搜索

[9651] 2015-12-18_Grub2被曝登陆验证绕过0Day，影响众多Linux版本（CVE-2015-8370）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-12-18_Grub2被曝登陆验证绕过0Day，影响众多Linux版本（CVE-2015-8370） G r u b 2 被 曝 登 陆 验 证 绕 过 0 D a y ， 影 响 众 多 L i n u x 版 本 （ C V E - 2 0 1 5 - 8 3 7 0 ） S e c D a r k e r   F r e e B u f   2 0 1 5 - 1 2 - 1 8 描 述 描 述 近 日 ， 研 究 人 员 发 现 了 一 个 近 日 ， 研 究 人 员 发 现 了 一 个 G r u b 2 的 漏 洞 ， 版 本 的 漏 洞 ， 版 本 1 . 9 8 （ （ 2 0 0 9 年 发 布 ） 到 年 发 布 ） 到 2 . 0 2 （ （ 2 0 1 5 年 发 布 ） 均 受 影 响 。 本 地 用 户 能 够 年 发 布 ） 均 受 影 响 。 本 地 用 户 能 够 通 过 这 个 漏 洞 绕 过 任 何 形 式 的 认 证 （ 明 文 密 码 或 者 哈 希 密 码 ） ， 使 得 攻 击 者 进 而 可 以 获 得 电 脑 的 控 制 权 限 。 而 大 部 通 过 这 个 漏 洞 绕 过 任 何 形 式 的 认 证 （ 明 文 密 码 或 者 哈 希 密 码 ） ， 使 得 攻 击 者 进 而 可 以 获 得 电 脑 的 控 制 权 限 。 而 大 部 分 的 分 的 l i n u x 系 统 都 将 系 统 都 将 G r u b 2 作 为 开 机 引 导 程 序 ， 包 括 一 些 嵌 入 式 系 统 。 因 此 将 有 不 计 其 数 的 设 备 受 到 此 漏 洞 的 威 胁 。 作 为 开 机 引 导 程 序 ， 包 括 一 些 嵌 入 式 系 统 。 因 此 将 有 不 计 其 数 的 设 备 受 到 此 漏 洞 的 威 胁 。 如 下 图 所 示 ， 我 们 成 功 的 在 D e b i a n   7 . 5   Q E M U 下 利 用 这 个 漏 洞 获 得 了 G r u b   r e s c u e   s h e l l 。 快 速 判 断 你 的 系 统 是 否 有 该 漏 洞 ？ 快 速 判 断 你 的 系 统 是 否 有 该 漏 洞 ？ 想 要 快 速 判 断 你 的 系 统 是 否 有 这 个 漏 洞 ， 只 需 在 g r u b 出 现 输 入 用 户 名 的 界 面 时 ， 连 续 按 2 8 次 B a c k s p a c e （ 退 格 键 ） ， 如 果 系 统 重 启 或 者 返 回 r e s c u e   s h e l l   ， 那 么 你 的 g r u b 就 会 受 到 该 漏 洞 影 响 。 影 响 影 响 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 得 到 G r u b   r e s c u e   s h e l l ， G r u b   r e s c u e 是 一 个 权 限 非 常 高 的 s h e l l ， 通 过 这 个 漏 洞 可 以 做 到 以 下 事 情 ： 1 . 权 限 提 升 ： 攻 击 者 在 没 有 有 效 的 用 户 名 密 码 的 情 况 下 即 可 获 得 g r u b 控 制 台 的 所 有 权 限 。 2 . 信 息 泄 露 ： 攻 击 者 可 以 通 过 加 载 一 个 定 制 的 内 核 和 i n i t r a m f s （ 比 如 从 U S B 加 载 ） ， 从 而 获 得 一 个 更 便 利 的 环 境 ， 拷 贝 窃 取 整 个 硬 盘 的 数 据 或 者 往 系 统 里 安 装 一 个 r o o t k i t 。 3 . 拒 绝 服 务 ： 攻 击 者 能 够 摧 毁 任 何 数 据 包 括 g r u b 自 身 ， 即 使 硬 盘 是 加 密 的 数 据 也 可 以 被 覆 盖 ， 从 而 造 成 D O S （ 系 统 无 法 使 用 ） 。 细 节 细 节
