搜索

[12935] 2018-07-12_微软对外披露两个0day漏洞详情

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-07-12_微软对外披露两个0day漏洞详情 微 软 对 外 披 露 两 个 0 d a y 漏 洞 详 情 a r a i n   F r e e B u f   2 0 1 8 - 0 7 - 1 2 微 软 近 日 对 外 披 露 了 两 个 微 软 近 日 对 外 披 露 了 两 个 0 d a y 漏 洞 详 情 ， 其 中 一 个 漏 洞 存 在 漏 洞 详 情 ， 其 中 一 个 漏 洞 存 在 A d o b e 阅 读 器 中 ， 可 被 利 用 导 致 任 意 代 码 执 行 ； 另 阅 读 器 中 ， 可 被 利 用 导 致 任 意 代 码 执 行 ； 另 一 个 漏 洞 则 允 许 任 意 代 码 在 一 个 漏 洞 则 允 许 任 意 代 码 在 W i n d o w s   k e r n e l 内 存 中 提 权 执 行 。 内 存 中 提 权 执 行 。 微 软 称 由 于 该 漏 洞 利 用 目 前 还 处 于 初 期 阶 段 ， 且 官 方 都 已 发 布 了 补 丁 ， 建 议 大 家 及 时 进 行 安 装 ， 赶 在 被 大 规 模 利 用 前 修 复 ， 未 雨 绸 缪 。 同 时 ， 建 议 排 查 初 期 样 本 的 I O C （ 文 末 附 修 复 补 丁 链 接 和 I O C ） 。 C V E C V E - 2 0 1 8 - 4 9 9 0 C V E - 2 0 1 8 - 8 1 2 0 类 型 类 型 远 程 代 码 执 行 本 地 提 权 官 方 评 级 官 方 评 级 C r i t i c a l I m p o r t a n t 影 响 产 品 影 响 产 品 A c r o b a t   D C A c r o b a t   R e a d e r   D C W i n d o w s   7 W i n d o w s   S e r v e r   2 0 0 8 P O C * * 样 本 * * 有 有 在 野 攻 击 在 野 攻 击 暂 无 暂 无 修 复 补 丁 修 复 补 丁 有 有 这 两 个 漏 洞 利 用 样 本 最 早 是 由 E S E T 分 析 人 员 在 今 年 3 月 发 现 并 报 告 给 了 微 软 ， 在 E S E T 和 微 软 的 共 同 努 力 下 发 现 了 以 上 两 个 0 d a y 漏 洞 。 以 下 漏 洞 利 用 分 析 过 程 是 基 于 以 下 样 本 进 行 ： S H A - 2 5 6 : 4 b 6 7 2 d e a e 5 c 1 2 3 1 e a 2 0 e a 7 0 b 0 b f 0 9 1 1 6 4 e f 0 b 9 3 9 e 2 c f 4 d 1 4 2 d 3 1 9 1 6 a 1 6 9 e 8 e 0 1 漏 洞 利 用 概 况 漏 洞 利 用 概 况 A d o b e   A c r o b a t a n d   R e a d e r 漏 洞 存 在 于 P D F 文 档 中 ， 伪 装 成 暗 含 J a v a S c r i p t 漏 洞 利 用 代 码 的 恶 意 J P E G   2 0 0 0 图 像 ， 漏 洞 利 用 路 径 如 下 图 所 示 ： 图 1 .   漏 洞 利 用 流 程 图 如 上 图 所 示 ， 漏 洞 利 用 过 程 分 以 下 阶 段 ： 1 . J a v a S c r i p t 枚 举 堆 喷 射 （ h e a p   s p r a y ） 内 存 ； 2 . 恶 意 J P E G   2 0 0 0 图 片 触 发 一 个 越 界 访 问 操 作 ；
