搜索

[13134] 2018-09-02_CVE-2018-8412：通过MSOfficeforMac的LegacyPackage进行提权

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2018-09-02_CVE-2018-8412：通过MSOfficeforMac的LegacyPackage进行提权 C V E - 2 0 1 8 - 8 4 1 2 ： 通 过 M S   O f f i c e   f o r   M a c 的 L e g a c y   P a c k a g e 进 行 提 权 s e c i s t   F r e e B u f   2 0 1 8 - 0 9 - 0 2 注 ： 补 丁 已 经 发 布 ， 请 及 时 将 你 的 注 ： 补 丁 已 经 发 布 ， 请 及 时 将 你 的 M A U 升 级 到 升 级 到 1 8 0 8 1 2 0 1 M i c r o s o f t   A u t o u p d a t e   H e l p e r   3 . 1 8 ( 1 8 0 4 1 0 )   +   l e g a c y   S i l v e r L i g h t   i n s e c u r e   i n s t a l l e r   p a c k a g e   E o P 影 响 范 围 ： 影 响 范 围 ： M i c r o s o f t   O f f i c e   f o r   M a c   2 0 1 6 和 S k y p e F o r B u s i n e s s （ 1 6 . 1 7 . 0 . 6 5 ） 本 报 告 中 涉 及 两 个 主 要 缺 陷 ： 1 . 代 码 签 名 验 证 绕 过 ； 2 . 不 安 全 的 i n s t a l l e r 模 块 加 载 。 X P C   验 证 绕 过 验 证 绕 过 在 / L i b r a r y / P r i v i l e g e d H e l p e r T o o l s / c o m . m i c r o s o f t . a u t o u p d a t e . h e l p e r 中 有 一 个 X P C 服 务 c o m . m i c r o s o f t . a u t o u p d a t e . h e l p e r 。 该 服 务 是 基 于 N S X P C C o n n e c t i o n 的 ， 并 且 仅 提 供 了 两 个 X P C 接 口 ： 在 X P C 建 立 连 接 的 时 候 ， 会 检 查 对 方 p i d 对 应 的 代 码 签 名 是 否 在 白 名 单 列 表 之 内 ： @ p r o t o c o l   M A U H e l p e r T o o l P r o t o c o l -   ( v o i d ) l o g S t r i n g : ( N S S t r i n g   * ) a r g 1   a t L e v e l : ( i n t ) a r g 2   f r o m A p p N a m e : ( N S S t r i n g   * ) a r g 3 ; -   ( v o i d ) i n s t a l l U p d a t e W i t h P a c k a g e : ( N S S t r i n g   * ) a r g 1   w i t h X M L P a t h : ( N S S t r i n g   * ) a r g 2   w i t h R e p l y : ( v o i d   ( ^ ) ( N S S t r i n g   * ) ) a r g 3 ; @ e n d
以 下 是 两 种 （ 可 能 ） 的 绕 过 方 法 ： 首 先 ， 它 使 用 p i d 这 是 不 可 信 任 的 ， 因 为 e x e c * 函 数 可 以 将 进 程 本 身 替 换 为 另 一 个 进 程 ， 且 可 以 保 持 前 一 个 p i d 不 变 。 具 体 请 参 阅   M a c O S / i O S   u s e r s p a c e   e n t i t l e m e n t   c h e c k i n g   i s   r a c y 和 D o n ’ t   T r u s t   t h e   P I D ！ 实 际 上 这 种 方 法 是 不 可 利 用 的 。 当 调 用 者 尝 试 替 换 自 身 时 ， 失 效 的 处 理 程 序 会 被 调 用 ， 这 会 导 致 [ M A U H e l p e r T o o l   s h o u l d E x i t ] 方 法 返 回 t r u e 。 然 后 主 事 件 循 环 将 终 止 该 进 程 。 另 一 种 方 法 是 使 用 D Y L D _ *   e n v   s p a w n 一 个 有 效 进 程 来 启 用 动 态 代 码 注 入 。 由 于 以 下 文 件 不 受 保 护 ， 因 此 可 以 滥 用 它 们 来 绕 过 签 名 检 查 ： c h a r   _ _ c d e c l   - [ M A U H e l p e r T o o l   l i s t e n e r : s h o u l d A c c e p t N e w C o n n e c t i o n : ] ( M A U H e l p e r T o o l   * s e l f ,   S E L   a 2 ,   i d   a 3 ,   i d   a 4 ) {     . . .     