这 个 漏 洞 从 1 . 9 8 （ 2 0 0 9 ） 版 本 就 存 在 g r u b 的 代 码 中 了 ， b 3 9 1 b d b 2 f 2 c 5 c c f 2 9 d a 6 6 c e c d b f b 7 5 6 6 6 5 6 a 7 0 4 d 是 这 个 漏 洞 的 提 交 编 号 ， 问 题 就 存 在 于 g r u b _ p a s s w o r d _ g e t ( ) 函 数 中 。 其 中 有 两 个 函 数 都 存 在 整 数 下 溢 问 题 g r u b _ u s e r n a m e _ g e t ( ) 和 g r u b _ p a s s w o r d _ g e t ( ) 。 它 们 分 别 存 在 于 g r u b - c o r e / n o r m a l / a u t h . c 和 l i b / c r y p t o . c 文 件 中 。 这 两 个 函 数 除 了 对 p r i n t f ( ) 的 调 用 在 其 他 地 方 都 是 一 样 的 ， 就 像 下 面 所 示 的 g r u b _ u s e r n a m e _ g e t ( ) 那 样 。 本 文 中 的 P O C 是 通 过 利 用 g r u b _ u s e r n a m e _ g e t ( ) 中 的 漏 洞 获 取 G r u b   r e s c u e   s h e l l 的 。 以 下 是 g r u b _ u s e r n a m e _ g e t ( ) 函 数 中 的 漏 洞 细 节 代 码 ： g r u b _ u s e r n a m e _ g e t ( ) 函 数 代 码 这 个 问 题 是 由 于 自 减 变 量 c u r _ l e n 没 有 做 范 围 校 验 导 致 的 。 利 用 （ 利 用 （ P O C ） ） 这 段 代 码 中 ， 对 c u r _ l e n 变 量 的 使 用 存 在 两 个 问 题 o f f - b y - t w o 和 O u t   o f   b o u n d s   o v e r w r i t e （ 代 码 中 后 面 两 个 注 释 ） 。 前 面 那 个 错 误 注 释 点 ， 在 用 于 存 储 用 户 名 的 缓 冲 区 中 会 有 两 个 字 节 的 超 长 ， 但 是 这 里 没 有 办 法 利 用 ， 被 覆 盖 的 内 存 是 用 于 填 充 的 。 后 面 那 个 错 误 注 释 点 （ / /   O u t   o f   b o u n d s   o v e r w r i t e   这 里 ） 比 较 有 意 思 ， 因 为 这 句 代 码 允 许 我 们 用 0 x 0 0 去 覆 盖 用 于 存 储 用 户 名 缓 存 的 内 存 。 这 是 因 为 g r u b _ m e m s e t ( ) 函 数 会 尝 试 将 用 户 名 缓 冲 区 未 使 用 的 字 节 设 置 成 0 x 0 0 。 为 了 达 到 这 个 目 的 ， 这 段 代 码 会 计 算 出 第 一 个 未 使 用 的 字 节 地 址 和 需 要 被 填 充 为 0 x 0 0 的 缓 冲 区 的 大 小 。 这 两 个 计 算 的 结 果 会 作 为 参 数 传 递 给 g r u b _ m e m s e t ( ) 函 数 ： g r u b _ m e m s e t   ( b u f   +   c u r _ l e n ,   0 ,   b u f _ s i z e   -   c u r _ l e n ) ; 举 个 例 子 ， 当 在 用 户 名 中 输 入 “ r o o t ” 时 ， c u r _ l e n 的 值 为 5 ， g r u b _ m e m s e t ( ) 函 数 会 将 用 户 名 缓 冲 区 的 第 5 到 1 0 2 4 字 节 （ 用 户 名 和 密 码 的 缓 冲 区 长 度 为 1 0 2 4 字 节 ） 清 空 （ 设 置 为 0 x 0 0 ） 。 这 样 写 代 码 其 健 壮 性 是 很 好 的 。 例 如 ， 如 果 输 入 的 用 户 名 被 存 储 在
