搜索

[12106] 2017-12-09_内核漏洞利用：通过WARBIRD在Windows10上提升权限

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-12-09_内核漏洞利用：通过WARBIRD在Windows10上提升权限 内 核 漏 洞 利 用 ： 通 过 W A R B I R D 在 W i n d o w s   1 0 上 提 升 权 限 C o v f e f e   F r e e B u f   2 0 1 7 - 1 2 - 0 9 在 这 篇 文 章 中 ， 我 想 谈 一 谈 通 过 基 于 在 这 篇 文 章 中 ， 我 想 谈 一 谈 通 过 基 于 W i n d o w s 内 核 的 内 核 的 e x p l o i t 来 提 升 权 限 。 之 所 以 没 有 使 用 像 来 提 升 权 限 。 之 所 以 没 有 使 用 像 H a c k S y s   E x t r e m e V u l n e r a b l e   W i n d o w s   D r i v e r 这 样 的 东 西 ， 是 因 为 想 做 点 不 同 的 事 情 。 恰 逢 这 样 的 东 西 ， 是 因 为 想 做 点 不 同 的 事 情 。 恰 逢 G o o g l e   P r o j e c t   Z e r o 近 期 公 布 了 近 期 公 布 了 漏 漏 洞 ， 由 于 洞 ， 由 于 m j u r c z y k 把 漏 洞 进 行 了 记 录 ， 所 以 感 觉 便 于 理 解 。 该 漏 洞 还 被 把 漏 洞 进 行 了 记 录 ， 所 以 感 觉 便 于 理 解 。 该 漏 洞 还 被 M i c r o s o f t 标 记 为 标 记 为 “ W o n t - F i x ” ， 意 思 就 是 ， 意 思 就 是 3 2 位 的 位 的 W i n d o w s   1 0   C r e a t o r 版 本 仍 然 存 在 漏 洞 。 版 本 仍 然 存 在 漏 洞 。 漏 洞 概 览 漏 洞 概 览 根 据 披 露 出 的 消 息 ， 我 们 可 以 了 解 到 这 个 漏 洞 影 响 了 3 2 位 W i n d o w s   1 0   C r e a t o r s 版 本 的 更 新 。 这 个 漏 洞 的 存 在 是 由 于 一 个 新 的 信 息 类 “ W A R B I R D ” 被 添 加 到 N t Q u e r y S y s t e m I n f o r m a t i o n 中 ， 但 是 这 个 类 在 3 2 位 W i n d o w s   1 0 上 被 错 误 处 理 了 。 当 触 发 漏 洞 时 ， 内 核 指 令 指 针 被 设 置 为 N U L L ， 在 现 代 操 作 系 统 中 ， 内 存 地 址 0 h 通 常 被 限 制 以 避 免 这 些 类 型 的 漏 洞 被 利 用 。 然 而 谷 歌 已 经 确 认 ， 在 W i n d o w s 上 启 用 了 1 6 位 支 持 ， 特 别 是 通 过 N T V D M 使 用 N U L L 地 址 来 支 持 1 6 位 程 序 执 行 的 情 况 下 ， 漏 洞 实 际 上 是 可 利 用 的 。 在 编 写 e x p l o i t 之 前 ， 我 们 需 要 先 搭 建 环 境 。 搭 建 实 验 环 境 搭 建 实 验 环 境 为 了 能 搭 建 实 验 环 境 ， 我 们 需 要 一 些 虚 拟 机 ： W i n d o w s   1 0   C r e a t o r s   U p d a t e   x 8 6   -   这 是 靶 机 带 有 W i n D B G 的 W i n d o w s 系 统   -   这 个 供 调 试 使 用 在 靶 机 上 ， 我 们 需 要 使 用 以 下 命 令 启 用 1 6 位 支 持 ： 我 们 还 需 要 启 用 内 核 调 试 ， 这 可 以 通 过 以 下 命 令 来 完 成 ： 在 执 行 之 后 ， 你 会 获 得 一 个 W i n D B G 用 来 在 启 动 时 建 立 主 机 连 接 的 密 钥 。 在 我 们 的 调 试 目 的 的 主 机 中 ， 我 们 需 要 启 动 W i n D B G ， 并 通 过 “ F i l e   - >   K e r n e l   D e b u g ” 设 置 我 们 的 内 核 调 试 会 话 ： F O N D U E . e x e   / e n a b l e - f e a t u r e : N T V D M
