搜索

[8369] 2014-10-22_Win64bit提权0day漏洞（CVE-2014-4113）只是内核模式漏洞的开始

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-17
2014-10-22_Win64bit提权0day漏洞（CVE-2014-4113）只是内核模式漏洞的开始 W i n 6 4 b i t 提 权 0 d a y 漏 洞 （ C V E - 2 0 1 4 - 4 1 1 3 ） 只 是 内 核 模 式 漏 洞 的 开 始 x i a o y a   F r e e B u f   2 0 1 4 - 1 0 - 2 2 W i n 6 4 b i t 提 权 提 权 0 d a y 漏 洞 （ 漏 洞 （ C V E - 2 0 1 4 - 4 1 1 3 ） 漏 洞 ） 漏 洞 攻 击 者 经 常 利 用 已 知 的 权 限 提 升 漏 洞 获 得 管 理 员 级 别 的 访 问 ， 而 黑 客 直 接 利 用 0 d a y 漏 洞 进 行 攻 击 是 非 常 罕 见 的 。 近 日 C r o w d S t r i k e 团 队 （ C r o w d S t r i k e   F a l c o n   H o s t   E n d p o i n t   T h r e a t   D e t e c t i o n   &   R e s p o n s e ） 监 测 到 了 W i n 6 4 b i t 2 0 0 8   R 2 计 算 机 上 存 在 可 疑 的 活 动 。 C r o w d S t r i k e 认 为 ： 这 些 计 算 机 极 有 可 能 受 到 飓 风 熊 猫 （ H U R R I C A N E   P A N D A ） 的 控 制 。 详 情 点 我 技 术 分 析 技 术 分 析 W i n 3 2 k . s y s 中 负 责 窗 口 管 理 ， 以 及 任 何 中 负 责 窗 口 管 理 ， 以 及 任 何 G U I 进 程 进 程 / 线 程 将 使 用 它 。 与 其 相 关 的 用 户 模 式 模 块 线 程 将 使 用 它 。 与 其 相 关 的 用 户 模 式 模 块 u s e r 3 2 . d l l 和 和 G D I 3 2 . D L L 。 。 由 于 与 用 户 模 式 应 用 程 序 的 复 杂 相 互 作 用 ， 许 多 问 题 存 在 在 由 于 与 用 户 模 式 应 用 程 序 的 复 杂 相 互 作 用 ， 许 多 问 题 存 在 在 W i n 3 2 k . s y s 中 。 中 。 根 本 的 问 题 是 函 数 的 返 回 值 不 正 确 验 证 。 程 序 员 往 往 忽 略 了 这 一 点 ， 但 这 样 做 ， 是 一 个 严 重 的 安 全 隐 患 。 在 W i n 3 2 k . s y s 中 ， 有 一 个 叫 做 函 数 x x x M N F i n d W i n d o w F r o m P o i n t （ ） ， 它 返 回 w i n 3 2 k ! t a g W N D 的 地 址 结 构 或 错 误 代 码 - 1 ， - 5 。 另 一 个 功 能 x x x H a n d l e M e n u M e s s a g e s （ ） 将 调 用 它 ， 并 用 它 的 返 回 值 作 为 参 数 x x x S e n d M e s s a g e （ ） 。 下 面 是 代 码 片 段 ： 下 面 是 代 码 片 段 ： x x x H a n d l e M e n u M e s s a g e s （ ） { t a g W n d   *   P W N D   =   x x x M N F i n d W i n d o w F r o m P o i n t （ . . . ） ;   . . .   / / 没 有 检 查 返 回 值 是 不 是 一 个 有 效 的 地 址 x x x S e n d M e s s a g e （ P W N D ， . . . ） ; } 如 果 该 错 误 代 码 - 1 或 - 5 用 于 x x x S e n d M e s s a g e （ ） 作 为 地 址 ， 这 将 导 致 一 个 错 误 ， 如 蓝 屏 。