c a l l e r _ p i d   =   ( u n s i g n e d   _ _ i n t 6 4 ) o b j c _ m s g S e n d ( v 6 ,   " p r o c e s s I d e n t i f i e r " ,   s e l f ) ;     k s e c g u e s t a t t r p i d   =   k S e c G u e s t A t t r i b u t e P i d ;     n u m b e r _ w i t h _ p i d   =   o b j c _ m s g S e n d ( & O B J C _ C L A S S _ _ _ N S N u m b e r ,   " n u m b e r W i t h I n t : " ,   c a l l e r _ p i d ) ;     p i d _ a s _ n s n u m b e r   =   o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( n u m b e r _ w i t h _ p i d ) ;     _ d i c t   =   o b j c _ m s g S e n d (                         & O B J C _ C L A S S _ _ _ N S D i c t i o n a r y ,                         " d i c t i o n a r y W i t h O b j e c t s : f o r K e y s : c o u n t : " ,                         & p i d _ a s _ n s n u m b e r ,                         & k s e c g u e s t a t t r p i d ,                         1 L L ) ;     a t t r i b u t e s   =   o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( _ d i c t ) ;     o b j c _ r e l e a s e ( p i d _ a s _ n s n u m b e r ) ;     g u e s t _ c o d e   =   0 L L ;     v 1 2   =   0 ;     i f   (   ! ( u n s i g n e d   i n t ) S e c C o d e C o p y G u e s t W i t h A t t r i b u t e s ( 0 L L ,   a t t r i b u t e s ,   0 L L ,   & g u e s t _ c o d e )   ) / /   k S e c C S D e f a u l t F l a g s     {         v 4 3   =   0 L L ;         v 1 2   =   0 ;         i f   (   ! ( u n s i g n e d   i n t ) S e c R e q u i r e m e n t C r e a t e W i t h S t r i n g (                                                     C F S T R ( " ( i d e n t i f i e r   " c o m . m i c r o s o f t . a u t o u p d a t e 2 "   o r   i d e n t i f i e r   " c o m . m i c r o s o f t . a u t o u p d a t e . f b a " )   a n d   a n c h o r   a p p l e   g e n e r i c   a n d   c e r t i f i c a t e   1 [ f i e l d . 1 . 2 . 8 4 0 . 1 1 3 6 3 5 . 1 0 0 . 6 . 2 . 6 ]   a n d   c e r t i f i c a t e   l e a f [ f i e l d . 1 . 2 . 8 4 0 . 1 1 3 6 3 5 . 1 0 0 . 6 . 1 . 1 3 ]   a n d   c e r t i f i c a t e   l e a f [ s u b j e c t . O U ]   =   U B F 8 T 3 4 6 G 9 " ) ,                                                     0 L L ,                                                     & v 4 3 )   )             v 1 2   =   ( u n s i g n e d   i n t ) S e c C o d e C h e c k V a l i d i t y ( g u e s t _ c o d e ,   0 L L ,   v 4 3 )   = =   0 ;         i f   (   v 4 3   )             C F R e l e a s e ( v 4 3 ) ; v 3 0   =   _ N S C o n c r e t e S t a c k B l o c k ;         v 3 1   =   - 1 0 4 0 1 8 7 3 9 2 ;         v 3 2   =   0 ;         v 3 3   =   s u b _ 1 0 0 0 0 2 7 4 8 ;         v 3 4   =   & u n k _ 1 0 0 0 0 8 4 4 0 ;         v 1 9   =   ( v o i d   * ) o b j c _ r e t a i n ( v 2 7 ,   v 7 ) ;         v 3 5   =   v 1 9 ;         o b j c _ c o p y W e a k ( & v 3 6 ,   & v 4 3 ) ;         o b j c _ m s g S e n d ( v 7 ,   " s e t I n v a l i d a t i