搜索

[11432] 2017-06-07_狄仁杰探案之“永恒之蓝”

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-06-07_狄仁杰探案之“永恒之蓝” 狄 仁 杰 探 案 之 “ 永 恒 之 蓝 ” 兰 云 科 技   F r e e B u f   2 0 1 7 - 0 6 - 0 7 *   本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 本 故 事 纯 属 虚 构 ， 如 有 雷 同 ， 实 属 巧 合 。 唐 武 周 年 间 ， 利 用 了 永 恒 之 蓝 漏 洞 ( C V E - 2 0 1 7 - 0 1 4 4 ) 的 W a n n a C r y   蠕 虫 爆 发 。 朝 野 之 间 ， 电 脑 屏 幕 尽 呈 一 片 血 色 ， 刚 刚 宁 定 不 久 的 武 周 天 下 ， 又 面 临 一 场 浩 劫 。 狄 仁 杰 ， 元 芳 ， 狄 春 三 人 奉 旨 研 究 此 漏 洞 ， 寻 求 破 解 之 计 。 深 夜 ， 狄 公 交 给 管 家 狄 春 一 手 稿 ， 命 其 按 此 准 备 。 但 见 手 稿 上 写 道 ： 1 ）   靶 机 W i n   7   S P 1 x 8 6   虚 拟 机 一 台 , 无 补 丁 2 ）   攻 击 机 器 一 台 ， 虚 拟 机 上 安 装 N S A 的 E t e r n a l B l u e   复 现 工 具 ， 详 参 h t t p : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 3 2 0 7 6 . h t m l 3 ）   W i n d b g   远 程 调 试 环 境 , 4 ）   I D A 不 出 半 个 时 辰 ， 管 家 狄 春 已 准 备 妥 当 。 狄 公 唤 上 元 芳 一 同 开 始 查 看 。 狄 公 一 如 既 往 问 道 : “ 元 芳 ， 你 怎 么 看 。 ” “ 大 人 ， 卑 职 查 看 发 现 ， 所 有 感 染 的 电 脑   s r v ! S r v T r a n s a c t i o n 2 D i s p a t c h T a b l e 的 0 x 0 e 项 均 被 替 换 。 我 们 只 需 顺 着 这 个 线 索 往 回 顺 藤 摸 瓜 ， 定 能 找 到 真 相 。 ”   元 芳 答 道 。 狄 公 赞 许 的 点 了 点 头 ， 不 错 ， 一 般 来 说 ， 漏 洞 分 析 ， 第 一 步 我 们 只 需 找 到 控 制 是 如 何 转 移 的 。 第 二 步 ， 便 是 往 回 顺 藤 摸 瓜 ， 第 一 步 我 们 只 需 找 到 控 制 是 如 何 转 移 的 。 第 二 步 ， 便 是 往 回 顺 藤 摸 瓜 ， 看 数 据 是 如 何 被 损 坏 ， 而 导 致 控 制 转 移 的 看 数 据 是 如 何 被 损 坏 ， 而 导 致 控 制 转 移 的 。 狄 公 随 即 在 w i n d b g 中 敲 下 了 如 下 命 令 。 运 行 f b . p y ， 很 快 便 见 w i n d b g 断 下 在 如 下 地 址 ：                   狄 公 似 乎 想 到 了 什 么 ， 紧 接 着
元 芳 道 ,   果 然 是 这 里 ， 将 S r v T r a n s a c t i o n 2 D i s p a t c h T a b l e +   0 × 3 8   ， 也 便 是 0 x e ( 0 x e   * 4   =   0 × 3 8 )   项 ， 进 行 了 替 换 。 狄 仁 杰 道 ， 然 而 这 里 并 非 凶 案 第 一 现 场 ， 这 段 代 码 应 该 是 s h e l l c o d e ， 我 们 尚 需 弄 清 控 制 是 如 何 转 移 到 这 s h e l l c o d e 的 。 元 芳 用 . w r i t e m e m 命 令 将 这 段 s h e l l c o d e   d u m p   了 出 来 ， 仔 细 查 看 。 ” s h e l l c o d e 入 口 应 该 便 是 这 里 。 ”   元 芳 指 着 这 段 代 码 道 。 狄 仁 杰 不 仅 不 慢 重 新 启 动 调 试 ， 敲 下 如 下 命 令 。 “ 可 是 大 人 ， 这 地 址   – 每 次 调 试 ， 不 会 变 化 吗 ? ”   元 芳 有 些 疑 惑 道 。 狄 公 笑 笑 ， 那 就 让 我 们 来 试 试 运 气 吧 …   … “ 大 人 你 看 ， 真 的 断 下 来 了 。 ”   元 芳 看 见 断 点 真 的 命 中 了 。 狄 公 捋 了 下 胡 子 ， 微 微 一 笑 ， 看 来 我 们 的 运 气 不 错 啊 ， 他 凝 视 了 一 下 屏 幕 ， 继 续 敲 下