重 新 启 动 靶 机 后 ， 在 W i n D B G 中 会 打 开 内 核 调 试 会 话 ， 并 且 会 在 利 用 过 程 中 更 容 易 地 探 索 内 核 状 态 ： 完 成 之 后 ， 我 们 就 移 步 到 e x p l o i t 使 用 的 重 要 概 念 — 进 程 注 入 进 程 注 入 进 程 注 入 如 果 参 考 所 公 开 的 信 息 ， 那 么 将 看 到 以 下 内 容 ： 如 果 我 们 创 建 一 个 1 6 位 程 序 （ 如 d e b u g . e x e ） ， 并 将 利 用 代 码 注 入 n t v d m ， 那 么 就 可 以 防 止 系 统 在 尝 试 写 入 n t ! W b A d d L o o k u p E n t r y E x 中 的 地 址 0 时 立 即 崩 溃 。 了 解 这 个 对 于 利 用 来 说 是 非 常 重 要 的 ， 我 们 需 要 理 解 进 程 注 入 是 如 何 运 作 的 ， 以 及 如 何 使 用 这 种 技 术 让 N T V D M 在 其
地 址 空 间 执 行 我 们 的 代 码 ， 从 而 允 许 我 们 使 用 N U L L 映 射 页 面 。 W i n d o w s 中 的 进 程 注 入 通 常 使 用 许 多 W i n 3 2   A P I （ 出 于 练 习 目 的 ， 我 们 会 忽 略 其 他 技 术 ， 如 A t o m   B o m b i n g ） ， 具 体 为 ： O p e n P r o c e s s V i r t u a l A l l o c E x W r i t e P r o c e s s M e m o r y C r e a t e R e m o t e T h r e a d 你 可 以 从 A P I 的 描 述 中 了 解 每 个 调 用 的 作 用 ， 为 了 完 整 起 见 ， 还 是 在 下 面 详 细 说 明 一 下 每 个 调 用 的 作 用 ： O p e n P r o c e s s . a s p x ) ： 这 个 调 用 将 从 P I D 中 检 索 一 个 W i n d o w s 进 程 ， 从 而 允 许 我 们 对 进 程 进 一 步 地 操 作 。 V i r t u a l A l l o c E x . a s p x ) ： 这 个 调 用 用 于 在 目 标 进 程 中 分 配 内 存 ， 为 我 们 预 留 要 添 加 自 定 义 代 码 的 空 间 ， 或 者 将 参 数 传 递 给 一 个 远 程 线 程 。 W r i t e P r o c e s s M e m o r y . a s p x ) ： 提 供 一 个 地 址 和 一 个 进 程 句 柄 ， 这 个 调 用 可 以 允 许 我 们 将 数 据 复 制 到 远 程 进 程 地 址 空 间 。 C r e a t e R e m o t e T h r e a d . a s p x ) ： 这 将 允 许 我 们 在 远 程 进 程 中 创 建 一 个 新 的 线 程 ， 并 指 定 执 行 的 位 置 。 通 过 调 用 这 些 A P I ， 我 们 就 可 以 将 s h e l l c o d e 注 入 到 N T V D M 进 程 中 ， 但 是 为 了 更 简 单 一 点 ， 我 们 把 一 个 D L L 加 载 到 N T V D M 中 。 这 样 做 有 很 多 好 处 ， D L L 可 以 在 V i s u a l   S t u d i o 这 样 的 软 件 中 创 建 ， 它 还 包 含 漏 洞 利 用 代 码 ， 且 不 必 担 心 在 运 行 时 解 析 A P I 的 情 况 。 为 了 加 载 我 们 的 D L L ， 我 们 将 使 用 另 一 个 W i n 3 2   A P I 调 用 L o a d L i b r a r y ， 它 可 以 获 取 D L L 的 路 径 并 将 其 动 态 加 载 到 进 程 地 址 空 间 中 。   现 在 我 们 需 要 构 建 注 入 工 具 ： 1 . 使 用 O p e n P r o c e s s 获 取 N T V D M 进 程 的 句 柄 。 2 . 使 用 V i r t u a l A l l o c E x 分 配 足 够 的 空 间 以 便 复 制 我 们 的 L o a d L i b r a r y 参 数 值 ， 这 将 成 为 用 于 利 用 的 D L L 的 路 径 。 3 . 使 用 W r i t e P r o c e s s M e m o r y 将 用 于 利 用 的 D L L 路 径 写 入 远 程 分 配 的 内 存 。 4 . 最 后 ， 使 用 C r e a t e R e m o t e T h r e a d 生 成 一 个 线 程 并 在 远 程 进 程 中 执 行 L o a d L i b r a r y 调 用 ， 将 复 制 的 D L L 路 径 地 址 作 为 参 数 传 递 。 如 果 我 们 用 一 个 非 常 简 单 的 D L L 来 运 行 ， 那 么 就 可 以 看 到 N T V D M 完 美 地 调 用 了 我 们 的 代 码 ：