干 净 的 1 0 2 4 - b y t e 数 组 中 ， 就 可 以 直 接 将 整 个 1 0 2 4 - b y t e 内 存 与 有 效 的 用 户 名 进 行 比 较 ， 而 不 是 去 比 较 两 个 字 符 串 。 这 样 能 够 防 御 一 些 s h o r t   o f   s i d e - c h a n n e l s 攻 击 ， 比 如 t i m i n g   a t t a c k s （ 比 如 第 一 次 输 入 u s e r n a m e 为 a a a a a a a a ， 然 后 接 着 又 输 入 b b b b ， 这 样 编 码 就 可 以 避 免 出 现 第 二 次 结 果 为 b b b b [ 0 x 0 0 ] a a a 的 情 况 ） 。 最 简 单 快 速 的 验 证 这 个 内 存 覆 盖 越 界 的 方 法 就 是 不 停 的 按 b a c k s p a c e   （ 退 格 键 ） 让 c u r _ l e n 变 量 下 溢 ， 达 到 一 个 非 常 大 的 值 ， 这 个 值 马 上 会 被 用 来 计 算 待 清 空 空 间 的 起 始 地 址 。 m e m s e t   d e s t i n a t i o n   a d d r e s s   =   b u f   +   c u r _ l e n 通 过 这 个 点 ， 由 于 用 户 名 缓 冲 区 地 址 的 值 超 出 了 3 2 位 变 量 能 够 存 储 的 范 围 ， 第 二 次 缓 冲 区 溢 出 被 触 发 。 因 此 ， 我 们 要 通 过 精 心 构 造 第 一 次 下 溢 与 第 二 次 缓 冲 区 溢 出 来 计 算 g r u b _ m e m s e t ( ) 函 数 将 要 使 用 的 目 的 地 址 ： c u r _ l e n - - ;   / /   I n t e g e r   U n d e r f l o w g r u b _ m e m s e t   ( b u f   +   c u r _ l e n ,   0 ,   b u f _ s i z e   -   c u r _ l e n ) ;   / /   I n t e g e r   O v e r f l o w 下 面 的 这 个 例 子 可 以 帮 助 你 们 去 理 解 我 们 是 如 何 利 用 这 个 漏 洞 的 。 假 设 用 户 名 缓 冲 区 的 起 始 地 址 为 0 x 7 f 6 7 4 ， 然 后 攻 击 者 按 一 次 退 格 键 （ 下 溢 值 为 0 x F F F F F F F F ） ， 那 么 m e m s e t 就 是 下 面 这 样 的 ： g r u b _ m e m s e t   ( 0 x 7 f 6 7 3 ,   0 ,   1 0 2 5 ) ; 第 一 个 参 数 ： ( b u f + c u r _ l e n )   =   ( 0 x 7 f 6 7 4 + 0 x F F F F F F F F ) = ( 0 x 7 f 6 7 4 - 1 )   =   0 x 7 f 6 7 3 ； 第 二 个 参 数 ： 用 来 覆 盖 内 存 的 常 量 ， 这 里 是 0 ； 第 三 个 参 数 是 要 覆 盖 的 大 小 ： ( b u f _ s i z e - c u r _ l e n ) = ( 1 0 2 4 - ( - 1 ) ) = 1 0 2 5 。 结 果 就 是 ， 整 个 用 户 名 的 缓 冲 区 空 间 （ 1 0 2 4 ） 外 加 前 面 的 一 个 字 节 全 都 被 0 x 0 0 覆 盖 。 按 下 的 退 格 键 的 次 数 ， 就 是 用 户 名 缓 冲 区 之 前 填 充 的 0 x 0 0 的 数 量 。 现 在 ， 我 们 已 经 能 够 覆 盖 用 户 名 缓 冲 区 的 任 意 数 量 的 字 节 。 接 下 来 需 要 去 找 0 x 0 0 覆 盖 到 并 且 可 以 用 来 实 现 恶 意 代 码 执 行 的 内 存 地 址 。   在 栈 帧 中 进 行 寻 找 ， 可 以 很 快 发 现 g r u b _ m e m s e t ( ) 函 数 的 返 回 地 址 能 够 被 覆 盖 到 。 