搜索

[10816] 2016-12-11_弹性边界：如何利用环境变量进行提权

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-12-11_弹性边界：如何利用环境变量进行提权 弹 性 边 界 ： 如 何 利 用 环 境 变 量 进 行 提 权 鸢 尾   F r e e B u f   2 0 1 6 - 1 2 - 1 1 简 介 简 介 尽 管 进 程 都 设 置 了 环 境 变 量 ， 它 们 往 往 被 用 户 ， 开 发 者 甚 至 是 系 统 本 身 所 忽 略 。 对 于 一 个 像 样 的 系 统 来 说 ， 环 境 变 量 就 是 尽 管 进 程 都 设 置 了 环 境 变 量 ， 它 们 往 往 被 用 户 ， 开 发 者 甚 至 是 系 统 本 身 所 忽 略 。 对 于 一 个 像 样 的 系 统 来 说 ， 环 境 变 量 就 是 其 最 根 本 ， 这 里 的 系 统 包 括 但 不 仅 限 于 其 最 根 本 ， 这 里 的 系 统 包 括 但 不 仅 限 于 U n i x   ( L i n u x ,   B S D ) ,   W i n d o w s 以 及 以 及 O S   X 。 在 微 软 操 作 系 统 的 世 界 中 ， 环 境 变 量 在 其 第 。 在 微 软 操 作 系 统 的 世 界 中 ， 环 境 变 量 在 其 第 一 个 版 本 一 个 版 本 D O S 时 期 就 已 经 出 现 ， 且 一 直 沿 用 至 今 。 环 境 变 量 得 到 重 视 还 得 从 时 期 就 已 经 出 现 ， 且 一 直 沿 用 至 今 。 环 境 变 量 得 到 重 视 还 得 从 2 0 1 4 年 年 9 月 份 爆 发 的 月 份 爆 发 的 S h e l l S h o c k 漏 洞 说 起 。 漏 洞 说 起 。 关 于 关 于 S h e l l S h o c k 可 参 考 可 参 考 《 S h e l l S h o c k （ 破 壳 ） 漏 洞 余 威 不 减 ： 新 S h e l l S h o c k 蠕 虫 扫 描 大 量 脆 弱 主 机 展 开 攻 击 》 《 S E E D 实 验 系 列 ： S h e l l S h o c k 攻 击 实 验 》 《 破 壳 （ S h e l l S h o c k ） 漏 洞 样 本 分 析 报 告 》 该 漏 洞 在 U n x i 系 统 中 通 过 环 境 变 量 注 入 ， 进 而 执 行 命 令 。 进 程 的 环 境 进 程 的 环 境 简 言 之 ， 环 境 就 是 一 个 可 用 于 进 程 或 者 用 户 读 取 写 入 的 变 量 的 集 合 。 变 量 可 由 用 户 ， 程 序 或 者 是 系 统 进 行 设 置 ， 用 于 提 升 运 行 进 程 时 的 灵 活 性 。 比 如 文 件 系 统 中 的 路 径 ， 用 户 名 和 控 制 执 行 流 程 的 标 志 。 W i n d o w s 下 的 环 境 下 的 环 境 W i n d o w s 下 的 环 境 变 量 可 以 使 用 D O S 命 令 设 置 进 行 读 取 和 写 入 ： 读 取 ： s e t   < v a r i a b l e > 写 入 ： s e t   < v a r i a b l e > = < v a l u e > 在 命 令 行 单 独 键 入 “ s e t ” 会 显 示 所 有 当 前 可 用 的 变 量 。 注 意 本 文 中 说 描 述 的 “ 当 前 可 用 ” 意 思 是 非 常 相 似 的 进 程 可 用   — —   用 户 运 行 命 令 解 析 器 这 里 也 可 以 用 编 程 的 方 式 调 用 A P I 函 数 代 替 s e t 命 令 ： K e r n e l 3 2 ! S e t E n v i r o n m e n t V a r i a b l e 产 生 的 结 果 都 是 一 样 的 。 只 有 在 当 前 进 程 及 其 子 进 程 中 改 变 这 些 值 才 会 产 生 效 果 。 只 要 条 件 允 许 ， 系 统 将 替 换 所 有 % V A R I A B L E % 的 值 。 这 个 替 换 过 程 被 称 作 “ 扩 展 ” （ e x p a n s i o n ） 。 例 如 我 们 在 命 令 行 下 键 入 ： e c h o   % u s e r n a m e % 输 出 的 结 果 应 该 为 扩 展 之 后 变 量 的 值 ， 与 键 入 用 户 名 的 结 果 是 一 样 的 。 环 境 波 动 环 境 波 动 正 如 前 面 所 说 的 ， 环 境 变 量 已 经 通 过 一 个 进 程 设 置 。 W i n d o w s 称 这 种 类 型 的 环 境 为 “ 不 稳 定 的 环 境 ” 。 当 进 程 正 在 运 行 时 它 保 持 该 变 量 ， 当 结 束 进 程 不 会 留 下 任 何 痕 迹 。 在 W i n d o w s 中 还 有 另 外 一 种 类 型 的 环 境 变 量 集 合 ， 其 覆 盖 整 个 系 统 范 围 ， 在 启 动 过 程 依 然 持 续
