搜索

[17245] 2015-07-11_玄武实验室王连赢：IE沙箱的攻防对抗（视频）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2015-07-11_玄武实验室王连赢：IE沙箱的攻防对抗（视频） 玄 武 实 验 室 王 连 赢 ： I E 沙 箱 的 攻 防 对 抗 （ 视 频 ） G e e k P w n   2 0 1 5 - 0 7 - 1 1 2 0 1 5 年 6 月 2 5 日 ， 最 牛 信 息 安 全 团 队 集 结 ， 极 棒 公 开 课 第 三 期 在 上 海 举 办 。 玄 武 实 验 室 王 连 赢 为 大 家 带 来 了 精 彩 课 程 《 I E 沙 箱 的 攻 防 对 抗 》 。 G e e k P w n   特 别 推 送 演 讲 的 视 频 全 程 。 首 先 ， 王 连 赢 为 我 们 分 享 了 I E 沙 箱 从 P M 模 式 到 E M P 模 式 的 发 展 历 程 ， 从 W i n d o w s   V i s t a 开 始 ， I E 加 入 了 P M 模 式 ， P M 模 式 基 于 V i s t a 新 加 入 的 安 全 特 性 ， 主 要 是 完 整 性 机 制 （ I n t e g r i t y   M a c h a n i s m ） ， 通 过 设 置 完 整 性 级 别 （ I L ， I n t e g r i t y   L e v e l ） 来 限 制 对 安 全 对 象 的 访 问 。   从 W i n d o w s   8 开 始 ， I E 加 入 了 E M P 模 式 （ E n h a n c e d   P r o t e c t e d   M o d e ） ， E P M 包 含 P M 的 所 有 特 性 ， 它 基
于 W i n d o w s   8 的 A p p C o n t a i n e r 来 进 一 步 限 制 沙 箱 中 进 程 的 行 为 。 P M 沙 箱 针 对 文 件 、 注 册 表 等 安 全 对 象 进 行 了 禁 止 写 入 的 限 制 ， 对 进 程 线 程 进 行 了 禁 止 读 取 的 限 制 ， 通 过 U I P I （ U s e r I n t e r f a c e   P r i v i l e g e   I s o l a t i o n   用 户 界 面 权 限 隔 离 ） 来 限 制 窗 口 消 息 。 那 么 E M P 到 底 增 加 了 什 么 呢 ？ 在 A p p C o n t a i n e r 中 的 I E   T a b 进 程 若 想 要 访 问 某 个 安 全 对 象 ， 则 该 安 全 对 象 的 D A C L 中 应 至 少 包 含 E P M   I E   T a b   A p p C o n t a i n e r   S I D ， I E   C a p a b i l i t y   S I D ： S - 1 - 1 5 - 3 - 4 0 9 6 和 A L L   A P P L I C A T I O N   P A C K A G E S 中 的 一 个 。 针 对 I E 沙 箱 我 们 是 如 何 进 行 逃 逸 的 呢 ? 王 连 赢 结 合 漏 洞 实 例 为 大 家 进 行 了 I E 沙 箱 逃 逸 的 多 种 逻 辑 类 漏 洞 的 深 入 的 分 析 。 大 体 可 分 为 如 下 几 种 ： 1 、   沙 箱 权 限 设 置 不 严 格 沙 箱 权 限 设 置 不 严 格 ， 沙 箱 中 的 I E 进 程 权 限 没 有 被 严 格 限 制 ， 一 般 是 能 够 写 不 该 写 的 位 置 导 致 了 问 题 。 2 、   E l e v a t i o n   P o l i c y 设 置 不 当 设 置 不 当 ， 相 当 于 白 名 单 机 制 ， 若 白 名 单 中 的 对 象 提 供 的 服 务 可 用 来 执 行 任 意 代 码 ， 就 能 完 成 被 用 来 完 成 I E 沙 箱 逃 逸 。 3 、   E l e v a t i o n   P o l i c y   C h e c k   B y p a s s ， E l e v a t i o n   P o l i c y   C h e c k 代 码 逻 辑 的 问 题 ， 攻 击 者 可 以 构 造 特 殊 数 据 绕 过 。 4 、   S h a r e d   M e m o r y 标 志 位 修 改 标 志 位 修 改 ， I E 共 享 内 存 对 象 （ s h a r e d   m e m o r y   s e c t i o n   o b j e c t ） 用 来 存 储 I E 的 一 些 配 置 信 息 ， 其 中 一 些 标 志 位 会 影 响 B r o k e r 进 程 行 为 ， 沙 箱 中 的 I E   T a b 进 程 若 能 修 改 共 享 内 存 ， 就 会 有 问 题 。 5 、   B r o k e r 服 务 接 口 执 行 任 意 代 码 服 务 接 口 执 行 任 意 代 码 ， I E 通 过 B r o k e r 服 务 的 方 式 来 解 决 沙 箱 中 的 I E   T a b 进 程 某 些 操 作 需 要 高 权 限 的 问 题 ， 某 些 B r o k e r 服 务 接 口 就 可 以 帮 助 攻 击 者 达 到 执 行 任 意 代 码 的 目 的 。 6 、   I P C 通 信 权 限 问 题 通 信 权 限 问 题 ， I P C 通 信 权 限 设 置 不 当 ， 使 得 沙 箱 中 的 I E   T a b 进 程 可 以 获 得 I E 主 进 程 的 额 外 信 息 。 随 后 王 连 赢 通 过 实 际 的 漏 洞 案 例 分 别 对 上 述 六 种 沙 箱 逃 逸 方 法 进 行 了 讲 解 ， 最 后 王 连 赢 总 结 道 ， 基 本 上 I E 沙 箱 和 外 界 通 信 的 所 有 信 道 都 出 过 问 题 ， 从 继 续 研 究 的 价 值 上 来 讲 ， B r o k e r 接 口 最 值 得 研 究 。 因 为 I E 有 很 多 未 文 档 化 的 C O M 接 口 ， 可 以 找 B r o k e r 进 程 内 存 崩 溃 和 B r o k e r 进 程 任 意 代 码 执 行 两 种 漏 洞 。 G e e k P w n （ 极 棒 ） 公 开 课 第 四 期 如 期 而 至 ， 这 期 的 公 开 课 在 南 京 举 办 ， 纯 技 术 干 货 无 缝 连 接 X C T F 总 决 赛 。 本 次 公 开 课 邀 请 到 G e e k P w n 2 0 1 5 的 两 位 评 委 ： 知 名 安 全 专 家 王 宇 、 K e e n   T e a m 高 级 研 究 员 陈 良 ， 另 外 还 有 江 苏 省 公 安 厅 网 络 安 全 保 卫 总 队 的 童 瀛 警 官 、 腾 讯 无 线 安 全 研 发 中 心 高 级 工 程 师 彭 庆 棠 等 安 全 专 家 ， 他 们 将 深 入 浅 出 解 析 内 核 安 全 、 安 卓 R O O T 利 用 等 技 术 ， 揭 秘 移 动 互 联 网 的 潜 在 风 险 。 免 费 免 费 报 名 方 式 ： 报 名 方 式 ： 长 按 识 别 下 图 二 维 码 参 与 报 名 长 按 识 别 下 图 二 维 码 参 与 报 名 或 点 击 阅 读 原 文 报 名 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理