搜索

[11866] 2017-10-07_混淆漏洞CVE-2017-0213技术分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-10-07_混淆漏洞CVE-2017-0213技术分析 混 淆 漏 洞 C V E - 2 0 1 7 - 0 2 1 3 技 术 分 析 银 河 实 验 室   F r e e B u f   2 0 1 7 - 1 0 - 0 7 1 .       引 言 引 言 C V E - 2 0 1 7 - 0 2 1 3   是 一 个 比 较 冷 门 的 是 一 个 比 较 冷 门 的 C O M   类 型 混 淆 类 型 混 淆   ( T y p e   C o n f u s i o n ) 漏 洞 。 巧 妙 的 利 用 该 漏 洞 ， 可 以 实 现 本 地 漏 洞 。 巧 妙 的 利 用 该 漏 洞 ， 可 以 实 现 本 地 的 提 权 。 该 漏 洞 由 著 名 的 的 提 权 。 该 漏 洞 由 著 名 的 G o o g l e   P r o j e c t   z e r o   发 现 。 漏 洞 信 息 原 文 可 参 见 【 发 现 。 漏 洞 信 息 原 文 可 参 见 【 1 】 】 然 而 原 文 对 漏 洞 的 描 述 有 些 过 于 任 性 ， 尽 管 笔 者 熟 悉 好 几 国 英 文 J ， 反 复 读 了 好 几 遍 还 是 觉 得 云 山 雾 罩 。 因 此 决 定 亲 自 分 析 下 ， 和 读 者 共 同 分 享 一 下 。 2 .       技 术 分 析 技 术 分 析 2 . 1   D C O M   简 介 简 介 这 个 漏 洞 要 从 D C O M   谈 起 了 。 相 信 大 家 对 W i n d o w s 的 组 件 对 象 模 型 ( C O M )   都 已 经 非 常 熟 悉 了 。 而 D C O M 可 能 相 对 来 说 要 陌 生 一 些 。 D C O M 是   分 布 式 的 C O M ,   类 似 于 C O R B A ,   也 就 是 说 调 用 的 C O M   可 以 在 远 程 主 机 上 。 D C O M 的 详 细 信 息 可 参 见 ( 阅 读 原 文 查 看 ) h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / c c 2 2 6 8 0 1 . a s p x 在 C O M 模 型 中 ， 我 们 知 道 所 有 的 C O M   接 口 都 要 继 承   I U n k o w n   接 口 。 通 过 Q u e r y I n t e r f a c e 函 数 ， 可 以 查 询 任 意 接 口 。 而 在 D C O M 模 型 中 ， 对 应 于 I U n k n o w n 的 接 口 为 I R e m u n k o w n   和 I R e m U n k o w n 2   两 个 远 程 接 口 。 相 应 的 ， Q u e r y I n t e r f a c e 对 应 的 方 法 为 ： 和 两 者 的 主 要 区 别 在 于 返 回 的 对 象 类 型 上 。 I R e m U n k n o w n : : R e m Q u e r y I n t e r f a c e   通 过 最 后 一 个 参 数 [ o u t , s i z e _ i s ( , c I i d s ) ]   P R E M Q I R E S U L T *   p p Q I R e s u l t s   来 返 回 对 象 。 看 一 下 P R E M Q I R E S U L T 的 定 义 S T D O B J R E F   通 常 包 含 O X I D , I P I D ,   O I D   这 些 信 息 。 而   I R e m U n k n o w n 2 : : R e m Q u e r y I n t e r f a c e 2 通 过 最 后 又 一 个 参 数 P M I n t e r f a c e P o i n t e r I n t e r n a l   来 返 回 对 象 . 而   P M I n t e r f a c e P o i n t e r I n t e r n a l     的 定 义 I R e m U n k n o w n : : R e m Q u e r y I n t e r f a c e ( [ i n ]   R E F I P I D r i p i d ,     [ i n ]   u n s i g n e d   l o n g   c R e f s ,     [ i n ]   u n s i g n e d   s h o r t   c I i d s ,     [ i n ,   s i z e _ i s ( c I i d s ) ]   I I D *   i i d s ,     [ o u t ,   s i z e _ i s ( , c I i d s ) ]   P R E M Q I R E S U L T *   p p Q I R e s u l t s ) I R e m U n k n o w n 2 : : R e m Q u e r y I n t e r f a c e 2 ( [ i n ] R E F I P I D   r i p i d ,     [ i n ]   u n s i g n e d   s h o r t   c I i d s ,     [ i n ,   s i z e _ i s ( c I i d s ) ]   I I D *   i i d s ,     [ o u t ,   s i z e _ i s ( c I i d s ) ]   