。 管 理 员 用 户 可 以 在 系 统 属 性 页 面 下 进 行 设 置 ， 通 过 使 用 s e t x 命 令 影 响 所 有 用 户 ， 或 者 直 接 通 过 设 置 注 册 表 值 ： H K E Y _ C U R R E N T _ U S E R E n v i r o n m e n t 注 册 表 值 中 的 扩 展 注 册 表 值 中 的 扩 展 W i n d o w s 注 册 表 支 持 R E G _ E X P A N D _ S Z 类 型 的 值 ， 一 个 字 符 串 类 型 的 注 册 表 值 ， 其 命 令 读 取 进 程 以 扩 展 其 内 的 所 有 变 量 ， 扩 展 进 程 在 程 序 使 用 该 值 之 前 执 行 。 这 个 过 程 保 证 了 需 要 依 赖 注 册 表 中 值 的 程 序 能 正 常 运 行 ， 开 发 者 不 必 再 跟 踪 环 境 变 量 值 。 W i n d o w s 程 序 下 的 扩 展 程 序 下 的 扩 展 通 过 注 册 表 进 行 搜 索 ， 很 显 然 其 中 使 用 了 一 个 扩 展 过 的 路 径 引 用 了 许 多 程 序 ， 函 数 库 ， 对 象 。 即 反 过 来 依 赖 于 环 境 。 最 常 见 的 变 量 为 “ S y s t e m R o o t ” ， 在 正 常 情 况 下 ， 其 指 向 W i n d o w s 安 装 路 径 ， 一 般 为 “ C : W i n d o w s ” 。 简 单 总 结 简 单 总 结 我 们 拥 有 可 用 于 W i n d o w s 进 程 的 环 境 变 量 ， 且 能 自 动 扩 展 以 及 可 以 由 用 户 设 置 。 通 过 这 些 路 径 可 以 引 用 部 分 W i n d o w s 函 数 库 。 以 下 为 基 于 环 境 变 量 扩 展 的 攻 击 场 景 场 景 场 景 1 ： ： ” D L L 注 入 注 入 ” 假 设 ： 假 设 ： 如 果 通 过 一 个 扩 展 了 的 环 境 字 符 串 加 载 D L L 文 件 ， 攻 击 者 通 过 改 变 环 境 变 量 可 获 得 一 个 进 程 来 加 载 该 文 件 ， 但 需 在 创 建 之 前 提 供 给 这 个 进 程 。 换 句 话 说 ， 任 何 一 个 在 攻 击 者 控 制 下 的 进 程 ， 攻 击 者 都 可 以 对 它 进 行 环 境 设 置 。 可 能 性 ： 可 能 性 ： 加 载 的 D L L 文 件 ， 不 管 是 被 复 制 ， 修 改 ， 完 全 替 换 ， 对 于 加 载 它 的 进 程 来 说 权 限 都 是 一 样 的 。 “ 注 射 ” 一 个 D L L 到 不 同 的 进 程 中 而 不 使 用 任 何 注 射 技 术 。
应 用 ： 应 用 ： 最 简 单 粗 暴 的 方 法 便 是 使 用 命 令 行 。 大 概 流 程 如 下 ： 在 C : W h e r e v e r 中 创 建 C : W i n d o w s 副 本 设 置 环 境 变 量 s e t   S y s t e m R o o t = C : W h e r e v e r 结 束 并 重 启 e x p l o r e r . e x e 进 程 t a s k k i l l   / F   / I M   e x p l o r e r . e x e       C : W i n d o w s e x p l o r e r . e x e 资 源 管 理 器 将 会 启 动 并 从 攻 击 者 目 录 加 载 相 当 多 的 D L L 。 攻 击 者 可 以 替 换 它 们 并 改 变 执 行 流 程 。 场 景 场 景 2 ： 远 程 加 载 ： 远 程 加 载 D L L 除 了 需 要 添 加 到 等 式 这 个 因 素 以 外 ， 基 本 与 上 一 个 场 景 一 样 。 在 W i n d o w s ， A P I 在 请 求 一 个 文 件 或 是 目 录 路 径 时 通 常 会 接 收 一 个 指 向 远 程 机 器 的 U N C 路 径 。 这 个 过 程 将 会 使 用 S M B 协 议 尝 试 访 问 指 定 的 路 径 。 