搜索

[10071] 2016-05-06_Windows内核漏洞CVE-2016-0143分析

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2016-05-06_Windows内核漏洞CVE-2016-0143分析 W i n d o w s 内 核 漏 洞 C V E - 2 0 1 6 - 0 1 4 3 分 析 卫 士 通 攻 防 实 验 室   F r e e B u f   2 0 1 6 - 0 5 - 0 6 本 文 作 者 ： 卫 士 通 攻 防 实 验 室 龙 猫 0 x 0 0   背 景 背 景 4 月 2 0 日 ， N i l s   S o m m e r 在 e x p l o i t d b 上 爆 出 了 一 枚 新 的 W i n d o w s 内 核 漏 洞 P o C 。 该 漏 洞 影 响 所 有 版 本 的 W i n d o w s 操 作 系 统 ， 攻 击 者 利 用 成 功 后 可 获 得 权 限 提 升 ， 微 软 在 4 月 补 丁 日 修 复 了 该 漏 洞 。   0 x 0 1   漏 洞 分 析 漏 洞 分 析 N i l s S o m m e r 并 没 有 说 明 该 漏 洞 为 何 种 类 型 的 漏 洞 ， 咋 看 崩 溃 场 景 会 认 为 是 N U L L   P o i n t e r d e r e f e r e n c e 或 者 U A F 漏 洞 ， 粗 略 分 析 后 ， 觉 得 是 整 数 溢 出 漏 洞 ， 但 是 最 后 还 是 将 其 定 义 为 特 殊 的 N U L L   P o i n t e r d e r e f e r e n c e 漏 洞 。 下 面 对 漏 洞 成 因 进 行 简 单 分 析 。 I n   x x x R e a l D r a w M e n u I t e m 崩 溃 的 地 方 是 在 w i n 3 2 k ! x x x R e a l D r a w M e n u I t e m 函 数 内 ， 在 w i n d b g 中 查 看 崩 溃 时 的 内 存 状 态 ：   崩 溃 上 下 文 代 码 的 I D A 截 图 ， 将 其 命 名 为 过 程 A （ 最 后 说 明 时 会 用 到 ） :   在 c r a s h 之 前 ， e a x 会 和 [ e b p + a r g _ 8 ] 做 有 符 号 乘 法 ， 并 将 结 果 和 e b x 做 比 较 ， 来 确 定 是 否 执 行 c r a s h 的 指 令 。 此 时 的 e a x 为 P o C 中 r . b o t t o m 和 r . t o p 运 算 后 的 结 果 ， 具 体 操 作 在 w i n 3 2 k ! x x x D r a w M e n u B a r T e m p 内 ， 算 法 为 ： e a x =   r . b o t t o m - r . t o p - 1 ; [ e b p + a r g _ 8 ] 为 P o C 中 的 i n f o . b m i H e a d e r . b i S i z e ; P o C 给 的 值 会 让 ” i m u l   e a x , [ e b p + a r g _ 8 ] ” 产 生 溢 出 ， 走 向 c r a s h 流 程 。 这 里 看 起 来 是 由 于 整 数 溢 出 造 成 的 漏 洞 ， 其 实 正 常 流 程 都 会 走 这 个 流 程 的 ， 这 并 不 是 漏 洞 成 因 所 在 。 所 操 作 的 e c x 从 [ e b p + v a r _ 2 8 ] 获 取 ， 原 始 值 为 1 ， [ e b p + v a r _ 2 8 ] 本 应 该 为 D I B O b j e c t 的 地 址 ， 但 是 在 为 其 分 配 内 存 的 函 数 w i n 3 2 k ! S U R F M E M : : b C r e a t e D I B 中 ， 并 没 有 为 其 分 配 内 存 空 间 ， 漏 洞 的 关 键 在 这 里 。 下 面 分 析 创 建 D I B O b j e c t 失 败 的 原 因 。 I n   S U R F M E M : : b C r e a t e D I B
S U R F M E M : : b C r e a t e D I B 的 函 数 调 用 栈 ： x x x D r a w M e n u B a r T e m p à   G r e C r e a t e D I B i t m a p R e a l à S U R F M E M : : b C r e a t e D I B   在 S U R F M E M : : b C r e a t e D I B 函 数 内 有 这 样 一 段 代 码 ， 将 其 命 名 为 过 程 B : 此 时 e a x 等 于 x x x R e a l D r a w M e n u I t e m 函 数 中 的 e d i ， [ e b p + a r g _ 0 ] 为 P o C 中 的 i n f o . b m i H e a d e r . b i S i z e * 4 ， 按 照 P o C 中 设 定 的 值 ， 两 者 分 别 为 0 x 7 f f f f f 6 9 和 0 x 2 7 4 。 当 两 者 进 行 乘 法 运 算 后 ， 同 样 发 生 了 溢 出 ， 但 由 于 是 无 符 号 运 算 ， 所 以 e d x ! = 0 。 调 用 函 数 U L o n g L o n g A d d 后 ， [ e b p + A l l o c a t i o n S i z e + 4 ] = e d x = 1 3 9 h ! = 0 ， 因 此 便 走 向 了 失 败 的 流 程 ， 不 会 为 D I B O b j e c t 分 配 内 存 ， 也 导 致 G r e C r e a t e D I B i t m a p R e a l 函 数 的 返 回 值 为 0 。   