H R E S U L T *   p h r ,     [ o u t ,   s i z e _ i s ( c I i d s ) ]   P M I n t e r f a c e P o i n t e r I n t e r n a l *   p p M I F ) t y p e d e f   s t r u c t   t a g R E M Q I R E S U L T   {       H R E S U L T   h R e s u l t ;       S T D O B J R E F   s t d ;   }   R E M Q I R E S U L T ; t y p e d e f   [ d i s a b l e _ c o n s i s t e n c y _ c h e c k ] R E M Q I R E S U L T *   P R E M Q I R E S U L T   t y p e d e f   [ d i s a b l e _ c o n s i s t e n c y _ c h e c k ] M I n t e r f a c e P o i n t e r *   P M I n t e r f a c e P o i n t e r I n t e r n a l ;
根 据 M S D N 的 解 释   ( h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / c c 2 2 6 8 2 6 . a s p x ) M I n t e r f a c e P o i n t e r 是 一 个 N D R 装 组 ( m a r s h a l ) 的 对 象 引 用 。 不 难 看 出 ， I R e m U n k n o w n : : R e m Q u e r y I n t e r f a c e   只 是 返 回 了 对 象 的 部 分 信 息 ， 而 I R e m U n k n o w n 2 : : R e m Q u e r y I n t e r f a c e 2 返 回 了 整 个 对 象 的 信 息 。 2 . 2   漏 洞 分 析 漏 洞 分 析 C V E - 2 0 1 7 - 0 2 1 3 的 问 题 出 现 在   I R e m U n k n o w n 2 : : R e m Q u e r y I n t e r f a c e 2 的   代 码 中 。 代 码 调 用 C S t d M a r s h a l : : F i n i s h _ R e m Q I A n d U n m a r s h a l 2 来 完 成 对 返 回 对 象 解 组 ( U n m a r s h a l ) 。 对 于 每 一 个 M I n t e r f a c e P o i n t e r 指 针 ， 函 数   C S t d M a r s h a l : : U n m a r s h a l I n t e r f a c e   对 其 进 行 解 组 ， 即 从   I S t r e a m 的 数 据 中 解 组 出 相 应 的 接 口 。 问 题 出 现 在 这 里   ， 解 组 的 时 候 ， 解 组 代 理 是 根 据 I S t r e a m d e 数 据 中 的 O B J R E F ( I I D )   来 解 组 的 ， 而 并 非   I R e m U n k n o w n 2 : : R e m Q u e r y I n t e r f a c e 2   中 指 定 的   I I D   。 也 就 是 说 ， 这 里 没 有 对 O B J R E F   的 I I D 和 I R e m U n k n o w n 2 : : R e m Q u e r y I n t e r f a c e 2 中 指 定 的 I I D   进 行 一 致 性 检 查 。 ， 如 果 在   I S t r e a m 中 的 I I D   和 调 用 I R e m U n k n o w n 2 : : R e m Q u e r y I n t e r f a c e 2   时 指 定 的 I I D   不 一 致 的 时 候 ， 就 会 发 生 类 型 混 淆 。 2 . 3     漏 洞 利 用 漏 洞 利 用 类 型 混 淆 的 漏 洞 通 常 可 以 通 过 内 存 损 坏 的 方 式 来 进 行 利 用 . 然 而 漏 洞 发 现 者 在 利 用 时 ， 并 未 采 用 内 存 损 坏 的 方 式 来 进 行 漏 洞 利 用 。 按 照 漏 洞 发 现 者 的 说 法 ， 内 存 损 坏 的 利 用 方 式 需 要 对 内 存 进 行 精 心 布 局 ， 即 便 如 此   ， 在 W i n d o w s   1 0 上 也 可 能 会 触 发 C F G ( C o n t r o l   F l o w   G u a r d ) 。 漏 洞 发 现 者 另 辟 其 径 ， 采 用 了 一 种 基 于 L o a d T y p e L i b r a r y 来 利 用 的 方 法 。 背 景 知 识 ： 背 景 知 识 ： 如 果 将 C O M   接 口 注 册 P S O A I n t e r f a c e 或 者 P S D i s p a t c h 后 ， o l e a u t 3 2 . d l l   会 查 找 注 册 的 T y p e   L i b r a r y 信 息 ( 存 放 在 注 册 表 中 ) ， 如 果 找 到 的 话 ， 将 调 用 L o a d T y p e L i b r a r y   来 加 载   T y p e   L i b r a r y .   