狄 公 道 ， 栈 顶 的 9 1 a 1 8 2 9 0       很 可 能 就 是 转 移 到 s h e l l c o d e 的 c a l l 指 令 的 返 回 地 址 。 狄 公 随 即 打 开 D i s a s s e m b l y 窗 口 狄 公 道 ， 应 该 就 是 这 条 c a l l         d w o r d   p t r   [ e a x + 4 ]     指 令 ， 将 控 制 转 移 到 了 s h e l l c o d e , 元 芳 你 看 ， 元 芳 道 ： ” 大 人 ， 这 第 一 步 我 们 算 是 完 成 了 ， 我 们 找 到 了 控 制 是 如 何 转 移 的 。 如 果 卑 职 没 有 猜 错 的 话 ， f f d f f 1 9 0 开 始 的 数 据 ， 除 了 f f d f f 1 9 4 ， 其 余 的 地 址 都 为 0 ， 像 是 伪 造 出 来 的 。 ” 狄 公 点 点 头 ， 我 们 现 在 需 要 做 的 就 是 ， 看 看 数 据 是 从 哪 里 来 的 ， 以 及 是 如 何 被 损 坏 的 。 狄 公 查 看 了 调 用 堆 栈 ： “ 是 用 I D A   分 析 代 码 的 时 候 了 。 ” 狄 公 用   I D A   加 载 了   s r v n e t . s y s 文 件 ， 开 始 静 态 分 析 。 约 莫 一 柱 香 的 功 夫 ， 狄 公 缓 缓 说 道 ， 元 芳 啊 ， 你 看 ， 数 据 可 以 追 溯 回 到 S r v N e t W s k R e c e i v e C o m p l e t e   这 个 函 数 。 这 个 函 数 是 个 I R P 的 完 成 例 程 。 这 个 函 数 的 第 三 个 参 数 C o n t e x t 是 I R P 的 C o n t e x t 。 而 C o n t e x t   偏 移 0 × 2 4   处 ， 存 放 了 一 个 指 针 ， 里 面 存 放 了 连 接 信 息 ， 我 们 姑 且 称 其 为 C o n n e c t i o n 吧 。 这 个 C o n n e c t i o n   会 被 作 为 第 一 个 参 数 ， 传 入 S r v N e t I n d i c a t e D a t a ( ) ， 而 紧 接 着 又 会 被 作 为 第 一 个 参 数 传 入 到 S r v N e t C o m m o n R e c e i v e H a n d l e r 。 也 就 是 说 ， C o n t e x   由 S r v n e t A l l o c a t e B u f f e r 分 配 ， 类 型 为 S R V N E T _ B U F F F E R   定 义 见 下 图
该 结 构 的 0 × 2 4 处 的 C o n n e c t i o n 被 损 坏 了 ， 于 是 便 有 了 我 们 看 到 的 一 幕 。 你 看 ， 在 调 用 S r v N e t I n d i c a t e D a t a ( ) 时 ， 代 码 如 下 ： 而 我 在 查 看 堆 栈 发 现 了 于 是 我 可 以 断 定 ， 时 ， e d i 的 值 为 f f d f f 0 2 0     压 入 了 栈 中 。     于 是 我 利 用 如 下 断 点 ， 重 新 调 试 一 下 ， S r v N e t W s k R e c e i v e C o m p l e t e + 0 × 1 4 我 发 现 e s i ， 也 就 是 C O N T E X T   的 地 址 为 0 x 8 6 a c d 0 1 0 ,   而 其 偏 移 0 × 2 4 ,   也 就 是 地 址 0 x 8 6 a c d 0 3 4 的 地 方 ， 被 损 坏 ， 变 成 了 0 x   f f d f f 0 2 0 。 我 们 不 妨 再 来 试 试 手 气 ， 说 不 定 ， 这 个 0 x 8 6 a c d 0 3 4 地 址 每 次 也 不 变 呢 。 狄 公 又 重 启 了 调 试 ， 设 置 如 下 断 点 :
断 点 再 次 命 中 。 狄 公 再 次 查 看 堆 栈 狄 公 邹 了 下 眉 头 ， 多 年 的 办 案 经 验 ， 让 他 想 到 了 问 题 似 乎 出 在 了 s r v . s y s ！ S r v O s 2 F e a T o N t   函 数 的 m e m m o v e 上 ： 如 果 往 常 一 样 ， 他 在 这 个 函 数 上 设 置 了 如 下 断 点 ， 打 印 出 每 次 调 用 的 参 数 : 打 印 出 信 息 如 下 两 条 引 起 了 狄 公 的 注 意 :