如 果 未 发 生 溢 出 ， 并 且 两 者 的 乘 积 ( + 0 x 1 5 4 ) 小 于 7 F F F F F F F h ,   S U R F M E M : : b C r e a t e D I B 函 数 就 会 根 据 这 个 乘 积 ( + 0 x 1 5 4 ) 为 D I B O b j e c t 分 配 一 块 内 存 。 分 配 内 存 的 代 码 在 I D A 中 的 截 图 ： 分 配 成 功 后 ， 会 将 A l l o c a t e O b j e c t 的 返 回 值 作 为 G r e C r e a t e D I B i t m a p R e a l 函 数 返 回 值 ， 并 且 赋 值 给 x x x R e a l D r a w M e n u I t e m   函 数 中 的 [ e b p + v a r _ 2 8 ] 。 0 x 0 2   补 丁 对 比 补 丁 对 比 来 看 看 微 软 是 怎 么 来 补 这 个 漏 洞 的 ， 补 丁 后 的 部 分 x x x R e a l D r a w M e n u I t e m 函 数 代 码 在 I D A 中 的 截 图 ：
可 以 看 到 ， 补 丁 后 ， x x x R e a l D r a w M e n u I t e m 函 数 在 调 用 G r e C r e a t e D I B i t m a p R e a l 函 数 后 ， 对 返 回 值 做 了 检 查 : 如 果 返 回 值 等 于 0 ， 表 示 创 建 D I B O b j e c t 失 败 ， 则 不 会 再 进 入 到 操 作 D I B O b j e c t 的 流 程 ， 也 就 是 过 程 A 中 了 。 0 x 0 3   可 能 的 利 用 可 能 的 利 用 目 前 还 没 有 人 公 开 自 己 的 利 用 代 码 ， 下 面 对 该 漏 洞 存 在 的 可 能 利 用 方 式 做 一 个 说 明 。 c r a s h 处 是 一 个 对 e c x 进 行 循 环 操 作 的 代 码 段 ， 循 环 次 数 为 ” i m u l   e a x , [ e b p + a r g _ 8 ] ” 的 乘 积 。 正 常 情 况 下 是 对 申 请 的 D I B O b j e c t 进 行 操 作 。 这 个 循 环 操 作 中 ， 存 在 一 个 可 控 的 写 入 操 作 指 令 ， 在 I D A 中 的 截 图 ： 红 框 中 的 指 令 就 是 所 说 的 写 入 操 作 指 令 ， e d x 虽 然 经 历 多 条 指 令 操 作 后 才 得 到 ， 但 是 参 与 操 作 的 都 是 e c x 相 关 内 存 值 ， 因 为 e c x 也 就 是 零 页 地 址 的 内 容 可 控 ， 所 以 e d x 也 是 可 控 的 。 那 么 理 论 情 况 下 ， 在 w i n 8 之 前 的 系 统 中 ， 是 可 以 将 这 条 指 令 操 作 转 变 为 ： m o v [ H a l D i s p a t c h T a b l e + 4 ] , s h e l l c o d e A d d r e s s 之 后 用 户 层 再 触 发 一 下 就 完 成 了 提 权 。 0 x 0 4   其 他 其 他
经 过 深 入 分 析 后 ， 要 触 发 漏 洞 ， r . b o t t o m 、 r . t o p 和 i n f o . b m i H e a d e r . b i W i d t h 满 足 一 定 的 约 束 就 行 了 ， 不 一 定 需 要 和 作 者 给 出 P o C 的 数 值 完 全 相 同 。 r . b o t t o m 、 r . t o p 和 i n f o . b m i H e a d e r . b i W i d t h 的 值 能 满 足 下 面 两 个 条 件 就 可 以 导 致 c r a s h ： 1 . 过 程 B 分 配 D I B O b j e c t 失 败 。 2 . 过 程 A 走 向 c r a s h 流 程 。 过 程 B 和 过 程 A 要 满 足 这 两 个 条 件 ， 具 体 情 况 如 下 。 过 程 B 1 .   过 程 B 未 发 生 溢 出 ， 并 且 乘 积 后 的 值   <   0 x 7 F F F F F F F ， 造 成 A l l o c a t e O b j e c t 调 用 失 败 。 2 . 过 程 B 未 发 生 溢 出 ， 并 且 乘 积 后 的 值   >   0 x 7 F F F F F F F ， 不 走 调 用 A l l o c a t e O b j e c t 的 流 程 。 3 . 过 程 B 发 生 溢 出 ， 不 走 调 用 A l l o c a t e O b j e c t 的 流 程 。 过 程 A 1 . 未 溢 出 。 2 . 溢 出 后 的 结 果 为 负 数 ， 并 且 改 变 s f 位 为 1 （ 有 符 号 数 比 较 ） 。 根 据 上 面 分 析 给 出 的 过 程 A 和 过 程 B 会 导 致 c r a s h 的 情 况 ， 这 里 给 出 两 种 具 体 的 组 合 ， 有 兴 趣 的 可 以 修 改 原 P o C 中 对 应 的 值 尝 试 一 下 ， 都 会 c r a s h 的 。 组 合 1 过 程 B 情 况 1 + 过 程 A 的 情 况 1 ， 两 个 地 方 都 没 有 溢 出 ， 但 是 还 是 c r a s h 了 ， 也 说 明 了 不 是 整 数 溢 出 漏 洞 。 组 合 2 过 程 B 情 况 3 + 过 程 A 情 况 2 : *   本 文 作 者 ： 卫 士 通 攻 防 实 验 室 龙 猫 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理