搜索

[1113] 2020-09-09_[翻译]Win10滥用COM对象添加名为宋冬的管理员

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-16
2020-09-09_[翻译]Win10滥用COM对象添加名为宋冬的管理员 [ 翻 译 ] W i n 1 0 滥 用 C O M 对 象 添 加 名 为 " 宋 冬 " 的 管 理 员 Y 4 e r   C h a B u g   2 0 2 0 - 0 9 - 0 9 原 文 作 者 :   f o r s h a w @ g o o g l e . c o m 原 文 链 接 : h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t - z e r o / i s s u e s / d e t a i l ? i d = 2 0 5 1 译 者 : Y 4 e r   水 平 有 限 ， 如 有 错 误 请 及 时 反 馈 W i n 1 0 中 计 划 任 务 中 存 在 C l o u n d E x p e r i e n c e H o s t B r o k e r 托 管 普 通 用 户 可 以 访 问 的 不 安 全 C O M 对 象 ， 从 而 导 致 特 权 提 升 。 复 现 下 载 源 码   h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t - z e r o / i s s u e s / a t t a c h m e n t ? a i d = 4 4 9 6 8 7 & s i g n e d _ a i d = Z h 8 9 D l s W Y 5 c j _ V - H X x p h C Q = =   编 译 项 目 生 成 e x e （ 关 注 公 众 号 回 复 2 0 2 0 0 9 0 9 获 取 已 经 编 译 好 的 E X P ） ， 测 试 系 统 版 本   W i n 1 0   1 9 0 9   1 8 3 6 3 . 5 9 2
管 理 员 用 户 名 宋 冬 宋 冬   密 码 为 空
挖 掘 在 W i n 1 0 的 默 认 安 装 中 存 在 一 个 计 划 任 务   ， 该 计 划 任 务 会 用 S Y S T E M 权 限 创 建 一 个 进 程 托 管 c o m 类   。 这 是 一 个 通 用 的 C O M 代 理 ， 用 于 为 用 户 提 供 在 S Y S T E M 运 行 的 类 ， 以 配 置 诸 如 O O B E 和 R e t a i l   D e m o 之 类 的 东 西 。 只 要 计 划 的 任 务 和 C O M 服 务 器 都 经 过 适 当 的 A C L ， 这 本 身 就 不 会 成 为 问 题 。 不 幸 的 是 ， 他 并 没 有 做 A C L 。 计 划 任 务 可 以 由 普 通 用 户 启 动 ， 并 且 C O M 服 务 器 （ f 7 f a 3 1 4 9 - 9 1 e 7 - 4 3 b 7 - 8 0 4 0 - b 7 0 7 6 8 8 c e d 1 a ） 在 其 A p p I D （ f 7 f a 3 1 4 9 - 9 1 e 7 - 4 3 b 7 - 8 0 4 0 - b 7 0 7 6 8 8 c e d 1 a ） 中 未 指 定 限 制 性 启 动 权 限 。 使 用 默 认 值 授 予 I N T E R A C T I V E 组 访 问 权 限 。 通 常 来 讲 ， 尽 管 I N T E R A C T I V E 可 以 创 建 新 实 例 ， 但 默 认 的 访 问 权 限 仅 会 授 予 A d m i n i s t r a t o r s 和 S E L F   S I D （ 即 S Y S T E M ） 访 问 权 限 。 但 是 ， 不 知 道 是 b u g 还 是 由 于 设 计 而 定 ， 当 C l o u n d E x p e r i e n c e H o s t B r o k e r 进 程 调 用 C o I n i t i a l i z e S e c u r i t y 时 ， 它 都 会 使 用 不 同 的 A p p I D （ e f e 2 d 6 d 8 - a 8 1 b - 4 1 e 7 - a e 7 7 - e 5 2 4 4 a b 8 0 5 2 2 ） ， 该 I D 也 会 授 予   I N T E R A C T I V E   访 问 权 限 。 