假 设 ： 假 设 ： 如 果 攻 击 者 将 % S y s t e m R o o t % 扩 充 到 一 个 U N C 网 络 路 径 ， W i n d o w s 将 使 用 S M B 协 议 尝 试 从 远 程 路 径 加 载 该 图 片 可 能 性 ： 可 能 性 ： 从 一 个 被 攻 击 者 控 制 的 服 务 器 上 远 程 加 载 D L L ， 同 时 也 泄 漏 了 受 害 者 机 器 的 I P 地 址 。 之 后 将 尝 试 使 用 已 登 录 用 户 的 凭 证 对 远 程 服 务 器 进 行 身 份 验 证 ， 为 攻 击 者 提 供 更 多 的 参 考 信 息 。 应 用 应 用 : 与 场 景 1 类 似 ， 但 是 需 要 使 用 远 程 路 径 。 例 如 我 们 可 以 使 用 本 地 机 器 上 共 享 的 C 盘 ： s e t   S y s t e m R o o t = 1 2 7 . 0 . 0 . 1 c $ W i n d o w s 场 景 场 景 3 ： 启 动 时 加 载 ： 启 动 时 加 载 D L L 就 目 前 而 言 ， 此 攻 击 还 算 不 上 持 久 性 攻 击 。 这 也 意 味 着 重 启 系 统 ， 或 者 是 重 启 进 程 ， 我 们 之 前 的 努 力 都 白 费 了 。
假 设 ： 假 设 ： 攻 击 者 可 以 设 置 永 久 性 ( n o n - v o l a t i l e ) 环 境 变 量 ， 将 影 响 到 系 统 控 制 流 程 而 不 论 是 否 进 行 重 启 。 可 能 性 ： 可 能 性 ： 在 操 作 系 统 启 动 期 间 或 在 满 足 特 定 条 件 时 远 程 加 载 D L L 应 用 ： 应 用 ： 与 场 景 1 类 似 ， 但 是 攻 击 者 可 以 使 用 s e t x 命 令 来 代 替 s e t 命 令 ： s e t x   S y s t e m R o o t   C : W h e r e v e r 重 启 系 统 ， 开 始 从 攻 击 者 的 目 录 下 将 D L L 加 载 到 各 种 进 程 中 。 场 景 场 景 4 ： 提 升 权 限 ： 提 升 权 限   # 1 到 目 前 为 止 ， 我 们 讨 论 了 攻 击 者 控 制 下 可 能 对 其 他 进 程 有 影 响 的 环 境 变 量 。   这 些 其 他 进 程 都 属 于 首 先 执 行 命 令 的 用 户 ， 并 且 以 中 等 完 整 性 级 别 运 行 。 如 果 用 户 被 允 许 以 较 高 权 限 执 行 进 程 ， 由 微 软 的 用 户 帐 户 控 制 机 制 所 定 义 。 该 进 程 将 作 为 s v c h o s t . e x e 的 子 进 程 在 用 户 控 制 以 外 的 预 设 环 境 下 被 创 建 。 问 题 来 了 ， 创 建 的 子 进 程 将 得 到 当 前 用 户 环 境 的 一 个 副 本 。 绕 过 W i n d o w s   U A C 机 制 到 底 能 不 能 算 是 特 权 提 升 ， 这 就 看 读 者 的 理 解 了 。 虽 然 微 软 不 认 为 这 是 一 个 漏 洞 ， 但 通 常 又 会 采 取 行 动 来 解 决 这 些 问 题 。 基 于 道 德 要 求 ， 我 们 已 经 向 微 软 报 告 了 此 问 题 ， 并 且 在 发 文 前 收 到 “ 非 漏 洞 ” 的 响 应 。 假 设 ： 假 设 ： 基 于 默 认 配 置 ， 在 用 户 不 知 情 的 情 况 下 ， 有 特 定 的 进 程 被 授 予 高 完 整 性 （ 或 特 权 提 升 ） 。 一 般 来 说 ， 有 一 个 由 微 软 选 定 的 允 许 静 默 运 行 的 可 执 行 文 件 集 合 。 这 份 清 单 是 应 该 是 在 系 统 安 全 性 和 用 户 友 好 体 验 之 间 提 出 的 一 个 合 理 折 中 方 案 。   攻 击 者 可 以 利 用 这 种 妥 协 ， 使 操 作 系 统 在 加 载 不 受 信 任 的 D L L 时 运 行 这 些 特 殊 的 可 执 行 文 件 ， 从 而 绕 过 安 全 机 制 运 行 具 有 提 升 特 权 的 D L L 。 可 能 性 ： 可 能 性 ： 在 没 有 用 户 同 意 或 对 用 户 通 知 的 情 况 下 提 升 权 限 ， 这 在 默 认 配 置 下 是 可 能 发 生 的 。 管 理 员 可 以 选 择 通 过 重 写 默 认 U A C 设 置 来 提 高