下 面 这 张 图 可 以 清 楚 的 展 示 出 栈 的 内 存 布 局 ： G r u b 2 :   重 定 向 控 制 流 如 图 中 所 示 ， g r u b _ m e m s e t ( ) 函 数 的 返 回 地 址 与 用 户 名 缓 冲 区 之 间 的 距 离 为 1 6 字 节 。 换 句 话 说 ， 如 果 我 们 按 1 7 次 退 格 键 ， 我 们 就 能 够 覆 盖 到 返 回 地 址 的 最 高 字 节 。 所 以 ， 函 数 返 回 地 址 0 x 0 7 e b 5 3 e 8 会 被 替 换 掉 ， 最 终 会 跳 转 到 0 x 0 0 e b 5 3 e 8 。 当 g r u b _ m e m s e t ( ) 执 行 结 束 时 ， 控 制 流 会 重 定 向 到 0 x 0 0 e b 5 3 e 8 ， 导 致 系 统 重 启 。 同 样 的 ， 按 退 格 键 1 8 ， 1 9 ， 2 0 次 ， 都 会 导 致 系 统 重 启 。 到 这 里 ， 我 们 能 够 重 定 向 控 制 流 了 。
我 们 跳 过 了 对 0 x 0 0 e b 5 3 e 8 , 0 x 0 0 0 0 5 3 e 8 、 0 x 0 0 0 0 0 0 e 8 地 址 处 的 代 码 分 析 ， 因 为 跳 到 这 几 个 地 址 中 ， 只 能 导 致 系 统 重 启 ， 没 有 办 法 控 制 执 行 流 。 虽 然 成 功 的 构 造 攻 击 跳 转 到 0 x 0 看 起 来 非 常 困 难 ， 但 是 我 们 下 面 将 会 展 示 我 们 最 终 是 如 何 做 到 的 。 跳 转 到 跳 转 到 0 x 0 之 后 系 统 能 否 继 续 存 活 ？ 之 后 系 统 能 否 继 续 存 活 ？ 0 x 0 地 址 是 处 理 器 的 I V T （ 中 断 向 量 表 ） 的 入 口 。 这 里 包 含 了 大 量 的 段 偏 移 表 的 指 针 。 I V T 中 断 最 低 地 址 处 的 代 码 在 启 动 的 早 期 阶 段 ， 处 理 器 和 执 行 框 架 都 还 不 具 备 所 有 的 功 能 。 下 面 是 能 否 成 功 利 用 的 一 些 关 键 因 素 ， 这 在 每 个 系 统 中 可 能 有 所 不 同 ： 1 . 处 理 器 处 于 “ 保 护 模 式 ” ， G r u b 2 在 最 开 始 的 阶 段 会 开 启 这 个 模 式 2 . 未 启 用 虚 拟 内 存 3 . 没 有 内 存 保 护 ， 内 存 是 可 读 / 可 写 / 可 执 行 的 ， 并 且 没 有 N X / D E P 保 护 4 . 处 理 器 执 行 3 2 位 指 令 集 ， 即 使 在 6 4 位 架 构 下 5 . 处 理 器 会 自 动 处 理 动 态 自 修 改 的 代 码 ： 如 果 写 入 影 响 到 一 条 预 取 指 令 ， 指 令 队 列 将 会 无 效 。 6 . 没 用 栈 保 护 机 制 （ S S P ） 7 . 没 有 开 启 地 址 空 间 布 局 随 机 化 （ A S L R ） 因 此 ， 跳 转 到 0 x 0 地 址 并 不 会 造 成 系 统 自 身 崩 溃 ， 但 是 我 们 需 要 控 制 执 行 流 让 代 码 走 到 包 含   G r u b 2   R e s c u e   S h e l l 功 能 的 目 标 函 数 g r u b _ r e s c u e _ r u n ( ) 中 。 要 跳 转 到 要 跳 转 到 0 x 0 ， 需 要 控 制 哪 些 东 西 ？ ， 需 要 控 制 哪 些 东 西 ？
当 用 户 按 下 [ E n t e r ] 或 者 [ E s c ] 时 ， g r u b _ u s e r n a m e _ g e t ( ) 函 数 的 主 循 环 将 会 结 束 。 此 时 ， % e b x 寄 存 器 中 会 保 存 最 后 一 个 按 键 的 值 ( E n t e r 的 a s c i i 码 为 0 x d ， E s c 的 a s c i i 码 为 0 x 8 ) 。 % e s i 寄 存 器 会 保 存 c u r _ l e n 变 量 的 值 。 