o n H a n d l e r : " ,   & v 3 0 ) ;         v 2 0   =   o b j c _ m s g S e n d ( v 1 9 ,   " l o g g i n g C o n n e c t i o n s " ) ;         v 2 1   =   ( v o i d   * ) o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 2 0 ) ;         o b j c _ m s g S e n d ( v 2 1 ,   " p e r f o r m S e l e c t o r O n M a i n T h r e a d : w i t h O b j e c t : w a i t U n t i l D o n e : " ,   " a d d O b j e c t : " ,   v 7 ,   1 L L ) ;         o b j c _ r e l e a s e ( v 2 1 ) ; _ _ i n t 6 4   _ _ f a s t c a l l   s u b _ 1 0 0 0 0 2 7 4 8 ( _ _ i n t 6 4   a 1 ) {     v o i d   * v 1 ;   / /   r a x     v o i d   * v 2 ;   / /   r 1 4     _ _ i n t 6 4   v 3 ;   / /   r b x     v 1   =   o b j c _ m s g S e n d ( * ( v o i d   * * ) ( a 1   +   3 2 ) ,   " l o g g i n g C o n n e c t i o n s " ) ;     v 2   =   ( v o i d   * ) o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 1 ) ;     v 3   =   o b j c _ l o a d W e a k R e t a i n e d ( a 1   +   4 0 ) ;     o b j c _ m s g S e n d ( v 2 ,   " p e r f o r m S e l e c t o r O n M a i n T h r e a d : w i t h O b j e c t : w a i t U n t i l D o n e : " ,   " r e m o v e O b j e c t : " ,   v 3 ,   1 L L ) ;     o b j c _ r e l e a s e ( v 3 ) ;     r e t u r n   o b j c _ r e l e a s e ( v 2 ) ; } / L i b r a r y / A p p l i c a t i o n   S u p p o r t / M i c r o s o f t / M A U 2 . 0 / M i c r o s o f t   A u t o U p d a t e . a p p / C o n t e n t s / M a c O S / M i c r o s o f t   A u t o U p d a t e / L i b r a r y / A p p l i c a t i o n   S u p p o r t / M i c r o s o f t / M A U 2 . 0 / M i c r o s o f t   A u t o U p d a t e . a p p / C o n t e n t s / M a c O S / M i c r o s o f t   A U   D a e m o n . a p p / C o n t e n t s / M a c O S / M i c r o s o f t   A U   D a e m o n
如 果 你 想 要 保 护 这 些 二 进 制 文 件 ， 可 以 使 用 以 下 任 一 方 法 ： 1 . 库 验 证 ， 将 - o   l i b r a r y 添 加 到 “ O t h e r   C o d e   S i g n i n g   F l a g s ” ； 2 . m a c h o 文 件 的 H e a d e r 中 有 名 为 R E S T R I C T 的 的 S e g m e n t 段 ， 且 该 段 有 名 为 段 ， 且 该 段 有 名 为 r e s t r i c t 的 s e c t i o n s ， 则 m a c h o 就 会 阻 止 进 程 的 依 附 。 3 . 使 用 e n t i t l e m e n t s 签 名 M a c h O 文 件 。 现 在 ， 我 已 具 备 与 X P C 通 信 的 能 力 。 M A U   提 供 的 接 口 有 一 个   -   [ M A U H e l p e r T o o l   i n s t a l l U p d a t e W i t h P a c k a g e : w i t h X M L P a t h : w i t h R e p l y : ] ， 它 接 受 来 自 X P C 客 户 端 的 路 径 并 会 安 装 它 ， 但 它 会 锁 定 包 文 件 并 在 包 上 执 行 数 字 签 名 验 证 ！ l e g a c y   S i l v e r L i g h t   p a c k a g e   中 不 安 全 的 模 块 加 载 中 不 安 全 的 模 块 加 载 我 无 论 如 何 都 无 法 绕 过 p k g 文 件 上 的 签 名 验 证 。 因 此 ， 我 决 定 放 弃 对 它 的 绕 过 。 在 检 查 了 一 些 有 效 包 之 后 ， 我 找 到 了 l e g a c y   S i l v e r L i g h t   i n s t a l l e r ： h t t p s : / / w w w . m i c r o s o f t . c o m / g e t s i l v e r l i g h t / G e t - S t a r t e d / I n s t a l l / D e f a u l t 。 