利 用 ! p o o l 命 令 验 算 是 否 越 界 ， 第 一 条 ， 并 没 有 问 题 。 而 第 二 条 这 个 m e m m o v e 调 用 将 向 8 6 a c c f f 9     开 始 的 0 x a 8   个 字 节 里 拷 贝 ， 即 结 束 地 址 为 8 6 a c d 0 a 1 。 这 已 经 越 过 了 分 配 的 地 址   8 6 a c d 0 0 0 。 元 芳 见 此 ， 立 刻 说 道 ， 大 人 我 明 白 了 ， 原 来 是 m e m m o v e 拷 贝 越 界 了 导 致 内 存 损 坏 。 狄 公 却 摆 手 示 意 ： “ 不 ， 目 前 我 们 还 不 能 解 释 为 什 么 拷 贝 会 越 界 。 元 芳 ， 这 个 看 来 就 交 给 你 了 ” 。 元 芳 会 意 ， 即 刻 开 始 分 析 并 调 试 S r v O s 2 F e a T o N t   和 调 用 函 数 S r v O s 2 F e a L i s t T o N t   的 代 码 。 一 个 多 时 辰 后 ， 元 芳 突 然 兴 奋 的 说 道 ： “ 大 人 ， 我 找 道 了 。 ” 狄 公 微 微 一 笑 ， 不 妨 说 来 听 听 。 元 芳 道 ： “ 是 ， 大 人 。 卑 职 看 来 ， 这 段 代 码 其 实 是 用 来 将 O S / 2   的 F E A 转 化 成 N T 的 扩 展 属 性 E A 。 而 问 题 就 出 现 在 S r v O s 2 F e a L i s t T o N t 这 厮 身 上 ， 这 厮 会 修 改 F E A L I S T 的 大 小 。 而 问 题 恰 恰 出 现 在 了 这 里 。 这 里   v 1   存 放 的 是 F E A L I S T   的 大 小 ， 是 个 D W O R D ， 本 意 是 根 据 v 3 和 v 1 的 差 值 缩 小 F E A L I S T 的 大 小 。 可 是 这 里 却 用 了 W O R D 来 计 算 。 我 调 试 时 发 现 ，
这 里 ， 本 来 试 图 把 F E A L I S T 的 大 小 从 0 0 0 1 0 0 0 0       缩 小 到 0 0 0 0 f f 5 d 。 然 而 ， 用 了 W O R D 来 计 算 ， 结 果 反 倒 变 成 了   0 x 1 f f 5 d ， 一 下 变 大 了 。 如 此 一 来 ， 下 面 也 都 错 了 。 其 实 破 解 之 策 异 常 简 单 ， 仅 需 改 成 即 可 。 狄 公 点 点 头 ， 不 错 ， 元 芳 ， 一 语 中 的 啊 。 元 芳 道 , 可 是 卑 职 尚 有 一 事 不 明 , v 1   如 果 是 W O R D 指 针 ， 还 尚 可 理 解 。   可 v 1 这 里 是 D W O R D 指 针 ， 这 行 代 码 ， 转 化 成 W O R D 再 计 算 ， 甚 是 怪 异 ， 莫 非 作 者 喝 醉 了 不 成 ? 狄 公 微 微 一 笑 ： “ 问 得 好 啊 ， 我 其 实 也 曾 有 过 如 此 疑 问 。 细 细 想 来 ， 如 果 作 者 没 有 喝 醉 ， 那 还 有 一 种 可 能 …   … ” “ 哦 ， 还 望 大 人 明 示 。 “   元 芳 有 些 不 解 。 狄 公 说 道 ， 还 有 一 种 可 能 ， 便 是 代 码 中 可 能 使 用 了 S t o r e U n s i g n e d S h o r t   这 样 的 宏 来 赋 值 ， 这 样 一 来 ， 错 误 便 更 加 隐 蔽 而 不 易 被 人 察 觉 。 “ 原 来 是 这 样 ！ ” 元 芳 道 ， “ 这 下 卑 职 彻 底 明 白 了 。 ” 狄 公 道 ： “ 元 芳 啊 ， 分 析 漏 洞 不 应 放 过 每 个 细 节 。 我 且 问 你 ， “ 你 有 没 有 想 过   0 x f f d f f 1 f 1 地 址 中 存 放 的 s h e l l c o d e 是 如 何 拷 贝 进 去 的 啊 ？ ”
“ 这 个 。 。 。 “ 元 芳 竟 然 一 时 语 塞 ， ” 待 卑 职 调 试 一 下 。 “ 元 芳 不 由 大 吃 一 惊 ， 大 人 ， 怎 么 会 这 样 ， 好 象 — 竟 是 T C P / I P 协 议 栈 拷 贝 进 去 的 。 狄 公 微 微 一 笑 道 ： ” 你 恰 恰 忽 略 了 一 点 , 在 m e m m o v e 拷 贝 的 时 候 ， 覆 盖 掉 的 不 仅 仅 是 C o n t e x t - > C o n n e c t i o n 。 他 同 时 也 覆 盖 了 相 邻 S R V N E T _ B U F F E R . M D L 的 内 容 ( 偏 移 0 x 2 c 起 ) ， 从 而 使 得 T C P / I P 协 议 栈 拷 贝 到 了 f f d f f 1 f 1 内 存 中 。 在 x 8 6 上 ， f f d f 1 0 0 0 开 始 到 f f f f f f f f 地 址 ， 都 是 保 留 给 H A L 用 的 。 你 看 下 下 面 这 张 图 便 明 白 了 。 ”