如 上 图 所 示 ， 指 令 指 针 （ E I P ） 指 向 0 x 0 地 址 ， % e s i 寄 存 器 的 值 为 - 2 8 （ 利 用 程 序 连 按 了 2 8 次 退 格 键 ） ， 然 后 按 下 [ E n t e r ] （ % e b x = 0 x d ） 。 I V T 逆 向 逆 向 如 果 处 理 器 的 状 态 像 前 面 所 述 的 那 样 （ 会 自 动 处 理 动 态 自 修 改 的 代 码 ） ， I V T 中 的 代 码 就 有 像 m e m c p y ( ) 一 样 的 功 能 , 会 从 % e s i 寄 存 器 指 向 的 地 址 中 拷 贝 代 码 到 0 x 0 （ I V T 自 身 ） 。 因 此 ， I V T 是 自 修 改 的 代 码 ， 并 且 我 们 能 够 选 择 我 们 想 拷 贝 的 代 码 区 块 。 下 面 的 步 骤 展 示 了 代 码 真 正 的 执 行 顺 序 ， 此 时 % e s i 寄 存 器 的 值 为 - 2 8 （ 0 x f f f f f f e 4 ） ： 在 第 三 次 循 环 中 ， 往 0 x 0 0 0 7 处 插 入 了 r e t w 指 令 ， 此 时 % e s p 指 向 的 地 址 为 0 x e 0 0 c （ 栈 顶 返 回 地 址 ） 。 因 此 ， 当 r e t w 指 令 执 行 后 ， 执 行 流 跳 到 0 x e 0 0 c 。 这 个 地 址 属 于 g r u b _ r e s c u e _ r u n ( ) 函 数 ：
通 过 这 步 利 用 ， G R U B 2 进 到 了 g r u b   r e s c u e 函 数 中 ， 我 们 获 得 了 一 个 高 权 限 的 s h e l l 。 幸 运 的 是 ， 内 存 虽 然 被 轻 微 的 修 改 ， 但 是 还 是 能 够 使 用 G R U B 的 所 有 功 能 。 I V T 的 中 断 向 量 虽 然 被 修 改 了 ， 但 由 于 处 理 器 现 在 处 于 保 护 模 式 ， I V T 不 会 再 被 使 用 。 近 一 步 深 入 近 一 步 深 入 虽 然 我 们 进 到 了 G R U B 2   r e s c u e 函 数 中 ， 但 却 并 没 有 真 正 的 通 过 认 证 。 如 果 要 进 入 “ n o r m a l ” 模 式 （ 这 个 模 式 提 供 了 g r u b 菜 单 和 完 整 的 编 辑 功 能 ） ， G R U B 会 要 求 你 输 入 正 确 的 用 户 名 密 码 。 我 们 可 以 直 接 输 入 G R U B 2 命 令 ， 甚 至 引 入 一 个 新 的 模 块 来 添 加 一 个 新 的 G R U B 功 能 ， 最 终 通 过 往 系 统 里 部 署 恶 意 软 件 启 动 完 整 的 b a s h   s h e l l 来 获 取 一 个 更 便 利 环 境 。 要 运 行 l i n u x 的 b a s h ， 我 们 可 以 使 用 G R U B 2 的 命 令 ， 比 如 l i n u x ,   i n i t r d 或 者 i n s m o d 。 虽 然 使 用 G R U B 2 命 令 运 行 l i n u x 内 核 来 部 署 恶 意 软 件 是 完 全 可 行 的 ， 但 是 我 们 发 现 了 一 个 更 简 单 的 解 决 方 案 ， 往 G R U B 2 的 R A M 中 写 入 代 码 补 丁 来 绕 过 认 证 ， 然 后 再 回 到 “ n o r m a l ” 模 式 。 这 个 方 法 的 思 路 是 修 改 用 户 认 证 的 校 验 条 件 ， 其 相 关 代 码 在 g r u b - c o r e / n o r m a l / a u t h . c   文 件 中 的 i s _ a u t h e n t i c a t e d ( ) 函 数 中 。