此 外 ， 这 里 的 p o s t - i n s t a l l 脚 本 也 引 起 了 我 的 注 意 。 设 置 全 局 写 入 权 限 ： 有 趣 的 命 令 ： $   p k g u t i l   - - c h e c k - s i g n   / V o l u m e s / S i l v e r l i g h t / s i l v e r l i g h t . p k g P a c k a g e   " s i l v e r l i g h t . p k g " :       S t a t u s :   s i g n e d   b y   a   c e r t i f i c a t e   t r u s t e d   b y   M a c   O S   X       C e r t i f i c a t e   C h a i n :         1 .   D e v e l o p e r   I D   I n s t a l l e r :   M i c r o s o f t   C o r p o r a t i o n   ( U B F 8 T 3 4 6 G 9 )               S H A 1   f i n g e r p r i n t :   9 B   6 B   9 1   3 B   B 1   3 F   6 8   2 6   1 2   2 0   E C   7 2   1 1   F 0   F 2   0 E   9 2   E 4   B 1   E B               - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -         2 .   D e v e l o p e r   I D   C e r t i f i c a t i o n   A u t h o r i t y               S H A 1   f i n g e r p r i n t :   3 B   1 6   6 C   3 B   7 D   C 4   B 7   5 1   C 9   F E   2 A   F A   B 9   1 3   5 6   4 1   E 3   8 8   E 1   8 6               - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -         3 .   A p p l e   R o o t   C A               S H A 1   f i n g e r p r i n t :   6 1   1 E   5 B   6 6   2 C   5 9   3 A   0 8   F F   5 8   D 1   4 A   E 2   2 4   5 2   D 1   9 8   D F   6 C   6 0 p u s h d   / L i b r a r y / I n t e r n e t   P l u g - I n s / r m   - r f   W P F e . p l u g i n / c h o w n   - R   r o o t : a d m i n   S i l v e r l i g h t . p l u g i n / c h m o d   - R   7 7 5   S i l v e r l i g h t . p l u g i n / p o p d p u s h d   / L i b r a r y / A p p l i c a t i o n   S u p p o r t / M i c r o s o f t / c h o w n   - R   r o o t : a d m i n   S i l v e r l i g h t / c h m o d   - R   7 7 5   S i l v e r l i g h t / p o p d p u s h d   / L i b r a r y / A p p l i c a t i o n   S u p p o r t / c h o w n   r o o t : a d m i n   M i c r o s o f t / c h m o d   7 7 5   M i c r o s o f t /
以 及 使 用 r u n d y l i b 打 开 一 个 固 定 路 径 的 链 接 库 。 这 个 r u n d y l i b 是 干 嘛 的 ？ 正 如 它 的 名 字 一 样 。 那 么 P l a y R e a d y G e t I B X V e r s i o n T o o l 呢 ？ 它 的 作 用 是 在 特 权 进 程 中 ， 加 载 并 执 行 来 自 “ C a c h e ” 的 共 享 库 ， 以 获 取 其 版 本 信 息 。 和 均 可 由 非 特 权 用 户 写 入 。 但 替 换 S L M S P R B o o t s t r a p . d y l i b 需 要 条 件 竞 争 ， 比 较 难 以 控 制 ； 而 C a c h e 则 不 存 在 这 个 问 题 。 利 用 利 用 利 用 步 骤 如 下 ： 1 . D Y L D _ I N S E R T _ L I B R A R I E S 注 入 “ M i c r o s o f t   A u t o U p d a t e ” ； 2 . 将 易 受 攻 击 的 S i l v e r L i g h t   i n s t a l l e r 放 置 在 某 路 径 下 ， 发 送 X P C 到 u p d a t e r h e l p e r 请 求 安 装 ； 3 . 