3 . 一 旦 堆 喷 射 枚 举 越 界 内 存 ， 就 会 调 用 访 问 操 作 ； 4 . 访 问 操 作 导 致 v f t a b l e 进 程 崩 溃 ； 5 . 已 崩 溃 的 v f t a b l e 进 程 将 代 码 执 行 转 移 至 返 回 导 向 编 程 （ R O P ） 链 ； 6 . R O P 链 将 代 码 执 行 转 移 到 s h e l l c o d e ； 7 . 通 过 反 射 D L L 加 载 来 进 行 E o P 模 块 加 载 ； 8 . P E 模 块 启 动 已 加 载 完 成 的 W i n 3 2 k   E o P 漏 洞 利 用 程 序 ； 9 . 一 旦 E o P 漏 洞 利 用 成 功 ， 就 会 在 S t a r t u p 文 件 夹 中 释 放 一 个 名 为 . v b s 的 文 件 ， 作 为 下 载 其 他 p a y l o a d s 的 P o C 恶 意 软 件 。 恶 意 恶 意 J P E G   2 0 0 0 图 片 图 片 恶 意 图 片 中 被 嵌 入 了 以 下 恶 意 标 签 ， 如 图 ： 图 2 .   恶 意 J P E G   2 0 0 0 图 片 下 图 所 示 的 C M A P   &   P C L R 标 签 中 均 含 有 恶 意 值 ， C M A P 数 组 ( 0 x f d ) 的 长 度 小 于 P C L R 标 记 中 引 用 的 索 引 值 （ 0 x f f ） ， 从 而 导 致 了 越 界 内 存 释 放 漏 洞 的 利 用 。
图 3 .   C M A P 数 组 的 越 界 索 引 结 合 J a v a S c r i p t 中 的 堆 喷 射 技 术 ， 越 界 漏 洞 利 用 就 会 导 致 v f t a b l e 进 程 的 崩 溃 。 图 4 .   R O P 链 中 的 v f t a b l e 进 程 崩 溃 导 致 代 码 执 行 J a v a S c r i p t 中 的 编 码 包 含 了 s h e l l c o d e 和 P E 模 块 。
图 5 .   J a v a S c r i p t 中 的 s h e l l c o d e 反 射 反 射 D L L 加 载 进 程 加 载 进 程 S h e l l c o d e （ 以 下 提 到 的 伪 代 码 ） 通 过 反 射 D L L 加 载 P E 模 块 ， 这 是 高 级 攻 击 活 动 里 试 图 在 内 存 中 躲 避 检 测 时 的 常 用 技 巧 。 S h e l l c o d e 搜 索 P E 初 始 记 录 ， 解 析 P E 分 区 ， 并 将 它 们 复 制 到 新 分 配 的 内 存 区 域 ， 然 后 将 控 制 权 传 递 给 P E 模 块 中 的 入 口 点 。 图 6 .   复 制 P E 分 区 到 新 分 配 的 内 存 中 图 7 .   把 控 制 权 传 递 给 已 加 载 的 D L L 模 块 中 的 入 口 点 W i n 3 2 k   * * 提 权 漏 洞 利 用 提 权 漏 洞 利 用 * * W i n 3 2 k 提 权 （ E o P ） 漏 洞 利 用 是 从 已 加 载 的 P E 模 块 中 运 行 ， 利 用 新 的 W i n d o w s 漏 洞 C V E - 2 0 1 8 - 8 1 2 0 对 W i n d o w s   7   S P 1 系 统 进 行 攻 击 ， W i n   1 0 及 更 新 的 产 品 不 受 该 漏 洞 影 响 。 该 漏 洞 利 用 N U L L 页 面 来 传 递 恶 意 记 录 ， 并 将 任 意 数 据 拷 贝 至 任 意 内 核 位 置 ， 对 于 运 行 W i n d o w s   8 及 更 新 系 统 的 x 6 4 位 平 台 所 受 影 响 也 相 对 较 小 。
图 8 .   E o P 漏 洞 利 用 流 程 图 漏 洞 利 用 的 主 要 过 程 如 下 ： 1 . 漏 洞 利 用 根 据 s g d t 指 令 调 用 N t A l l o c a t e V i r t u a l M e m o r y 进 程 ， 以 便 在 N U L L 页 面 分 配 虚 假 的 数 据 结 构 ； 2 . 把 格 式 错 误 的 M E I N F O E X 结 构 传 递 至 S e t I m e I n f o E x   W i n 3 2 k   内 核 函 数 ； 3 . S e t I m e I n f o E x 进 程 获 取 N U L L 页 面 上 的 虚 假 数 据 结 构 ； 4 . 使 用 虚 假 的 数 据 结 构 把 恶 意 指 令 拷 贝 到 G D T （ 全 球 描 述 符 表 ） 上 的 + 0 x 1 a 0 中 ； 5 . 通 过 调 用 F W O R D 指 令 来 调 入 虚 假 的 G D T 入 口 指 令 ； 6 . 成 功 调 用 虚 假 G D T 入 口 指 令 ； 7 . 这 些 指 令 运 行 从 内 核 模 式 内 存 空 间 的 用 户 模 式 中 分 配 的 s h e l l c o d e ； 8 . 修 改 s h e l l c o d e 进 程 中 E P R O C E S S . T o k e n ， 获 取 S Y S T E M 权 限 。 格 式 有 误 的 I M E I N F O E X 结 构 结 合 N U L L 页 面 的 虚 假 数 据 ， 就 可 导 致 G D T 入 口 崩 溃 ， 如 下 图 所 示 ：