在 用 户 模 式 下 ， 目 前 不 可 利 用 。 我 们 看 看 如 何 利 用 此 漏 洞 在 内 核 模 式 下 运 作 。 下 面 是 关 于 如 何 利 用 的 关 键 步 骤 或 说 明 ： 下 面 是 关 于 如 何 利 用 的 关 键 步 骤 或 说 明 ： 1 、 准 备 好 内 存 部 分 为 空 页 ， 建 立 一 个 畸 形 的 w i n 3 2 k ! t a g W N D 结 构 的 映 射 页 ， 使 得 它 正 确 地 验 证 在 内 核 。 2 、 触 发 该 b u g ， 并 返 回 值     x x x M N F i n d W i n d o w F r o m P o i n t 的 （ P W N D ） （ ）     为     - 5 （ 0 x f f f f f f f b ）   。 因 为 所 有 的 结 构 要 被 选 中 的 字 段 都 可 以 访 问 有 合 适 的 值 ， x x x S e n d M e s s a g e （ ） 将 把 - 5 作 为 一 个 有 效 的 地 址 。 然 后 ， 它 会 被 调 用 ， 这 是 指 向 s h e l l c o d e 的 函 数 指 针 。 3 、 在 w i n 3 2 k 回 调 w i n 3 2 k ! t a g W N D . l p f n W n d P r o c 以 内 核 模 式 执 行 ， 回 调 将 覆 盖 E P R O C E S S . T o k e n 提 升 权 限 。 4 、 创 建 一 个 子 进 程 ， 用 系 统 分 配 的 程 序 权 限 。 示 例 使 用 S e t W i n d o w s H o o k E x 函 数 （ ） 来 控 制 x x x M N F i n d W i n d o w F r o m P o i n t （ ）   返 回 - 5 ： 1 、 创 建 一 个 窗 口 和 2 级 的 弹 出 式 菜 单 。 2 、 h o o k 窗 口 给 W n d P r o c 调 用 。 3 、 跟 踪 弹 出 菜 单 中 选 择 窗 口 ， 然 后 输 入 钩 子 回 调 。 4 、 在 钩 子 回 调 ， 它 改 变 了 菜 单 的 W n d P r o c 到 另 一 个 回 调 。 5 、 在 菜 单 的 回 调 ， 它 会 破 坏 菜 单 和 返 回 - 5 （ P U S H   0 x f f f f f f f b ;   P O P   E A X ） 6 、 导 致 x x x M N F i n d W i n d o w F r o m P o i n t （ ） 上 被 破 坏 的 菜 单 回 报 - 5 此 外 ， 样 品 的 s h e l l c o d e 是 简 单 和 直 接 的 ， 可 以 从 下 面 的 代 码 段 可 以 看 出 。 我 们 可 以 看 到 ， 它 得 到 E P R O C E S S 的 系 统 进 程 （ P I D   =   4 ）   ， 并 复 制 其 特 权 标 识 E P R O C E S S 当 前 进 程 。 从 分 析 中 ， 我 们 可 以 看 到 ， 它 是 非 常 容 易 被 利 用 的 内 核 级 漏 。 一 些 有 效 的 保 护 用 户 模 式 ， 如 D E P ， 很 容 易 绕 过 内 核 模 式 攻 击 。 因 为 这 是 一 个 程 序 ， 而 不 是 单 纯 的 数 据 或 脚 本 可 以 用 来 利 用 的 漏 洞 。 样 本 的 代 码 基 本 为 裸 码 ， 完 全 暴 漏 在 外 面 。 一 旦 这 样 的 内 核 级 利 用 方 式 被 进 行 二 次 修 改 利 用 ， 完 全 可 以 破 坏 沙 盒 程 序 。 甚 至 驱 动 出 更 多 的 内 核 级 漏 洞 。 