搜索

[16107] 2020-11-19_CVE-2020-1034：Windows内核提权漏洞分析

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2020-11-19_CVE-2020-1034：Windows内核提权漏洞分析 C V E - 2 0 2 0 - 1 0 3 4 ： W i n d o w s 内 核 提 权 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 1 - 1 9 漏 洞 概 述 漏 洞 概 述 W i n d o w s 内 核 在 处 理 内 存 中 对 象 的 时 候 ， 存 在 一 个 提 权 漏 洞 。 攻 击 者 将 能 够 利 用 该 漏 洞 实 现 提 权 ， 并 在 目 标 设 备 上 实 现 代 码 执 行 。 为 了 利 用 该 漏 洞 ， 经 过 了 身 份 认 证 的 本 地 攻 击 者 可 以 在 目 标 主 机 上 运 行 一 个 专 门 设 计 的 应 用 程 序 。 在 这 篇 文 章 中 ， 我 们 将 对 这 个 漏 洞 C V E - 2 0 2 0 - 1 0 3 4 进 行 深 入 分 析 。 补 丁 对 比 补 丁 对 比 受 影 响 的 模 块 为 n t o s k r n l . e x e ， 我 下 载 了 该 模 块 的 已 修 复 版 本 和 未 修 复 版 本 ， 并 在 W i n d o w s   1 0   1 9 0 3   x 6 4 系 统 上 对 其 进 行 了 分 析 比 对 。 下 面 给 出 的 是 版 本 1 8 3 6 2 . 1 0 4 9 和 1 8 3 6 2 . 1 0 8 2 之 间 的 源 码 对 比 结 果 ： 很 明 显 ， E t w p N o t i f y G u i d 发 生 了 变 化 ， 因 此 我 对 该 函 数 源 码 进 行 了 简 单 分 析 ， 并 发 现 了 一 个 重 大 改 变 ：
因 此 ， 我 决 定 对 其 进 行 深 入 分 析 。 漏 洞 分 析 漏 洞 分 析 首 先 ， 我 研 究 了 一 下 E t w p N o t i f y G u i d 的 网 关 ， 也 就 是 N t T r a c e C o n t r o l 。 调 用 E t w p N o t i f y G u i d 的 F u n c t i o n C o d e 为 0 x 1 1 ， 而 且 在 调 用 之 前 还 需 要 进 行 一 些 条 件 检 测 ， 具 体 如 下 图 所 示 ：
在 对 E t w p N o t i f y G u i d 的 分 析 过 程 中 ， 我 们 还 发 现 了 下 面 这 些 有 意 思 的 修 复 点 ： r d i 寄 存 器 包 含 收 入 缓 冲 区 的 地 址 ， 图 表 中 的 数 据 表 明 地 址 r d i + 0 C h 的 字 节 数 据 决 定 了 是 否 去 创 建 一 个 U m R e p l y O b j e c t 对 象 。 接 下 来 ， 我 们 看 看 r 1 2 b 寄 存 器 的 值 是 从 哪 里 来 的 ：
r 1 2 b 的 初 始 值 为 4 ， 但 是 这 里 被 设 置 成 了 1 。 因 此 ， 当 b y t e   p t r   [ r d i + 0 C h ] 的 值 为 1 时 ， r d i + 1 8 h 的 q w o r d 会 被 设 置 为 新 创 建 的 U m R e p l y O b j e c t 的 地 址 。 否 则 ， q w o r d 将 保 持 原 样 。 这 将 引 起 非 常 严 重 的 后 果 ， 因 为 输 入 数 据 永 远 不 可 信 。 我 将 r d i + 1 8 h 的 q w o r d 设 置 为 了 一 个 任 意 值 ， 正 如 我 们 所 料 ， 设 备 蓝 屏 了 ： 这 就 非 常 棒 了 ， 我 们 继 续 。 这 里 的 输 入 缓 冲 区 被 传 递 给 了 E t w p S e n d D a t a B l o c k 和 E t w p Q u e u e N o t i f i c a t i o n ：
查 看 E t w p Q u e u e N o t i f i c a t i o n ， 我 发 现 了 引 用 U m R e p l y O b j e c t 的 地 方 ： 这 里 的 b l 值 为 0 ， 如 果 r b p + 0 C h 的 字 节 值 不 为 0 ， 那 么 r b p + 1 8 h 的 q w o r d 会 被 读 取 为 一 个 指 向 对 象 的 指 针 ， 然 后 对 象 的 引 用 将 会 增 加 。
我 们 知 道 了 漏 洞 的 根 源 ， 罪 魁 祸 首 就 是 代 码 对 r b p + 0 C 字 节 数 据 的 不 一 致 对 比 。 对 比 操 作 是 在 E t w p N o t i f y G u i d 中 进 行 的 ， 代 码 会 比 较 值 是 否 为 1 来 判 断 是 否 需 要 创 建 一 个 新 的 U m R e p l y O b j e c t 对 象 。 但 在 最 后 一 次 比 较 中 ， 将 该 值 与 零 进 行 了 比 较 。 第 一 次 比 较 在 C 代 码 中 的 形 式 如 下 ： 第 二 次 比 较 的 代 码 形 式 如 下 ： 如 果 值 不 是 1 或 者 0 的 话 ， 任 何 输 入 的 值 都 将 被 视 作 对 象 地 址 。 接 下 来 ， O b f R e f e r e n c e O b j e c t 将 会 调 用 该 地 址 ， 这 也 就 意 味 着 q w o r d   p t r   [ [ I n p u t B u f f e r   +   0 x 1 8 ]   -   0 x 3 0 ]   + + 运 算 将 会 被 执 行 ， 这 样 将 导 致 任 意 地 址 增 加 。 漏 洞 利 用 代 码 漏 洞 利 用 代 码 漏 洞 演 示 视 频 漏 洞 演 示 视 频 i f （ * （ b o o l * ） （ r d i + 0 x 0 C ） = =     t r u e ） i f   ( * ( b o o l * ) ( r b p + 0 x 0 C ) )
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理