T y p e L i b r a r y 在 加 载 的 时 候 ， 有 个 很 有 趣 的 行 为 :   首 先 会 按 G U I D 查 找 ， 如 果 查 找 失 败 的 话 ， 会 按 文 件 名 来 查 找 。 如 果 按 文 件 名 查 找 也 失 败 的 话 ， 这 时 会 按 照 M o n i k e r 来 查 找 。 这 时 ， 我 们 只 需 将 包 含 s c r i p t l e t 的 M o n i k e r 注 入 到 一 个 T y p e   L i b r a r y   文 件 中 。 就 可 以 执 行 这 段 s c r i p t l e t 。 漏 洞 发 现 者 采 用 的 S c r i p t L e t 如 下 图 所 示 。 现 在 我 们 知 道 ， 可 以 利 用 这 个 漏 洞 来 成 功 加 载 J S ,   从 而 达 到 执 行 任 意 文 件 的 目 的 。 那 么 如 何 来 利 用 这 个 漏 洞 来 进 行 提 权 呢 ?     我 们 注 意 到 ， B I T S   服 务 运 行 在   S Y S T E M   完 整 性 等 级 ( I n t e g r i t y L e v e l ) 上 。 如 果 调 用 其 并 传 入 一 个 精 心 构 造 的 C O M   接 口 ， 引 发 类 型 混 淆 ， 便 可 利 用 该 漏 洞 来 加 载 一 个 T y p e L i b r a r y 。   这 里 ， 漏 洞 利 用 程 序 选 择 了 C O M   接 口   I I D _ I T M e d i a C o n t r o l ( G U I D   { C 4 4 5 D D E 8 - 5 1 9 9 - 4 B C 7 - 9 8 0 7 - 5 F F B 9 2 E 4 2 E 0 9 } ) , 其 T y p e L i b G U I D 为 { 2 1 D 6 D 4 8 0 - A 8 8 B - 1 1 D 0 - 8 3 D D - 0 0 A A 0 0 3 C C A B D } ，   注 册 的 D L L 为   t a p i 3 . d l l 。 那 么 如 何 才 能 达 到 加 载 自 己 定 义 的 t a p i 3 . d l l 的 目 的 呢 ? T a p i 3 . d l l 位 于   % s y s t e m 3 2 % 目 录 下 ， 覆 盖 此 文 件 显 然 不 可 能 。 漏 洞 利 用 程 序 使 用 了 这 样 一 个 技 巧 : 利 M I n t e r f a c e P o i n t e r   i s   a n   N D R - m a r s h a l e d   s t r u c t u r e   t h a t   M U S T   c o n t a i n   a   h a n d - m a r s h a l e d   O B J R E F . I B a c k g r o u n d C o p y J o b : : S e t N o t i f y I n t e r f a c e ( I U n k n o w n   * p N o t i f y I n t e r f a c e )
用 N t C r e a t e S y m b o l i c L i n k 重 定 向 C :   到 当 前 目 录   。 在 当 前 目 录 下 创 建 w i n d o w s s y s t e m 3 2 t a p i 3 . d l l 即 可 。 具 体 过 程 可 参 见 漏 洞 利 用 源 代 码 【 2   】 最 后 上 一 张 成 功 利 用 的 截 图 。 W i n d o w s   7   S P 1   下 成 功 弹 出 一 个 a d m i n 权 限 的 c m d 窗 口 。 3 .       总 结 总 结 “ 天 下 漏 洞 ， 唯 冷 不 破 ” 。 C V E - 2 0 1 7 - 0 2 1 3 的 无 论 从 挖 掘 和 利 用 ， 感 觉 都 有 些 剑 走 偏 锋 ， 正 属 于 这 种 比 较 冷 门 的 一 类 。 这 种 漏 洞 似 乎 难 以 通 过 f u z z i n g 的 方 式 来 发 现 。 通 常 这 种 漏 洞 的 发 现 ， 需 要 对 W i n d o w s 的 代 码 非 常 熟 悉 。 而 从 漏 洞 的 利 用 的 角 度 来 看 ， 思 路 亦 是 非 常 巧 妙 。 从 这 个 漏 洞 的 发 现 到 利 用 ， 可 见 漏 洞 发 现 者 在 W i n d o w s   操 作 系 统 方 面 的 造 诣 非 同 一 般 。 4 .       参 考 文 献 参 考 文 献 1 . h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t - z e r o / i s s u e s / d e t a i l ? i d = 1 1 0 7 2 . h t t p s : / / g i t h u b . c o m / W i n d o w s E x p l o i t s / E x p l o i t s / b l o b / m a s t e r / C V E - 2 0 1 7 - 0 2 1 3 / S o u r c e / C V E - 2 0 1 7 - 0 2 1 3 . c p p * 本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 转 子 请 注 明 来 自 本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 转 子 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理