创 建 c a c h e 文 件 夹 ， 并 将 共 享 库 放 置 在 r o o t 目 录 中 ； _ P R I B X = ` l s   - r   " / L i b r a r y / A p p l i c a t i o n   S u p p o r t / M i c r o s o f t / P l a y R e a d y / C a c h e "   |   g r e p   . k e y   |   a w k   ' { i f   ( N R = = 1 )   { p r i n t   $ 1 } } '   `         i f   [   " $ _ P R I B X "   ]         t h e n                 _ P R I B X V E R = ` . / P l a y R e a d y G e t I B X V e r s i o n T o o l   " / L i b r a r y / A p p l i c a t i o n   S u p p o r t / M i c r o s o f t / P l a y R e a d y / C a c h e / " $ _ P R I B X `                 i f   [   " $ _ P R I B X V E R "   =   " m s p r i b x . 1 . 5 . 8 "   ] p u s h d   " / t m p / S i l v e r l i g h t I n s t a l l T o o l s " _ S P R D R e s u l t = ` . / r u n d y l i b   " / L i b r a r y / I n t e r n e t   P l u g - I n s / S i l v e r l i g h t . p l u g i n / C o n t e n t s / M a c O S / S L M S P R B o o t s t r a p . d y l i b " ` i n t   _ _ c d e c l   m a i n ( i n t   a r g c ,   c o n s t   c h a r   * * a r g v ,   c o n s t   c h a r   * * e n v p ) {     . . .     v 3   =   a r g v [ 1 ] ;     i f   (   ! v 3   )     {         p u t s ( " E R R O R :   I n v a l i d   p a t h   " ) ;         r e t u r n   1 ;     }     v 5   =   d l o p e n ( v 3 ,   5 ) ; } s i g n e d   i n t   _ _ c d e c l   G e t D y L i b V e r s i o n ( c o n s t   c h a r   * p a t h ,   u n s i g n e d   i n t   * a 2 ,   u n s i g n e d   i n t   * a 3 ,   u n s i g n e d   i n t   * a 4 ) {     . . .     h a n d l e   =   d l o p e n ( p a t h ,   1 ) ;     i f   (   h a n d l e   )     {         v 6   =   _ d y l d _ i m a g e _ c o u n t ( ) ;         f o r   (   i   =   0 ;   ;   + + i   )         {             i f   (   i   = =   v 6   )                 g o t o   L A B E L _ 2 2 ;             v 8   =   _ d y l d _ g e t _ i m a g e _ n a m e ( i ) ;             i f   (   ! v 8   )             {                 v 9   =   d l e r r o r ( ) ;                 p r i n t f ( " I m a g e   n a m e   n o t   f o u n d   o r   i n d e x   o u t   o f   r a n g e .   E r r o r :   % s n " ,   v 9 ) ;                 v 5   =   5 ;                 g o t o   L A B E L _ 2 1 ;             }             i f   (   ! s t r c m p ( v 8 ,   p a t h )   )                 b r e a k ;         }         v 1 0   =   _ d y l d _ g e t _ i m a g e _ h e a d e r ( i ) ;         i f   (   ! v 1 0   )         { / L i b r a r y / I n t e r n e t   P l u g - I n s / S i l v e r l i g h t . p l u g i n / C o n t e n t s / M a c O S / S L M S P R B o o t s t r a p . d y l i b / L i b r a r y / A p p l i c a t i o n   S u p p o r t / M i c r o s o f t / P l a y R e a d y / C a c h e
4 . 安 装 程 序 被 执 行 ， 我 们 的 恶 意 代 码 则 将 由 r o o t e d 进 程 加 载 。 D e m o * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理