搜索

[11322] 2017-05-08_英特尔AMT功能远程提权高危漏洞分析

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2017-05-08_英特尔AMT功能远程提权高危漏洞分析 英 特 尔 A M T 功 能 远 程 提 权 高 危 漏 洞 分 析 S p h i n x   F r e e B u f   2 0 1 7 - 0 5 - 0 8 本 周 早 些 时 候 ， 英 特 尔 发 布 了 一 个 高 危 提 权 漏 洞 ， 影 响 的 范 围 包 括 过 去 7 年 英 特 尔 服 务 器 芯 片 的 远 程 管 理 功 能 。 远 程 攻 击 者 可 以 利 用 漏 洞 控 制 存 在 P C 、 笔 记 本 电 脑 和 服 务 器 。 这 款 漏 洞 编 号 为 C V E - 2 0 1 7 - 5 6 8 9 ， 能 够 影 响 到 英 特 尔 远 程 管 理 技 术 ， 包 括 A c t i v e   M a n a g e m e n t   T e c h n o l o g y   ( A M T ) ,   I n t e l   S t a n d a r d M a n a g e a b i l i t y ( I S M ) 和 I n t e l   S m a l l   B u s i n e s s   T e c h n o l o g y   ( S B T ) 软 件 ， 版 本 号 由 6 开 始 到 1 1 . 6 。 如 果 你 在 电 脑 上 看 到 过 这 些 标 志 ， 那 么 你 很 有 可 能 中 招 了 。         漏 洞 最 先 由 E m b e d i   研 究 团 队 的 M a k s i m M a l y u t i n 在 二 月 中 旬 发 现 ， 发 现 后 他 立 即 提 交 给 了 英 特 尔 安 全 团 队 。 现 在 大 部 分 系 统 管 理 员 已 经 通 过 补 丁 更 新 了 系 统 ， E m b e d i 决 定 披 露 更 多 细 节 。 黑 客 能 够 通 过 发 送 空 的 验 证 字 符 串 来 劫 持 使 用 英 特 尔 芯 片 的 电 脑 ， 在 了 解 其 中 的 原 理 之 前 我 们 得 先 回 答 下 面 几 个 问 题 ： 什 么 是 I n t e l   A M T ？ I n t e l   A M T 漏 洞 出 现 在 哪 里 ？ 黑 客 怎 样 利 用 这 个 漏 洞 ？ 什 么 是 I n t e l   A M T ?
英 特 尔 的 芯 片 嵌 入 了 I n t e l   A c t i v e   M a n a g e m e n t   T e c h n o l o g y ( A M T ) 技 术 ， 这 项 技 术 能 让 I T 管 理 人 员 远 程 管 理 和 修 复 P C 、 工 作 站 和 服 务 器 。 这 项 预 设 的 功 能 使 用 基 于 W e b 的 控 制 页 面 ， 通 过 远 程 端 口 1 6 9 9 2 和 1 6 9 9 3 让 管 理 员 远 程 管 理 系 统 。 I n t e l   A M T   W e b 界 面 甚 至 可 以 在 系 统 关 机 时 运 作 ， 因 为 它 集 成 在 芯 片 中 ， 所 以 可 以 独 立 于 操 作 系 统 运 作 ， 只 要 机 器 连 接 了 电 源 和 网 线 。 I n t e l   A M T 漏 洞 出 现 在 哪 里 ？ 为 了 防 止 功 能 被 未 授 权 的 用 户 滥 用 ， A M T 服 务 会 使 用 H T T P 摘 要 认 证 和 K e r b e r o s 验 证 机 制 。 权 限 提 升 漏 洞 就 出 现 在 I n t e l   A M T   W e b 界 面 通 过 H T T P 摘 要 认 证 协 议 认 证 用 户 的 环 节 ， 这 是 个 基 于 挑 战 / 应 答 ( C h a l l e n g e / R e s p o n s e ) 方 式 的 身 份 认 证 系 统 。 在 解 释 漏 洞 之 前 我 们 先 了 解 一 下 摘 要 认 证 的 原 理 ， 摘 要 认 证 包 含 以 下 这 些 步 骤 ： 用 户 先 发 起 一 个 没 有 认 证 证 书 的 登 陆 请 求 ， 作 为 响 应 ， 服 务 器 回 复 一 个 随 机 数 （ 称 作 ” n o n c e “ ） 、 H T T P 方 法 以 及 请 求 的 U R I 。 接 下 来 用 户 就 会 被 提 示 输 入 用 户 名 和 密 码 。 输 入 后 ， 客 户 端 就 会 发 送 一 个 加 密 的 字 符 串 ( u s e r _ r e s p o n s e ) ， 字 符 串 是 使 用 一 个 单 向 的 加 密 函 数 生 成 的 一 个 消 息 摘 要 （ m e s s a g e   d i g e s t ） ， 该 摘 要 由 用 户 名 、 密 码 、 给 定 的 n o n c e 值 、 H T T P 方 法 ， 以 及 所 请 求 的 U R I 生 成 。 而 服 务 器 端 也 会 通 过 数 据 库 中 的 用 户 名 密 码 计 算 一 个 类 似 的 加 密 字 符 串 ( c o m p u t e d _ r e s p o n s e ) 。 服 务 器 使 用 s t r n c m p ( ) 函 数 对 两 个 字 符 串 进 行 比 较 ， 如 果 二 者 相 符 就 会 让 用 户 登 陆 I n t e l   A M T   W e b 界 面 。 而 I n t e l   A M T 漏 洞 正 是 出 现 在 s t r n c m p ( ) 函 数 中 。 