狄 公 道 ， 我 们 可 以 复 命 了 。 朝 堂 之 上 ， 狄 公 娓 娓 道 来 ， 整 个 攻 击 攻 错 大 致 是 这 样 的 。 首 先 ， 歹 人 发 送 S M B   的   S e s s i o n   S e t u p   A n d X   ( 0 × 7 3 )   命 令 ， 跟 据 其 响 应 中 的 N a t i v e   O S   获 取   目 标 操 作 系 统 的 版 本 信 息 。 有 图 为 证 : 紧 接 着 ， 歹 人 的 计 划 紧 锣 密 鼓 的 展 开 。 他 利 用 了 S M B . S M B _ C O M _ N T _ T R A N S A C T   S M B _ C O M _ T R A N S A C T I O N 2 _ S E C O N D A R Y   在 内 存 中 精 心 布 局 ， 形 成 了 一 些 连 续 的 S R V N E T _ B U F F E R 内 存 区 域 。 然 后 他 关 闭 了 一 个 链 接 ， 从 而 释 放 掉 一 个 S R V N E T _ B U F F E R ，
而 这 个 释 放 掉 的 S R V N E T _ B U F F E R 空 洞 恰 恰 又 会 被 F e a L i s t   分 配 内 存 时 重 用 ( 有 图 为 证 ) 。 而 S r v O s 2 F e a L i s t T o N t   中 的 B u g 又 导 致 了 拷 贝 时 越 界 ， 直 接 覆 盖 掉 了 其 后 的 S R V N E T _ B U F F E R ， 修 改 了 M D L 。 于 是 后 面 的 发 送 的 数 据 就 被 错 误 的 拷 贝 到 了 M D L   指 定 的 内 存 中 ， 也 就 是 H A L 保 留 的 内 存 。 而 这 时 ， 歹 人 开 始 了 致 命 的 以 一 击 ， 发 送 最 后 一 个 S M B _ C O M _ T R A N S A C T I O N 2 _ S E C O N D A R Y   分 片 ， 从 而 触 发 了 控 制 转 移 。 奏 毕 ， 满 朝 皆 惊 。 曾 泰 赞 曰 ， 大 人 真 乃 神 人 也 ！ 退 朝 后 ， 狄 公 却 仍 是 心 事 重 重 ， 元 芳 便 上 前 问 道 ， 大 人 似 乎 还 有 心 事 ？ 狄 公 叹 道 : “ 这 永 恒 之 蓝 ， 犹 如 浩 瀚 的 大 海 ， 深 藏 着 诡 谲 与 恐 惧 ， 吞 噬 着 无 辜 和 善 良 。 虽 然 此 案 已 结 ， 可 我 始 终 却 还 有 种 不 祥 的 预 感 ， 歹 人 不 会 就 此 罢 休 ， 总 觉 得 似 乎 还 有 事 情 发 生 ” 。 不 出 所 料 ， 数 日 后 ， 殿 上 急 召 狄 仁 杰 觐 见 。     狄 公 缓 缓 叹 道 ， 该 来 的 总 会 来 的 ， 不 会 是 S a m b a 服 务 真 的 也 出 问 题 了 吧 。 但 见 一 个 微 胖 的 身 影 在 暮 色 中 匆 匆 向 大 殿 走 去 …   … 参 考 文 献 参 考 文 献 h t t p s : / / p a c k e t s t o r m s e c u r i t y . c o m / f i l e s / 1 4 2 5 4 8 / M S 1 7 - 0 1 0 - E t e r n a l B l u e - S M B - R e m o t e - W i n d o w s - K e r n e l - P o o l - C o r r u p t i o n . h t m l h t t p : / / b l o g s . 3 6 0 . c n / 3 6 0 s a f e / 2 0 1 7 / 0 4 / 1 7 / n s a - e t e r n a l b l u e - s m b / h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 4 2 0 3 1 / *   本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理