构 建 构 建 e x p l o i t 目 前 我 们 可 以 将 任 意 D L L 加 载 到 N T V D M 进 程 中 了 ， 现 在 就 需 要 开 始 考 虑 如 何 构 建 我 们 的 e x p l o i t 。 一 个 建 议 提 供 了 以 下 示 例 来 触 发 此 漏 洞 ： 如 果 我 们 将 这 段 代 码 添 加 到 一 个 D L L 中 ， 并 将 其 注 入 到 N T V D M 进 程 中 ， 我 们 发 现 W i n D B G 会 触 发 以 下 断 点 ： 在 这 里 我 们 可 以 看 到 E I P 是 0 0 0 0 0 0 0 0 h ， 中 断 已 经 成 功 地 被 触 发 了 … . 真 棒 ， 现 在 就 控 制 内 核 的 代 码 执 行 了 : ) 接 下 来 就 需 要 撸 起 袖 子 开 始 编 写 s h e l l c o d e ， 该 s h e l l c o d e 将 会 被 e x p l o i t 执 行 。 编 写 编 写 S h e l l c o d e 对 于 这 个 e x p l o i t ， 我 想 要 编 写 s h e l l c o d e 来 尝 试 获 取 “ c m d . e x e ” 会 话 的 S Y S T E M 权 限 。 不 幸 的 是 ， s h e l l c o d e 做 类 似 这 样 的 事 情 并 不 像 “ b i n d   t c p ” 那 样 简 单 ， 但 是 这 里 有 几 个 质 量 较 好 的 教 程 ， 例 如 @   s a m d b 的 优 秀 文 档 。 在 这 篇 文 章 中 ， 我 们 会 创 建 自 己 的 s h e l l c o d e 。 要 做 到 这 一 点 ， 我 们 需 要 了 解 一 些 内 核 结 构 。 （ 在 这 方 面 ， 如 果 你 还 没 有 阅 读 我 以 前 的 文 章 ， 【 点 击 原 文 】 阅 读 ） 。
与 之 前 的 文 章 类 似 ， 我 们 编 写 的 s h e l l c o d e 将 负 责 找 到 与 c m d . e x e 和 S y s t e m 进 程 对 应 的 E P R O C E S S 结 构 ， 然 后 将 a c c e s s t o k e n 从 S y s t e m 复 制 到 c m d . e x e ， 从 而 将 我 们 提 升 到 S Y S T E M 用 户 。   首 先 ， 我 们 需 要 找 到 我 们 的 c m d . e x e 进 程 的 E P R O C E S S 。   为 此 ， 我 们 将 从 f s 寄 存 器 开 始 ， 它 在 3 2 位 W i n d o w s 内 核 中 指 向 n t ! _ K P C R 结 构 。 K P C R 是 “ 内 核 处 理 器 控 制 区 ” ， 其 拥 有 关 于 当 前 正 在 执 行 的 处 理 器 状 态 的 信 息 ， 我 们 还 可 以 用 来 获 取 进 程 和 线 程 的 信 息 和 许 多 有 用 的 字 段 。 为 了 得 到 W i n D B G 中 的 f s 寄 存 器 地 址 ， 可 以 使 用 下 面 的 命 令 ： 然 后 会 返 回 像 下 图 这 样 的 东 西 ： 上 面 的 例 子 中 ， 在 地 址 8 0 d d 7 0 0 0 h 中 有 我 们 的 n t ! _ K P C R 结 构 。 知 道 了 这 一 点 ， 我 们 就 可 以 使 用 下 方 命 令 查 看 K P C R 的 内 容 ： 偏 移 1 2 0 h （ 在 _ K P C R 结 构 的 末 尾 ） 是 n t ! _ K P R C B 结 构 ， 可 以 通 过 以 下 命 令 查 看 ： 这 样 我 们 就 可 以 看 到 K P R C B 结 构 ， 看 起 来 就 像 这 样 ： 我 们 在 这 里 找 的 是 在 偏 移 4 h （ 或 K P C R 开 始 的 1 2 4 h ） 处 找 到 的 ， 并 且 是 对 应 于 当 前 正 在 执 行 的 线 程 的 n t ! _ K T H R E A D 结 构 。 我 们 可 以 使 用 下 方 命 令 转 储 这 些 信 息 ： 在 偏 移 地 址 1 5 0 h 处 ， 我 们 找 到 一 个 指 向 P r o c e s s 的 指 针 ， 它 对 应 于 我 们 正 在 寻 找 的 E P R O C E S S 结 构 ： 现 在 就 可 以 访 问 E P R O C E S S 结 构 了 ， 我 们 可 以 使 用 A c t i v e P r o c e s s L i n k s 属 性 （ 实 际 上 是 一 个 指 向 L I S T _ E N T R Y 的 指 针 ， 它 是 一 个 双 向 链 表 ） 来 枚 举 当 前 正 在 运 行 的 所 有 进 程 ， 直 到 找 到 c m d . e x e 进 程 和 S Y S T E M 进 程 。 要 找 到 “ c m d . e x e ” ， 需 要 使 用 在 偏 移 1 5 0 h 处 找 到 的 E P R O C E S S . I m a g e F i l e N a m e 属 性 ： d g   f s d t   n t ! _ K P C R   8 0 d d 7 0 0 0 d t   n t ! _ K P R C B   8 0 d d 7 0 0 0 + 0 x 1 2 0 d t   n t ! _ K T H R E A D   0 x 8 7 5 0 7 9 4 0