语 法 ： s t r n c m p   ( s t r i n g _ 1 ,   s t r i n g _ 2   ,   l e n g t h ) 其 中 l e n g t h 参 数 定 义 了 多 少 个 字 符 会 被 比 较 S t r n c m p ( ) 是 一 个 二 进 制 安 全 字 符 串 比 较 函 数 ， 所 谓 二 进 制 安 全 就 是 指 在 一 个 二 进 制 文 件 上 所 执 行 的 不 更 改 文 件 内 容 的 功 能 或 者 操 作 ， 其 本 质 上 将 操 作 输 入 作 为 原 始 的 、 无 任 何 特 殊 格 式 意 义 的 数 据 流 。 函 数 的 返 回 值 包 括 负 整 数 ， 0 和 正 整 数 ， 取 决 于 s t r i n g _ 1 是 否
比 s t r i n g _ 2 大 ， 如 果 二 者 相 等 ， 则 返 回 0 。 存 在 问 题 的 代 码 ： i f ( s t r n c m p ( c o m p u t e d _ r e s p o n s e ,   u s e r _ r e s p o n s e ,   r e s p o n s e _ l e n g t h ) ) e x i t ( 0 x 9 9 ) ; 很 明 显 ， 要 认 证 成 功 ， 变 量 u s e r _ r e s p o n s e 的 值 必 须 等 于 c o m p u t e d _ r e s p o n s e ， 因 此 无 论 长 度 如 何 ， s t r n c m p ( ) 函 数 的 返 回 值 必 须 为 0 。 但 是 写 这 段 代 码 的 程 序 员 错 误 地 吧 u s e r _ r e s p o n s e 的 长 度 放 到 了 s t r n c m p ( ) 函 数 中 ， 而 非 c o m p u t e d _ r e s p o n s e 。 黑 客 如 何 利 用 ？ 要 想 利 用 漏 洞 ， 未 经 授 权 的 用 户 只 需 要 发 送 空 的 u s e r _ r e s p o n s e 值 。 由 于 s t r n c m p ( ) 错 误 地 用 u s e r _ r e s p o n s e 变 量 来 认 证 用 户 ， 因 此 ， 发 送 n u l l 值 就 会 让 比 较 很 熟 认 为 u s e r _ r e s p o n s e 与 c o m p u t e d _ r e s p o n s e 相 等 ， 从 而 通 过 验 证 。 攻 击 示 例 ：
漏 洞 危 害 攻 击 者 还 可 以 使 用 K e y b o a r d   V i d e o   M o u s e   ( K V M ) 功 能 ， 这 个 功 能 内 置 在 I n t e l   A M T   W e b 控 制 平 台 中 ， K V M 能 够 让 系 统 管 理 员 远 程 控 制 系 统 ， 能 够 执 行 的 操 作 包 括 ： “ [ 攻 击 者 ] 可 以 远 程 加 载 执 行 任 意 程 序 ， 读 写 文 件 （ 使 用 常 规 的 文 件 管 理 器 ） ”   ， 研 究 人 员 在 论 文 中 写 道 ， “ 使 用 I D E - R ( I D E R e d i r e c t i o n ) ， 黑 客 还 可 以 远 程 更 改 启 动 设 备 ， 比 如 吧 其 他 虚 拟 镜 像 作 为 启 动 设 备 。 ” “ 使 用 S O L   ( S e r i a l   o v e r   L A N ) ,   [ 攻 击 者 ] 能 够 远 程 开 关 机 / 重 启 / 重 置 系 统 ， 还 可 以 对 B I O S 选 项 进 行 编 辑 。 ” 也 就 是 说 ， 黑 客 可 以 做 任 何 事 情 ， 可 以 登 陆 机 器 、 执 行 恶 意 活 动 ， 包 括 修 改 系 统 和 安 装 那 些 无 法 检 测 的 恶 意 软 件 。 升 级 固 件 修 复 系 统 漏 洞 影 响 的 英 特 尔 管 理 固 件 版 本 包 括 6 . x ,   7 . x ,   8 . x   9 . x ,   1 0 . x ,   1 1 . 0 , 1 1 . 5 和 1 1 . 6 ， 不 过 在 6 以 前 和 1 1 . 6 以 后 的 版 本 则 不 受 影 响 。 英 特 尔 已 经 将 漏 洞 评 级 为 高 危 ， 并 且 发 布 了 新 的 固 件 版 本 。 于 此 同 时 ， 英 特 尔 还 发 布 了 一 些 指 导 文 件 ， 一 份 用 于 检 测 工 作 站 是 否 运 行 了 A M T ,   I S M 或 S B T ， 一 份 用 于 检 测 系 统 是 否 存 在 漏 洞 ， 还 有 针 对 不 能 立 即 升 级 的 企 业 的 修 复 指 导 。 研 究 员 B a r t   B l a z e 在 G i t H u b 上 也 发 布 了 一 款 简 单 的 修 复 工 具 ， 基 于 英 特 尔 的 指 导 文 件 制 作 。 受 影 响 的 用 户 只 需 要 下 载 运 行 其 中 的 D i s a b l e A M T . e x e ， 这 个 文 件 会 关 闭 W i n d o w s 操 作 系 统 （ x 8 6 和 x 6 4 系 统 ） 中 的 A M T 功 能 。
* 参 考 来 源 ： T H N   &   E m b e d i ， 本 文 作 者 ： S p h i n x ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理