搜索

[14344] 2019-07-13_Windows10中的DHCP安全性：分析关键漏洞CVE-2019-0726

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2019-07-13_Windows10中的DHCP安全性：分析关键漏洞CVE-2019-0726 W i n d o w s   1 0 中 的 D H C P 安 全 性 ： 分 析 关 键 漏 洞 C V E - 2 0 1 9 - 0 7 2 6 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 7 - 1 3 写 在 前 面 的 话 写 在 前 面 的 话 微 软 在 今 年 一 月 份 发 布 的 更 新 ， 让 公 众 对 微 软 在 今 年 一 月 份 发 布 的 更 新 ， 让 公 众 对 D H C P 客 户 端 中 的 关 键 漏 洞 客 户 端 中 的 关 键 漏 洞 C V E - 2 0 1 9 - 0 5 4 7 有 了 一 个 新 的 认 识 。 这 个 漏 洞 的 有 了 一 个 新 的 认 识 。 这 个 漏 洞 的 C V S S 评 分 非 常 高 ， 而 评 分 非 常 高 ， 而 且 微 软 也 没 有 立 即 发 布 相 关 的 可 利 用 性 评 价 ， 因 此 用 户 也 很 难 决 定 是 否 需 要 立 即 更 新 他 们 的 系 统 。 但 是 某 些 研 究 人 员 认 为 ， 这 个 漏 洞 在 不 久 且 微 软 也 没 有 立 即 发 布 相 关 的 可 利 用 性 评 价 ， 因 此 用 户 也 很 难 决 定 是 否 需 要 立 即 更 新 他 们 的 系 统 。 但 是 某 些 研 究 人 员 认 为 ， 这 个 漏 洞 在 不 久 的 将 来 很 可 能 会 被 大 量 网 络 犯 罪 分 子 利 用 。 的 将 来 很 可 能 会 被 大 量 网 络 犯 罪 分 子 利 用 。 因 此 ， 为 了 更 好 地 检 测 针 对 D H C P 漏 洞 的 攻 击 以 及 相 关 的 漏 洞 ， 并 更 新 我 们 的 产 品 ， 我 们 需 要 深 入 了 解 所 有 的 细 节 。 而 我 们 要 做 的 第 一 件 事 ， 就 是 网 络 侦 察 。 网 络 侦 查 网 络 侦 查 一 开 始 我 们 打 算 使 用 搜 索 引 擎 来 寻 找 关 于 该 漏 洞 的 信 息 ， 但 并 没 有 找 到 太 多 的 细 节 ， 而 且 大 部 分 内 容 都 是 来 自 M S R C 网 站 发 布 的 安 全 公 告 。 不 过 在 浏 览 这 些 安 全 公 告 的 过 程 中 ， 我 们 发 现 我 们 面 对 的 是 W i n d o w 1 0 （ 版 本 1 8 0 3 ） 中 客 户 端 和 服 务 器 端 系 统 的 一 个 内 存 崩 溃 漏 洞 ， 当 攻 击 者 向 D H C P 客 户 端 发 送 专 门 设 计 的 响 应 信 息 时 ， 就 会 触 发 该 漏 洞 。 我 们 可 以 看 到 ， M S R C 给 出 的 评 分 为 2 ， 被 利 用 的 可 能 性 比 较 小 ， 这 意 味 着 这 个 漏 洞 可 能 无 法 被 利 用 ， 或 者 利 用 难 度 大 。 不 过 ， 我 们 还 是 想 通 过 自 己 的 分 析 ， 看 看 这 个 漏 洞 到 底 是 什 么 情 况 。 在 这 个 网 站 中 ， 我 们 下 载 了 这 个 安 全 更 新 补 丁 （ . m s u 文 件 ） ， 将 其 解 压 ， 然 后 查 找 跟 客 户 端 处 理 D H C P 响 应 相 关 的 文 件 。 但 是 这 很 困 难 ， 因 为 这 个 补 丁 包 里 面 包 含 的 是 当 月 修 复 的 所 有 漏 洞 补 丁 ， 而 不 是 针 对 单 个 漏 洞 的 补 丁 。 在 大 量 的 文 件 中 ， 我 们 用 过 滤 器 找 到 了 几 个 匹 配 的 代 码 库 ， 然 后 对 系 统 的 版 本 进 行 了 比 较 。 其 中 ， d h c p c o r e . d l l 库 是 最 接 近 的 ： 实 际 上 ， 只 有 D e c o d e D o m a i n S e a r c h L i s t D a t a 这 个 函 数 进 行 了 较 大 的 改 动 ， 如 果 你 熟 悉 D H C P 协 议 的 话 ， 你 就 会 知 道 它 其 实 很 少 使 用 函 数 。 D e c o d e D o m a i n S e a r c h L i s t D a t a 函 数 函 数 D H C P 中 的 域 名 搜 索 选 项 号 为 0 x 7 7 （ 1 1 9 ） ， 它 允 许 服 务 器 再 客 户 端 上 设 置 D N S 后 缀 ， 但 不 适 用 于 W i n d o w s 设 备 ， 因 为 之 前 的 W i n d o w s 系 统 会 忽 略 这 个 选 项 。 在 必 要 的 时 候 ， 可 以 通 过 组 策 略 来 配 置 D N S 的 名 称 后 缀 。 不 过 W i n d o w s   1 0 在 新 版 本 1 8 0 3 中 引 入 了 针 对 域 名 搜 索 选 项 的 处 理 库 。