完 成 这 个 修 改 使 用 了 G R U B 2   r e s c u e 的 命 令 w r i t e _ w o r d 。 这 样 ， 返 回 G R U B 2 的 “ n o r m a l ” 模 式 的 所 有 条 件 都 已 经 达 成 了 。   句 话 说 ， 我 们 不 需 要 用 户 名 密 码 就 可 以 进 入 G R U B 2 的 “ 编 辑 模 式 ” 了 。 A P T 攻 击 如 何 使 用 这 个 攻 击 如 何 使 用 这 个 0 d a y ？ ？ 物 理 接 触 是 A P T 攻 击 的 一 个 “ 高 级 ” 特 性 。 A P T 攻 击 的 一 个 主 要 目 标 就 是 窃 取 敏 感 信 息 。 下 面 是 一 个 非 常 简 单 的 例 子 展 示 一 个 A P T 如 何 影 响 系 统 ， 持 续 性 的 获 取 用 户 数 据 的 。 以 下 是 目 标 系 统 配 置 的 概 述 ： 1 . B I O S / U E F I   使 用 密 码 进 行 了 保 护 ； 2 . G R U B 2 编 辑 模 式 使 用 了 密 码 进 行 保 护 ； 3 . 扩 展 启 动 方 式 被 禁 用 ： C D R O M , D V D , U S B , N e t b o o t ， P X E … 4 . 用 户 数 据 被 加 密 。
正 如 前 面 提 到 的 ， 我 们 的 目 标 是 窃 取 用 户 数 据 。 由 于 数 据 被 加 密 了 ， 我 们 的 策 略 是 先 感 染 系 统 然 后 等 待 用 户 解 密 数 据 （ 通 过 登 录 系 统 ） ， 然 后 我 们 直 接 获 取 明 文 信 息 。 准 备 环 境 部 署 恶 意 软 件 准 备 环 境 部 署 恶 意 软 件 通 过 我 们 刚 刚 对 G R U B 2 漏 洞 利 用 的 分 析 与 展 示 ， 我 们 可 以 很 容 易 的 修 改 l i n u x 入 口 去 加 载 一 个 l i n u x 内 核 来 获 取 r o o t 权 限 的 s h e l l 。 这 是 一 个 很 老 但 却 仍 然 有 效 的 欺 骗 方 法 ， 只 需 要 添 加 i n i t = / b i n / b a s h 到 l i n u x 入 口 处 ， 我 们 就 能 够 获 取 r o o t 权 限 的 l i n u x   s h e l l ， 这 个 环 境 能 够 让 我 们 更 方 便 的 部 署 恶 意 软 件 。 由 于 / b i n / b a s h   是 第 一 个 启 动 的 进 程 ， s y s l o g 监 控 还 没 有 运 行 ， 日 志 不 会 记 录 。 因 此 ， 这 一 入 侵 将 不 会 被 常 见 的 l i n u x 监 控 检 测 到 。 部 署 恶 意 软 件 来 获 得 持 续 性 的 控 制 部 署 恶 意 软 件 来 获 得 持 续 性 的 控 制 为 了 展 示 通 过 利 用 这 个 G r u b 2   0 d a y 漏 洞 能 够 做 多 少 事 情 ， 我 们 开 发 了 一 个 简 单 的 P O C 。 这 个 P O C 可 以 篡 改 火 狐 的 链 接 库 ， 能 够 创 建 一 个 新 线 程 并 启 动 一 个 反 弹 s h e l l 连 接 到 控 制 服 务 器 的 5 3 号 端 口 上 。 当 然 这 只 是 一 个 简 单 的 例 子 ， 在 实 际 场 景 中 的 恶 意 软 件 获 取 信 息 会 隐 秘 很 多 。 将 修 改 后 的 链 接 库 上 传 到 v i r u s t o t a l 中 检 测 ， 5 5 款 杀 毒 引 擎 没 有 一 个 能 检 测 出 这 是 一 个 恶 意 软 件 。 火 狐 是 一 款 w e b 浏 览 器 ， 向 H T T P 和 D N S 端 口 发 送 请 求 ， 所 以 ， 我 们 修 改 的 链 接 库 使 用 这 些 端 口 看 起 来 并 不 是 什 么 可 疑 行 为 。 为 了 感 染 系 统 我 们 将 被 修 改 的 l i b p l c 4 . s o 放 到 U S B 中 然 后 替 换 掉 源 文 件 。 我 们 必 须 将 U S B 设 备 挂 载 到 系 统 上 并 且 赋 予 可 写 的 权 限 ， 正 如 下 图 所 示 ：
