搜索

[2998] 2016-07-26_Windows10磁盘清理工具可被用于绕过UAC控制机制

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2016-07-26_Windows10磁盘清理工具可被用于绕过UAC控制机制 W i n d o w s   1 0 磁 盘 清 理 工 具 可 被 用 于 绕 过 U A C 控 制 机 制 原 创   E 安 全   E 安 全   2 0 1 6 - 0 7 - 2 6 利 用 内 置 磁 盘 清 理 计 划 任 务 绕 过 安 全 控 制 手 段 利 用 内 置 磁 盘 清 理 计 划 任 务 绕 过 安 全 控 制 手 段 E 安 全 安 全 7 月 月 2 6 日 讯 日 讯   安 全 研 究 人 员 安 全 研 究 人 员 M a t t   N e l s o n 与 与 M a t t   G r a e b e r 已 经 发 现 了 一 种 特 殊 的 已 经 发 现 了 一 种 特 殊 的 W i n d o w s 用 户 访 问 控 制 （ 简 称 用 户 访 问 控 制 （ 简 称 U A C ） 安 全 系 统 回 避 ） 安 全 系 统 回 避 办 法 ， 允 许 恶 意 文 件 在 办 法 ， 允 许 恶 意 文 件 在 W i n d o w s   1 0 系 统 中 不 向 用 户 发 出 任 何 异 常 提 醒 即 得 以 执 行 。 系 统 中 不 向 用 户 发 出 任 何 异 常 提 醒 即 得 以 执 行 。 他 们 发 现 的 这 种 方 法 并 不 涉 及 任 何 复 杂 的 特 权 文 件 副 本 或 者 代 码 注 入 机 制 ， 而 仅 仅 利 用 了 W i n d o w s 内 计 划 任 务 可 设 置 为 最 高 可 用 权 限 这 一 潜 在 漏 洞 。 他 们 选 择 的 计 划 任 务 与 磁 盘 清 理 工 具 相 关 ， 这 款 内 置 W i n d o w s 应 用 旨 在 帮 助 用 户 清 理 并 管 理 自 己 的 磁 盘 驱 动 器 。 该 计 划 任 务 的 描 述 为 ： “ 由
系 统 使 用 的 维 护 任 务 ， 可 在 磁 盘 空 间 不 足 时 以 静 默 方 式 启 动 自 动 磁 盘 清 理 维 护 操 作 。 ” 利 用 最 基 本 的 利 用 最 基 本 的 D L L 劫 持 技 术 绕 开 劫 持 技 术 绕 开 U A C 控 制 机 制 控 制 机 制 两 位 研 究 人 员 发 现 ， 当 W i n d o w s   1 0 运 行 此 项 任 务 时 ， 其 会 执 行 磁 盘 清 理 应 用 ， 而 该 应 用 又 会 向 “ C : U s e r s < u s e r n a m e > A p p D a t a L o c a l T e m p ” 位 置 的 文 件 夹 中 复 制 一 组 文 件 。 这 些 复 制 文 件 包 括 一 个 名 为 D i s m H o s t . e x e 的 可 执 行 文 件 外 加 大 量 D L L 文 件 。 磁 盘 清 理 应 用 随 后 会 执 行 该 E X E 文 件 ， 此 文 件 将 逐 一 加 载 与 其 处 于 同 一 文 件 夹 中 的 各 个 D L L 文 件 。 两 位 研 究 人 员 发 现 ， D i s m H o s t . e x e 会 将 L o g P r o v i d e r . d l l 作 为 执 行 序 列 中 的 最 后 一 个 D L L 文 件 ， 这 就 意 味 着 他 们 获 得 了 实 施 攻 击 的 时 间 段 。 N e l s o n 与 G r a e b e r 创 建 了 一 套 恶 意 脚 本 （ 即 恶 意 软 件 ） ， 其 能 够 监 控 本 地 文 件 系 统 在 T e m p 目 录 下 新 文 件 夹 的 创 建 操 作 。 一 旦 发 现 以 上 列 出 的 文 件 之 一 ， 该 脚 本 就 会 快 速 利 用 自 己 的 D L L 版 本 替 换 掉 正 常 L o g P r o v i d e r . d l l 文 件 ， 而 其 中 包 含 有 恶 意 操 作 内 容 。 U A C 会 直 接 忽 略 掉 计 划 任 务 会 直 接 忽 略 掉 计 划 任 务 这 项 攻 击 技 术 名 为 D L L 劫 持 ， 属 于 恶 意 攻 击 当 中 的 常 见 执 行 方 法 。 由 于 此 计 划 任 务 可 由 普 通 用 户 账 户 完 成 运 行 ， 但 又 拥 有 “ 最 高 可 用 权 限 ” ， 因 此 U A C 将 不 会 被 正 常 触 发 。 聪 明 的 攻 击 者 能 够 利 用 这 项 技 术 找 到 入 侵 普 通 用 户 账 户 的 方 法 ， 而 后 利 用 管 理 员 权 限 通 过 一 系 列 D L L 劫 持 手 段 完 成 代 码 执 行 目 的 。 修 复 仍 然 遥 遥 无 期 修 复 仍 然 遥 遥 无 期 好 消 息 是 ， 两 位 研 究 人 员 已 经 向 微 软 方 面 通 报 了 这 一 问 题 。 但 坏 消 息 在 于 ， 微 软 公 司 在 短 期 之 内 仍 然 不 会 给 出 任 何 修 复 办 法 。 “ 这 项 问 题 披 露 于 2 0 1 6 年 7 月 2 0 号 的 微 软 安 全 响 应 中 心 （ 简 称 M S R C ） ， ” N e l s o n 介 绍 称 。 “ 如 预 期 一 样 ， 对 方 回 应 称 U A C 并 不 属 于 安 全 边 界 ， 因 此 这 项 问 题 不 会 被 归 类 为 安 全 漏 洞 。 ” 与 此 同 时 ， 微 软 建 议 用 户 直 接 禁 用 该 任 务 或 者 如 下 图 所 示 取 消 “ 以 最 高 权 限 运 行 ” 勾 选 项 。
要 打 开 此 窗 口 ， 大 家 可 以 点 击 开 始 按 钮 ， 而 后 搜 索 “ S c h e d u l e d   T a s k s 。 ” 打 开 该 应 用 并 在 窗 口 左 侧 按 顺 序 打 开 以 下 文 件 夹 ： M i c r o s o f t   - > W i n d o w s   - >   D i s k C l e a n u p 。 。 在 这 里 ， 使 用 右 侧 菜 单 以 禁 用 该 任 务 ， 或 者 直 接 取 消 存 在 问 题 的 勾 选 项 。 E 句 话 M a c   O S   X   一 笑 而 过 ！ E 安 全 账 号 I D : E A Q a p p 全 球 网 络 安 全 资 讯 新 传 媒 专 注 提 供 最 新 、 最 全 、 最 快 的 网 络 安 全 资 讯 ！ 点 击 右 上 分 享 到 : Q Q 空 间 朋 友 圈 点 击 查 看 资 料 ， 免 费 关 注 E 安 全 客 服 & 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理