D e c o d e D o m a i n S e a r c h L i s t D a t a 的 处 理 过 程 如 下 ： 首 先 从 服 务 器 端 接 收 信 息 ， 然 后 根 据 域 名 搜 索 选 项 的 配 置 来 解 码 数 据 。 针 对 输 入 ， 它 接 收 封 装 好 的 数 据 数 组 ， 并 输 出 一 个 以 空 字 节 结 尾 的 字 符 串 ， 这 个 字 符 串 包 含 由 逗 号 分 隔 的 域 名 列 表 。 比 如 说 ， 该 函 数 会 对 下 面 这 个 域 名 后 缀 进 行 转 换 ： . e n g . a p p l e . c o m . m a r k e t i n g . a p p l e . c o m D e c o d e D o m a i n S e a r c h L i s t D a t a 会 在 U p d a t e D o m a i n S e a r c h O p t i o n 的 处 理 过 程 中 被 调 用 ， 并 将 返 回 的 结 果 列 表 写 入 注 册 表 键 的 ” D h c p D o m a i n S e a r c h L i s t ” 参 数 中 ： 然 后 将 主 参 数 存 储 至 特 定 的 网 络 接 口 ： D e c o d e D o m a i n S e a r c h L i s t D a t a 函 数 会 进 行 两 次 数 据 传 递 。 第 一 次 ， 它 会 执 行 除 设 置 输 出 缓 冲 区 进 入 点 之 外 的 所 有 操 作 ， 即 计 算 保 存 返 回 数 据 所 需 要 的 内 存 大 小 。 第 二 次 ， 它 会 为 数 据 分 配 内 存 ， 并 进 行 数 据 填 充 。 这 个 函 数 大 约 有 2 5 0 条 指 令 ， 主 要 任 务 就 是 处 理 传 入 的 字 节 流 。 它 还 会 检 查 缓 冲 区 的 大 小 ， 如 果 大 小 为 零 ， 则 不 会 为 缓 冲 区 分 配 内 存 ， 并 完 成 执 行 然 后 返 回 错 误 信 息 ： e n g . a p p l e . c o m , m a r k e t i n g . a p p l e . c o m H K L M S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s T c p i p P a r a m e t e r s I n t e r f a c e s { I N T E R F A C E _ G U I D }
因 此 ， 只 有 当 目 标 缓 冲 区 大 小 为 零 时 ， 才 可 以 触 发 漏 洞 。 漏 洞 利 用 漏 洞 利 用 首 先 ， 我 们 可 以 使 用 重 解 析 点 来 确 保 非 空 输 入 数 据 生 成 并 输 出 一 个 空 字 符 串 ： 设 置 一 个 服 务 器 来 响 应 内 容 请 求 ， 并 让 未 更 新 的 客 户 端 出 现 访 问 冲 突 。 在 每 一 个 步 骤 中 ， 函 数 完 成 一 部 分 域 名 解 析 时 ， 就 会 将 这 部 分 数 据 复 制 到 目 标 缓 冲 区 ： 接 下 来 ， 当 数 据 中 出 现 大 小 为 0 的 域 名 时 ， 函 数 就 会 将 目 标 缓 冲 区 中 的 句 号 改 为 逗 号 ： 然 后 继 续 解 析 ： 输 入 数 据 解 析 完 成 后 ， 剩 下 的 就 是 用 空 字 符 替 换 最 后 的 逗 号 ： 当 攻 击 者 发 送 如 上 所 述 的 缓 冲 区 数 据 时 会 发 生 什 么 呢 ？ 我 们 可 以 看 到 ， 它 包 含 的 列 表 是 有 一 个 空 字 符 串 组 成 的 。 那 么 在 函 数 第 一 次 计 算 输 出 数 据 大 小 后 ， 由 于 数 据 并 没 有 包 含 非 零 域 名 ， 所 以 大 小 为 零 。 在 第 二 次 传 递 时 ， 它 会 给 数 据 分 配 堆 内 存 块 ， 并 复 制 数 据 。 但 解 析 函 数 会 立 即 遇 到 指 示 域 名 结 尾 的 空 字 符 ， 并 将 句 号 改 为 逗 号 。 因 此 ， 如 果 想 要 利 用 这 个 漏 洞 C V E - 2 0 1 9 - 0 7 2 6 ， 攻 击 者 必 须 要 在 D H C P 客 户 端 上 执 行 远 程 堆 喷 射 ， 并 对 堆 内 存 分 布 要 有 完 整 控 制 权 。 否 则 ， 将 数 据 写 入 未 选 中 的 地 址 会 导 致 s v c h o s t . e x e 进 程 崩 溃 。 *   参 考 来 源 ： 参 考 来 源 ： p t s e c u r i t y ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 1 ) . e n g . 2 ) . e n g . a p p l e . 3 ) . e n g . a p p l e . c o m . 4 ) . e n g . a p p l e . c o m , 5 ) . e n g . a p p l e . c o m , m a r k e t i n g . 6 ) . e n g . a p p l e . c o m , m a r k e t i n g . a p p l e . 7 ) . e n g . a p p l e . c o m , m a r k e t i n g . a p p l e . c o m . 8 ) . e n g . a p p l e . c o m , m a r k e t i n g . a p p l e . c o m , 9 ) . e n g . a p p l e . c o m , m a r k e t i n g . a p p l e . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理