感 染 系 统 当 任 意 用 户 运 行 火 狐 时 ， 一 个 反 弹 s h e l l 就 会 发 起 连 接 。 此 时 ， 所 有 的 用 户 数 据 都 已 经 被 解 密 了 ， 这 允 许 我 们 窃 取 用 户 的 所 有 信 息 。 下 图 展 示 了 用 户 B o b （ 被 攻 击 用 户 ） 正 在 使 用 火 狐 浏 览 网 页 ， 而 A l i c e （ 攻 击 者 ） 则 完 全 获 得 了 B o b 的 数 据 。 想 要 更 持 续 性 的 控 制 系 统 ， 可 以 修 改 一 个 简 单 的 内 核 放 到 未 加 密 的 / b o o t 分 区 中 ， 来 提 权 部 署 一 个 更 为 持 久 的 恶 意 软 件 ， 这 样 我 们 就 可 以 为 所 欲 为 了 。 修 复 方 案 修 复 方 案 这 个 漏 洞 很 容 易 修 复 ， 只 要 防 止 c u r _ l e n 溢 出 就 行 。 目 前 主 流 厂 商 都 已 经 意 识 到 了 这 个 漏 洞 ， 因 此 我 们 也 顺 便 写 了 个 “ 紧 急 补 丁 ” 放 到 G R U B 2 的 g i t 中 ：
补 丁 地 址 ： h t t p : / / h m a r c o . o r g / b u g s / p a t c h e s / 0 0 0 1 - F i x - C V E - 2 0 1 5 - 8 3 7 0 - G r u b 2 - u s e r - p a s s - v u l n e r a b i l i t y . p a t c h G R U B   2 . 0 2 修 复 命 令 ： $   g i t   c l o n e   g i t : / / g i t . s a v a n n a h . g n u . o r g / g r u b . g i t   g r u b . g i t $   c d   g r u b . g i t $   w g e t   h t t p : / / h m a r c o . o r g / b u g s / p a t c h e s / 0 0 0 1 - F i x - C V E - 2 0 1 5 - 8 3 7 0 - G r u b 2 - u s e r - p a s s - v u l n e r a b i l i t y . p a t c h $   g i t   a p p l y   0 0 0 1 - F i x - C V E - 2 0 1 5 - 8 3 7 0 - G r u b 2 - u s e r - p a s s - v u l n e r a b i l i t y . p a t c h 总 结 总 结 经 过 我 们 的 深 入 分 析 ， 最 终 成 功 利 用 这 个 漏 洞 。 但 正 如 文 中 所 说 ， 成 功 的 利 用 需 要 很 多 条 件 ： B I O S 版 本 、 G R U B 版 本 、 R A M 容 量 、 内 存 布 局 能 否 修 改 ， 且 每 个 系 统 都 需 要 深 入 的 分 析 去 构 造 特 殊 的 利 用 。 最 后 提 一 下 这 里 我 们 没 有 利 用 的 地 方 ， 大 家 可 以 去 发 散 一 下 ： g r u b _ m e m s e t ( ) 函 数 可 以 被 滥 用 以 便 设 置 内 存 的 0 x 0 0 区 块 而 不 跳 转 到 0 x 0 ， 另 外 用 户 名 和 密 码 缓 冲 区 也 可 以 被 用 来 存 储 p a y l o a d s 。 另 外 ， 更 复 杂 的 攻 击 方 法 （ 需 要 更 大 的 下 溢 或 者 p a y l o a d ） ， 可 以 被 用 在 键 盘 仿 真 设 备 上 ， 例 如 T e e n s y   d e v i c e 。 我 们 可 以 记 录 键 盘 按 下 的 攻 击 序 列 ， 然 后 在 目 标 系 统 上 重 现 。 比 较 幸 运 的 是 ， 本 文 所 展 示 的 G R U B 2 漏 洞 利 用 方 法 不 是 通 用 的 ， 但 却 仍 有 可 能 存 在 其 他 更 多 变 种 的 利 用 在 你 的 环 境 中 生 效 。 *   参 考 来 源 ： h m a r c o . o r g ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理