最 终 结 果 是 普 通 的 非 特 权 用 户 可 以 通 过 计 划 任 务 启 动 C O M 服 务 器 ， 激 活 新 实 例 并 访 问 生 成 的 C O M 服 务 器 。 同 样 ， 只 要 C O M 服 务 器 没 有 做 任 何 危 险 的 事 情 ， 也 不 是 问 题 。 C O M 服 务 器 出 售 通 用 的 I C r e a t e O b j e c t 接 口 ， 该 接 口 允 许 用 户 传 递 要 创 建 的 C L S I D 。 代 理 将 仅 创 建 在 M i c r o s o f t W i n d o w s C l o u d E x p e r i e n c e H o s t C r e a t e O b j e c t T a s k C l o u d E x p e r i e n c e H o s t   C r e a t e   S y s t e m   O b j e c t   S e r v e r   /   f 7 f a 3 1 4 9 - 9 1 e 7 - 4 3 b 7 - 8 0 4 0 - b 7 0 7 6 8 8 c e d 1 a
中 注 册 的 类 ， 在 W i n d o w s   1 0   1 9 0 9 中 为 以 下 类 。 C l s I D d e s c 0 3 1 6 b b c 2 - 9 2 d 9 - 4 e 2 e - 8 3 4 5 - 3 6 0 9 c 6 b 5 c 1 6 7 C l o u d E x p e r i e n c e H o s t   D i a g n o s t i c s   E l e v a t e d   M a n a g e r 0 6 d c 6 7 4 0 - f d 0 d - 4 2 6 a - 9 b f 6 - 2 0 d d b d 7 d 5 3 c e 0 b 2 6 f e 8 c - 9 e 5 7 - 4 8 f f - a d 9 f - 3 0 8 4 e f 4 0 2 4 4 3 P r o v O p e r a t i o n s C l e a n C o n t e x t 1 c 3 0 8 b 4 2 - b 4 b 4 - 4 2 a d - 8 6 4 c - 4 8 4 4 0 c 1 2 b 7 a 5 1 e e 0 2 6 d 0 - f 5 5 1 - 4 c 7 1 - a e a 2 - f 9 8 9 7 b 1 5 9 e a f U s e r   O O B E   C o n t r o l l e r   A u t o   E l e v a t e d 2 1 3 4 d a 0 4 - 4 f a a - 4 2 e d - a d a 2 - 4 3 7 0 7 b 4 e 1 d e 1 2 b 2 c a d 4 0 - 1 9 c 1 - 4 7 9 4 - b 3 2 d - 3 9 7 e 4 1 d 5 e 8 a 7 U s e r   O O B E   C o n t r o l l e r 2 c 0 1 2 f 5 5 - 1 3 1 8 - 4 4 f 4 - a 2 3 5 - 2 0 c 4 d f 9 1 8 f b 3 C l o u d   D o m a i n   J o i n   O S   U p g r a d e   H e l p e r 3 a 9 6 5 e d 4 - 0 e 1 4 - 4 a 1 b - a 7 1 e - 9 7 2 f 1 c 1 0 4 4 f 6 C l o u d E x p e r i e n c e H o s t   U t i l   E l e v a t e d   M a n a g e r 4 0 a f a 0 b 6 - 3 b 2 f - 4 6 5 4 - 8 c 3 f - 1 6 1 d e 8 5 c f 8 0 e C o n n e c t e d   U s e r   S t o r e 4 c 1 b 3 c 1 d - 5 c 7 8 - 4 a 7 3 - b e 8 b - d e 1 e c 4 b 3 6 3 7 e 5 4 3 3 7 1 7 9 - c 8 b 2 - 4 e d 4 - 9 5 e 4 - 9 5 6 0 1 c 8 5 0 d 8 c 5 5 8 c 2 5 8 c - 9 0 f e - 4 0 1 c - 8 7 7 2 - 7 e d c a 8 0 1 6 d 2 c 6 4 4 7 e 8 9 7 - 2 9 4 b - 4 0 9 a - b f 1 5 - 5 f 3 4 9 a 2 0 f 2 c 0 O O B E   R e g i s t e r e d   O w n e r 8 0 a 9 0 d 7 2 - a 8 3 4 - 4 f 3 d - a d 3 b - c 7 a b b e 4 a 0 f 6 6 O O B E   U s e r   A u t h e n t i c a t i o n 9 7 3 e 4 c e 8 - 8 5 a 2 - 4 2 0 7 - 8 1 4 7 - 4 7 7 8 b 5 0 6 4 4 d b A z u r e   A D   J o i n   w i t h   A u t h e n t i c   U s e r   G e s t u r e 9 a 3 1 d 2 9 2 - 6 5 5 f - 4 8 f 7 - b 5 a d - 5 5 3 3 5 8 b c d 0 c 9 9 c a f 4 a 2 e - c 9 5 7 - 4 8 c 7 - b 4 d 2 - 4 d 1 1 1 8 8 e 0 b 9 4 O O B E   E l e v a t e d   U t i l 9 d e a 6 e 0 b - 8 8 5 6 - 4 5 d 8 - a 4 2 4 - 5 7 2 4 4 a e f 1 e 3 c a 3 9 8 7 4 3 7 - f 1 b 5 - 4 2 9 6 - a 7 d d - 6 c c 3 a 8 b 7 3 8 b 9 b 7 4 2 e 8 2 7 - e d e 6 - 4 0 0 f - 8 3 1 2 - c d 5 2 2 1 9 8 b e 8 6 d 2 b 3 d b 0 4 - b 8 4 3 - 1 1 e 7 - a b c 4 - c e c 2 7 8 b 6 b 5 0 a d 2 d 2 8 3 8 9 - 8 5 e e - 4 f 9 c - b 4 5 f - 5 8 b d 9 e 6 6 4 9 7 6 d f 3 4 6 0 a e - d 9 2 d - 4 0 f 3 - b 5 c d - f 8 3 2 5 9 9 3 6 f 2 3 d f 4 3 6 1 9 7 - c 1 4 c - 4 f 1 d - 9 9 c c - 4 c 7 b b b 3 9 9 a 2 f e 1 f 5 a a 5 b - 0 6 5 c - 4 e 2 9 - b 4 5 4 - c 1 b b f e 0 8 1 9 d 2 M i c r o s o f t   A c c o u n t   C r e d e n t i a l   M a n a g e r e f e b 5 0 3 5 - 1 d a 0 - 4 b 7 3 - a f a 2 - 6 8 e d 7 a 1 d 9 8 e 0 R e t a i l I n f o S e t t e r I n t e r n a l f 3 2 f c f e c - 9 0 5 4 - 4 7 0 a - a c e e - 8 6 7 f 2 2 7 7 b 7 7 2 f d 5 a 7 8 d 9 - c 2 f 5 - 4 5 f f - 9 0 9 7 - c 6 1 5 a c d 0 a a 5 1 我 没 有 遍 及 整 个 列 表 ， 但 有 些 突 出 的 地 方 包 括   C o n n e c t e d   U s e r   S t o r e ， 它 使 您 可 以 将 本 地 帐 户 链 接 到 在 线 帐 户 。 5 4 3 3 7 1 7 9 - c 8 b 2 - 4 e d 4 - 9 5 e 4 - 9 5 6 0 1 c 8 5 0 d 8 c   公 开 了 本 地 帐 户 管 理 器 类 。 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n C l o u d E x p e r i e n c e H o s t B r o k e r E l e v a t e d C l s i d s