对 于 S y s t e m 进 程 ， 我 们 知 道 通 常 P I D 为 “ 4 ” ， 所 以 可 以 在 偏 移 量 为 b 4 h 的 U n i q u e P r o c e s s I d 属 性 中 找 。 构 建 后 ， 最 终 的 s h e l l c o d e 如 下 所 示 ： 从 内 核 返 回 从 内 核 返 回 不 幸 的 是 ， 在 处 理 内 核 漏 洞 利 用 时 ， 如 果 不 先 确 认 操 作 系 统 是 否 处 于 安 全 状 态 ， 我 们 就 不 能 让 我 们 的 利 用 返 回 。 当 内 核 地 址 空 间 中 的 内 存 被 破 坏 时 ， 保 持 操 作 系 统 正 常 运 行 会 变 得 非 常 困 难 ， 这 个 e x p l o i t 也 不 例 外 。   简 单 地 通 过 r e t 或 r e t   0 x c 指 令 将 执 行 返 回 给 内 核 将 导 致 如 下 所 示 结 果 ：
在 这 方 面 ， 能 做 的 只 有 试 图 让 内 核 恢 复 到 安 全 状 态 以 继 续 执 行 。 在 这 个 e x p l o i t 的 情 况 下 ， 我 们 需 要 了 解 为 什 么 以 及 如 何 调 用 我 们 的 函 数 。 这 个 问 题 围 绕 着 如 下 的 结 构 ： 我 们 也 知 道 ， 在 s h e l l c o d e 被 调 用 的 地 方 ， 调 用 堆 栈 看 起 来 像 这 样 ： 如 果 我 们 反 汇 编 s h e l l c o d e 之 前 的 最 后 一 个 函 数 W b F i n d L o o k u p E n t r y ， 就 可 以 找 到 调 用 s h e l l c o d e 的 位 置 ：
在 这 里 ， d w o r d   p t r   [ e b x + 1 4 h ] 调 用 实 际 上 是 调 用 上 述 结 构 中 的 c m p _ f u n c 属 性 ， 这 意 味 着 在 进 入 s h e l l c o d e 时 ， e b x 寄 存 器 指 向 _ W A R B I R D _ E X T E N S I O N 结 构 。 如 果 我 们 用 W i n D B G 检 查 内 存 ， 会 看 到 以 下 内 容 ： 这 表 明 ， 虽 然 s t r u c t   m e m o r y 的 初 始 值 是 N U L L ， 但 偏 移 量 为 0 x 4 的 c o u n t 属 性 被 设 置 为 1 ， 导 致 内 核 试 图 对 s h e l l c o d e 进 行 多 次 调 用 。 为 了 避 免 这 种 情 况 ， 我 们 需 要 将 c o u n t 属 性 更 新 为 0 。 接 下 来 ， 我 们 必 须 在 没 有 任 何 异 常 的 情 况 下 从 N t Q u e r y S y s t e m I n f o r m a t i o n 调 用 中 返 回 ， 在 尝 试 清 理 _ W A R B I R D _ E X T E N S I O N 结 构 并 取 得 了 一 些 成 功 ， 且 经 历 许 多 蓝 屏 之 后 ， 我 发 现 让 内 核 恢 复 到 正 常 状 态 的 最 快 方 法 是 简 单 地 遍 历 每 个 堆 栈 帧 ， 直 到 在 E x p Q u e r y S y s t e m I n f o r m a t i o n 继 续 执 行 。 要 做 到 这 一 点 ， 我 们 需 要 检 查 每 个 执 行 的 函 数 ， 直 到 执 行 结 果 被 传 递 给 s h e l l c o d e ， 并 将 寄 存 器 和 内 存 值 恢 复 到 它 们 的 原 始 值 。 完 成 后 ， 看 起 来 像 这 样 ：

如 果 在 上 面 更 新 s h e l l c o d e ， 并 重 新 运 行 e x p l o i t ， 会 出 现 错 误 检 查 ： 这 是 可 以 预 料 的 ， 因 为 我 们 只 是 忽 略 了 在 内 核 中 恢 复 A P C 执 行 的 任 何 形 式 。   在 这 个 例 子 中 ， 我 们 可 以 简 单 地 通 过 更 新 当 前 线 程 来 修 正 这 个 错 误 ： 如 果 在 恢 复 A P C 后 继 续 ， 我 们 发 现 会 遇 到 了 另 一 个 异 常 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理