r v e r C a l l 2 替 换 D O M 对 象 v t a b l e 的 函 数 指 针 。 由 于 r p c r t 4 ! N d r s e r v e r C a l l 2 是 在 C F G B i t m a p 中 是 合 法 的 指 针 ， 因 此 它 可 以 通 过 C F G 检 查 。 将 M S H T M L ! C A t t r i b u t e : : n o r m a l i z e 替 换 为 r p c r t 4 ! N d r s e r v e r C a l l 2 ， 并 在 j a v a s c r i p t 中 调 用 “ x y z . n o r m a l i z e ( ) ” 以 调 用 r p c r t 4 ! N d r s e r v e r C a l l 2 。 如 何 绕 过 如 何 绕 过 r p c r t 4 ! N d r s e r v e r C a l l 2 中 的 中 的 C F G 保 护 ？ 保 护 ？
1 .   使 用 伪 造 的 R P C _ M E S S A G E 和 r p c r t 4 ! N d r s e r v e r C a l l 2 调 用 V i r t u a l P r o t e c t ， 并 将 r p c r t 4 ! _ _ g u a r d _ c h e c k _ i c a l l _ f p t r 的 内 存 属 性 修 改 为 P A G E _ E X E C U T E _ R E A D W R I T E   2 .   将 保 存 在 r p c r t 4 ! _ _ g u a r d _ c h e c k _ i c a l l _ f p t r 中 的 指 针 n t d l l ! L d r p V a l i d a t e U s e r C a l l T a r g e t 替 换 为 n t d l l ! K i F a s t S y s t e m C a l l R e t ， 以 杀 死 r p c r t 4 . d l l 中 的 C F G 检 查   3 .   恢 复 r p c r t 4 ! _ _ g u a r d _ c h e c k _ i c a l l _ f p t r 内 存 属 性 如 此 一 来 ， 伪 造 的 R P C _ M E S S A G E 便 可 以 用 于 调 用 任 何 函 数 指 针 ， 包 括 缓 冲 区 存 储 s h e l l c o d e ， 因 为 r p c r t 4 . d l l 中 的 C F G 检 查 已 被 杀 死 。 最 后 ， 该 示 例 将 s h e l l c o d e 写 入 m s i . d l l + 0 x 5 0 0 0 ， 并 最 终 通 过 r p c r t 4 ! N d r s e r v e r C a l l 2 调 用 s h e l l c o d e ： 漏 洞 利 用 屏 幕 截 图 ： f u n c t i o n   k i l l C f g ( a d d r )   {     v a r   c f g o b j   =   n e w   C F G O b j e c t ( a d d r )     i f   ( ! c f g o b j . g e t C F G V a l u e ( ) )           r e t u r n     v a r   g u a r d _ c h e c k _ i c a l l _ f p t r _ a d d r e s s   =   c f g o b j . g e t C F G A d d r e s s ( )     v a r   K i F a s t S y s t e m C a l l R e t   =   g e t P r o c A d d r ( n t d l l ,   ' K i F a s t S y s t e m C a l l R e t ' )     v a r   t m p b u f f e r   =   c r e a t e A r r a y b u f f e r ( 4 )     c a l l 2 ( V i r t u a l P r o t e c t ,   [ g u a r d _ c h e c k _ i c a l l _ f p t r _ a d d r e s s ,   0 x 1 0 0 0 ,   0 x 4 0 ,   t m p b u f f e r ] )     w r i t e ( g u a r d _ c h e c k _ i c a l l _ f p t r _ a d d r e s s ,   K i F a s t S y s t e m C a l l R e t ,   3 2 )     c a l l 2 ( V i r t u a l P r o t e c t ,   [ g u a r d _ c h e c k _ i c a l l _ f p t r _ a d d r e s s ,   0 x 1 0 0 0 ,   r e a d ( t m p b u f f e r ,   3 2 ) ,   t m p b u f f e r ] )     m a p . d e l e t e ( t m p b u f f e r ) } v a r   s h e l l c o d e   =   n e w   U i n t 8 A r r a y ( [ 0 x c c ] ) v a r   m s i   =   c a l l 2 ( L o a d L i b r a r y E x A ,   [ n e w S t r ( ' m s i . d l l ' ) ,   0 ,   1 ] )   +   0 x 5 0 0 0 v a r   t m p b u f f e r   =   c r e a t e A r r a y b u f f e r ( 4 ) c a l l 2 ( V i r t u a l P r o t e c t ,   [ m s i ,   s h e l l c o d e . l e n g t h ,   0 x 4 ,   t m p b u f f e r ] ) w r i t e d a t a ( m s i ,   s h e l l c o d e ) c a l l 2 ( V i r t u a l P r o t e c t ,   [ m s i ,   s h e l l c o d e . l e n g t h ,   r e a d ( t m p b u f f e r ,   3 2 ) ,   t m p b u f f e r ] ) c a l l 2 ( m s i ,   [ ] )
总 结 总 结 利 用 W i n d o w s   R P C 绕 过 C F G 防 护 机 制 ， 不 需 要 构 造 R O P 链 ， 直 接 通 过 伪 造 的 R P C _ M E S S A G E 即 可 实 现 任 意 代 码 执 行 。 该 方 法 简 单 且 有 效 ， 因 此 很 可 能 会 成 为 一 种 新 的 绕 过 C F G 防 护 措 施 的 有 效 方 法 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理