让 我 们 集 中 讨 论 L o c a l   A c c o u n t   M a n a g e r 类 ， 它 具 有 许 多 接 口 ， 但 是 最 有 趣 的 是 I L o c a l A c c o u n t M a n a g e r 。 它 具 有 以 下 功 能 ： 1 .   C r e a t e A c c o u n t   -   创 建 一 个 任 意 本 地 用 户 帐 户 。 2 .   C r e a t e R e t a i l D e m o A c c o u n t   -   创 建 零 售 演 示 模 式 的 帐 户 。 3 .   U p d a t e R e c o v e r y D a t a   -   更 新 帐 户 的 恢 复 问 题 。 出 于 说 明 目 的 ， C r e a t e R e t a i l D e m o A c c o u n t 将 使 用 空 密 码 在 A d m i n i s t r a t o r s 组 中 创 建 一 个 新 的 用 户 帐 户 。 但 是 ， 应 该 将 其 用 作 设 置 零 售 演 示 模 式 的 一 部 分 ， 如 果 通 过 “ 设 置 ” 应 用 完 成 此 操 作 ， 则 需 要 管 理 员 权 限 。 这 是 一 个 非 常 琐 碎 的 E o P ： 1 .   启 动 计 划 任 务 。 2 .   创 建 C O M 服 务 器 。 3 .   创 建 本 地 帐 户 管 理 器 类 。 4 .   调 用 C r e a t e R e t a i l D e m o A c c o u n t 创 建 管 理 员 帐 户 。 5 .   以 该 用 户 身 份 登 录 以 获 得 管 理 员 权 限 。 如 果 你 可 以 交 互 式 运 行 P O C ， 你 只 需 要 注 销 重 新 登 陆 即 可 。 如 果 没 有 用 户 交 互 ， 则 这 会 有 点 困 难 ， 因 为 默 认 情 况 下 您 无 法 在 没 有 密 码 的 情 况 下 进 行 身 份 验 证 ， 但 是 包 括 C o n n e c t e d   U s e r   S t o r e 在 内 的 其 他 一 些 类 将 暂 时 出 于 自 身 目 的 禁 用 空 密 码 检 查 ， 因 此 可 能 存 在 可 利 用 的 竞 争 窗 口 ， 这 些 竞 争 窗 口 系 统 不 执 行 检 查 ， 因 此 用 户 可 以 调 用 C r e a t e P r o c e s s W i t h L o g o n 创 建 进 程 ， 或 通 过 L o g o n U s e r 获 取 具 有 空 密 码 的 模 拟 令 牌 。 此 任 务 的 行 为 与 我 在 2 0 1 5 年 报 告 的 先 前 错 误 （ C V E - 2 0 1 5 - 2 5 2 8 ） 相 似 ， 该 错 误 位 于 计 划 任 务 中 。 我 不 知 道 是 否 从 那 个 问 题 中 学 到 了 什 么 教 训 。 特 别 是 ， 代 理 托 管 的 C O M 类 不 一 定 设 计 为 托 管 在 普 通 用 户 可 以 访 问 的 S Y S T E M   C O M 服 务 器 中 。 我 认 为 将 S Y S T E M   C O M 服 务 器 隐 藏 在 预 定 任 务 后 面 会 产 生 后 门 的 感 觉 。 毫 无 疑 问 应 该 修 复 I N T E R A C T I V E 组 可 以 访 问 或 激 活 系 统 C O M 服 务 器 这 点 。 实 际 上 ， 我 认 为 用 户 根 本 不 应 该 甚 至 可 以 启 动 计 划 的 任 务 。 我 认 为 尝 试 并 “ 修 复 ” 托 管 的 C O M 类 并 不 是 一 种 彻 底 的 解 决 方 案 。 P O C 证 明 见 上 文 复 现 过 程 ， 不 再 赘 述 。 感 慨 几 句 ： 信 息 爆 炸 的 时 代 ， 知 识 传 播 速 度 越 来 越 快 ， 早 上 翻 译 的 稿 子 ， 下 班 到 家 就 看 到 朋 友 圈 里 传 开 了 。 其 实 本 来 翻 译 稿 子 就 是 为 了 更 好 的 技 术 传 播 ， 而 且 这 不 仅 是 一 个 搬 运 的 过 程 ， 也 是 我 自 己 的 一 个 学 习 过 程 ， 和 大 家 共 勉 吧 。 另 外 这 个 洞 算 不 算 是 一 个 后 门 呢 ？ 关 注 公 众 号 回 复   2 0 2 0 0 9 0 9   获 取 已 经 编 译 好 的 E X P 。 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！ M i c r o s o f t W i n d o w s S h e l l C r e a t e O b j e c t T a s k
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理