安 全 性 ， 从 而 使 W i n d o w s 显 示 请 求 此 权 限 的 所 有 进 程 的 提 示 。 然 而 ， 攻 击 者 仍 然 可 以 放 置 恶 意 的 D L L 文 件 ， 之 后 在 用 户 的 同 意 下 进 行 加 载 。 这 种 套 路 可 以 使 用 许 多 合 法 进 程 来 设 置 ， W i n d o w s 任 务 管 理 器 （ t a s k m g r . e x e ） 就 是 一 个 例 子 。 应 用 ： 应 用 ： 按 照 场 景 3 中 所 述 设 置 环 境 。 以 管 理 员 身 份 运 行 自 动 提 权 进 程 。 在 本 例 中 ， 我 们 使 用 l p k s e t u p . e x e ： S h e l l E x e c u t e ( 0 , ” r u n a s ” , ” C : W i n d o w s S y s t e m 3 2 l p k s e t u p . e x e ” , N U L L , N U L L , 0 ) ; 情 景 情 景 5 ： 提 升 权 限 ＃ ： 提 升 权 限 ＃ 2 在 前 面 的 例 子 中 ， 我 们 已 经 演 示 了 使 用 S h e l l E x e c u t e 来 运 行 提 权 程 序 ，   W i n d o w s 还 提 供 C O M 对 象 供 用 户 加 载 。 C O M 组 件 的 概 念 及 其 内 部 工 作 原 理 不 在 本 文 探 讨 范 围 之 内 ， 对 于 我 们 而 言 ， 其 与 使 用 不 同 机 制 加 载 的 常 规 进 程 ， 可 执 行 文 件 或 函 数 库 没 有 太 大 的 不 同 。 假 设 ： 假 设 ： 如 果 有 一 个 C O M 对 象 允 许 在 用 户 不 知 情 的 情 况 下 以 更 高 权 限 加 载   –   攻 击 者 可 以 使 用 该 机 制 ， 来 替 代 执 行 命 令 以 及 创 建 自 己 的 进 程 。 可 能 性 ： 可 能 性 ： 不 产 生 新 进 程 的 前 提 下 ， 进 行 特 权 提 升 。 应 用 ： 应 用 ： 本 例 中 ， 选 择 的 对 象 是 由 W i n d o w s 提 供 的 允 许 更 改 防 火 墙 设 置 的 C O M 接 口 。 该 对 象 的 C L S I D 为 { 7 5 2 4 3 8 C B - E 9 4 1 - 4 3 3 F - B C B 4 - 8 B 7 D 2 3 2 9 F 0 C 8 } 1 . 与 场 景 4 / 1 相 同 2 . C o I n i t i a l i z e ( ) ; C o C r e a t e I n s t a n c e ( )   w i t h   t h e   g i v e n   C L S I D ,   r e t u r n i n g   a   p o i n t e r   t o   a n   I F w l C p l   i n t e r f a c e .
I F w l C p l - > L a u n c h A d v a n c e d U I ( ) 这 会 加 载 m m c . e x e ， 在 W i n d o w s 的 管 理 控 制 台 中 的 s v c h o s t . e x e 子 进 程 得 到 特 权 提 升 ， 与 此 同 时 从 攻 击 者 的 C : W h e r e v e r 加 载 一 个 D L L 。 结 论 结 论 W i n d o w s 中 的 环 境 变 量 扩 展 允 许 攻 击 者 在 攻 击 之 前 收 集 系 统 的 相 关 信 息 ， 并 最 终 通 过 运 行 单 个 用 户 级 命 令 或 者 更 改 一 个 注 册 表 键 值 来 对 系 统 进 行 完 全 和 持 久 的 控 制 。 该 向 量 还 允 许 攻 击 者 以 D L L 形 式 的 代 码 加 载 到 其 他 合 法 软 件 的 进 程 或 操 作 系 统 本 身 ， 并 将 其 行 为 伪 装 为 目 标 进 程 的 操 作 ， 而 不 必 使 用 代 码 注 入 技 术 或 使 用 内 存 处 理 。 以 管 理 员 身 份 运 行 的 第 三 方 服 务 也 可 能 受 到 此 攻 击 ， 允 许 普 通 用 户 提 升 其 在 系 统 内 的 权 限 。 概 念 验 证 可 以 看 看 B r e a k i n g M a l w a r e 提 供 的 P y t h o n 脚 本   < 点 击 文 末 阅 读 全 文 按 钮 查 看 > * 参 考 来 源 ： b r e a k i n g m a l w a r e ， F B 小 编 鸢 尾 编 译 ， 转 载 请 注 明 来 自 F r e e B u f
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理