图 9 .   G D T 入 口 崩 溃 已 损 坏 的 G D T 具 有 通 过 调 用 F W O R D 指 令 调 用 入 口 运 行 的 实 际 指 令 。 图 1 0 .   已 修 复 的 G D T 入 口 指 令 从 这 些 指 令 返 回 后 ， E I P （ 扩 展 指 令 指 针 ） 返 回 具 有 内 核 特 权 的 用 户 空 间 中 的 调 用 者 代 码 ， 后 续 代 码 将 通 过 修 改 S Y S T E M 的 进 程 令 牌 来 实 现 当 前 进 程 的 提 权 。 图 1 1 .   替 换 进 程 令 牌 指 针 可 持 续 性 可 持 续 性 提 权 后 ， 漏 洞 利 用 代 码 会 在 本 地 S t a r t u p 文 件 夹 中 释 放 一 个 . v b s 文 件 ， 即 P o C 恶 意 软 件 。
图 1 2 .   释 放 . v b s 文 件 到 S t a r t u p 文 件 夹 的 代 码 信 息 防 御 建 议 防 御 建 议 及 时 部 署 针 对 以 上 0 d a y 漏 洞 的 安 全 补 丁 ： C V E - 2 0 1 8 - 4 9 9 0   |   A d o b e   A c r o b a t a n d   R e a d e r 可 用 的 安 全 更 新   |   A P S B 1 8 - 0 9 h t t p s : / / h e l p x . a d o b e . c o m / s e c u r i t y / p r o d u c t s / a c r o b a t / a p s b 1 8 - 0 9 . h t m l C V E - 2 0 1 8 - 8 1 2 0   |   W i n 3 2 k 提 权 漏 洞 h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 1 8 - 8 1 2 0 如 工 作 环 境 不 需 要 ， 则 禁 用 A d o b e   A c r o b a t   a n d   A c r o b a t   R e a d e r 中 的 J a v a S c r i p t ； 加 强 终 端 对 利 用 P D F 附 件 进 行 鱼 叉 式 钓 鱼 攻 击 和 其 他 社 工 攻 击 的 防 范 意 识 。 I o C 信 息 信 息 （ （ S H A - 2 5 6 ） ： ） ： d 2 b 7 0 6 5 f 7 6 0 4 0 3 9 d 7 0 e c 3 9 3 b 4 c 8 4 7 5 1 b 4 8 9 0 2 f e 3 3 d 0 2 1 8 8 6 a 3 a 9 6 8 0 5 c e d e 6 4 7 5 d d 4 e 4 4 9 2 f e c b 2 f 3 f e 2 5 5 3 e 2 b c e d d 4 4 d 1 7 b a 9 b f b d 6 b 8 1 8 2 3 6 9 f 6 1 5 a e 0 b d 5 2 0 9 3 3 4 b 6 7 2 d e a e 5 c 1 2 3 1 e a 2 0 e a 7 0 b 0 b f 0 9 1 1 6 4 e f 0 b 9 3 9 e 2 c f 4 d 1 4 2 d 3 1 9 1 6 a 1 6 9 e 8 e 0 1 0 6 0 8 c 0 d 2 6 b d f 3 8 e 0 6 4 a b 3 a 4 c 5 c 6 6 f f 9 4 e 4 9 0 7 c c a f 9 8 2 8 1 a 1 0 4 f d 9 9 1 7 5 c d f 5 4 a 8 * 参 考 来 源 ： 参 考 来 源 ： M i c r o s o f t   C l o u d b l o g s ， 秋 雨 绸 缪 编 译 ， 转 载 请 注 明 来 自 ， 秋 雨 绸 缪 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理