W i n d o w s   8 和 更 高 版 本 的 风 险 较 小 ， 因 为 目 前 可 用 的 攻 击 代 码 被 挡 在 这 些 版 本 。 这 是 因 为 在 内 核 模 式 的 用 户 模 式 的 内 存 页 被 称 为 管 理 模 式 执 行 保 护 （ S M E P ） ， 这 将 阻 止 访 问 一 个 新 的 安 全 功 能 （ 读 / 写 / 执 行 ） 。 因 此 ， 进 入 空 页 面 ， s h e l l 代 码 不 会 导 致 代 码 执 行 ， 可 能 会 导 致 死 机 。 F r e e B u f 小 编 补 充 文 章 参 考 信 息 ： h t t p : / / b l o g . t r e n d m i c r o . c o m / t r e n d l a b s - s e c u r i t y - i n t e l l i g e n c e / a n - a n a l y s i s - o f - a - w i n d o w s - k e r n e l - m o d e - v u l n e r a b i l i t y - c v e - 2 0 1 4 - 4 1 1 3 /
还 有 更 厉 害 的 版 本 还 有 更 厉 害 的 版 本 最 早 初 期 的 这 个 样 品 应 该 是 发 现 在 2 0 0 9 年 的 1 2 月 。 当 时 这 个 样 品 泛 滥 不 开 来 ， 因 为 当 时 样 品 有 些 其 他 的 限 制 。 直 到 另 外 的 两 个 样 品 是 在 2 0 1 1 年 的 6 月 发 现 ， 样 品 编 译 日 期 是 2 0 1 1 年 的 3 月 ， 样 品 已 经 是 达 到 现 在 的 C V E - 2 0 1 4 - 4 1 1 3 的 功 能 了 。 C V E - 2 0 1 4 - 4 1 1 3 这 次 的 样 品 呢 ， 和 之 前 的 这 两 个 样 品 进 行 了 对 比 ， 发 现 基 本 一 致 ， 只 是 清 除 了 所 有 的 使 用 消 息 。 本 次 漏 洞 的 存 在 ， 绝 非 一 年 两 年 ， 根 据 多 个 样 品 比 较 ， 这 个 漏 洞 必 定 存 在 了 最 多 五 年 ， 最 短 三 年 。 而 这 期 间 都 有 某 本 次 漏 洞 的 存 在 ， 绝 非 一 年 两 年 ， 根 据 多 个 样 品 比 较 ， 这 个 漏 洞 必 定 存 在 了 最 多 五 年 ， 最 短 三 年 。 而 这 期 间 都 有 某 些 黑 客 在 利 用 这 个 漏 洞 。 此 次 些 黑 客 在 利 用 这 个 漏 洞 。 此 次 C V E - 2 0 1 4 - 4 1 1 3 的 的 E X P ， 经 过 了 至 少 三 次 的 修 改 流 传 ， 直 到 当 前 披 露 的 这 一 次 。 ， 经 过 了 至 少 三 次 的 修 改 流 传 ， 直 到 当 前 披 露 的 这 一 次 。 坏 消 息 是 这 个 C V E - 2 0 1 4 - 4 1 1 3 已 经 出 了 补 丁 。 而 好 消 息 是 ， 还 有 一 个 与 这 个 不 相 上 下 的 甚 至 说 是 更 厉 害 的 第 四 个 版 本 ， 在 某 黑 客 手 里 握 着 。 而 好 消 息 是 ， 还 有 一 个 与 这 个 不 相 上 下 的 甚 至 说 是 更 厉 害 的 第 四 个 版 本 ， 在 某 黑 客 手 里 握 着 。 为 什 么 这 么 断 言 呢 ？ 为 什 么 这 么 断 言 呢 ？ 因 为 这 个 因 为 这 个 E X P 并 没 有 发 挥 到 极 致 ， 还 有 一 个 版 本 应 该 是 完 全 可 以 广 泛 发 挥 。 并 没 有 发 挥 到 极 致 ， 还 有 一 个 版 本 应 该 是 完 全 可 以 广 泛 发 挥 。 [ 本 文 作 者 本 文 作 者   小 雅 （ 小 雅 （ x i a o y a ） ， 转 载 请 注 明 来 自 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理