搜索

[13206] 2018-09-20_技术讨论Windows全版本提权之Win10系列解析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2018-09-20_技术讨论Windows全版本提权之Win10系列解析 技 术 讨 论   |   W i n d o w s 全 版 本 提 权 之 W i n 1 0 系 列 解 析 a l p h a l a b   F r e e B u f   2 0 1 8 - 0 9 - 2 0 一 、 一 、 背 景 介 绍 背 景 介 绍 2 0 1 8   年 年   8   月 月   2 7   日 ， 境 外 安 全 研 究 人 员 日 ， 境 外 安 全 研 究 人 员   S a n d b o x E s c a p e r   在 其 个 人 主 页 上 披 露 了 影 响 在 其 个 人 主 页 上 披 露 了 影 响   W i n d o w s   1 0   及 及 W i n d o w s S e r v e r   2 0 1 6 系 统 的 一 个 安 全 漏 洞 。 根 据 描 述 ， 该 漏 洞 存 在 于 系 统 的 一 个 安 全 漏 洞 。 根 据 描 述 ， 该 漏 洞 存 在 于 W i n d o w s 的 计 划 任 务 调 度 服 务 中 ， 利 用 该 漏 洞 攻 击 的 计 划 任 务 调 度 服 务 中 ， 利 用 该 漏 洞 攻 击 者 可 以 从 者 可 以 从 U S E R 提 升 至 提 升 至 S Y S T E M 权 限 。 权 限 。 天 融 信 阿 尔 法 实 验 室 第 一 时 间 进 行 跟 进 ， 进 行 漏 洞 复 现 和 分 析 。 本 文 将 以 W i n d o w s   1 0   X 6 4 系 统 平 台 为 基 础 ， 详 细 介 绍 该 漏 洞 及 漏 洞 利 用 方 法 。 同 时 附 带 利 用 该 漏 洞 实 现 的 提 权 工 具 及 源 码 。 二 、 漏 洞 简 介 二 、 漏 洞 简 介 W i n d o w s   计 划 任 务 调 度 服 务 的 接 口 函 数 （ s c h e d s v c ! S c h R p c S e t S e c u r i t y ( ) ） 用 于 修 改 计 划 任 务 相 关 文 件 访 问 控 制 属 性 ， 未 验 证 调 用 者 身 份 。 攻 击 者 可 主 动 调 用 该 接 口 函 数 ， 配 合 “ 硬 链 接 （ H a r d L i n k ） ” ， 达 到 修 改 指 定 系 统 文 件 访 问 控 制 属 性 的 目 的 。 当 一 些 系 统 服 务 的 关 键 模 块 （ E X E / D L L ） 被 篡 改 ， 再 次 调 用 该 服 务 ， 攻 击 者 的 代 码 将 得 以 执 行 ， 且 为 S Y S T E M 权 限 。 三 、 相 关 技 术 三 、 相 关 技 术 在 具 体 讲 解 漏 洞 及 其 利 用 方 法 之 前 ， 让 我 们 首 先 简 单 了 解 一 些 与 之 相 关 的 知 识 。 介 绍 这 部 分 内 容 是 为 了 让 不 熟 悉 W i n d o w s 相 关 特 性 的 读 者 对 该 漏 洞 有 更 加 清 晰 的 认 识 ， 熟 悉 以 下 内 容 的 读 者 可 以 跳 过 这 一 部 分 。 S e c u r i t y   D e s c r i p t o r   安 全 描 述 符 安 全 描 述 符 在 W i n d o w s 系 统 下 ， S e c u r i t y   D e s c r i p t o r 安 全 描 述 符 （ 简 称 S D ）   是 包 含 一 个 内 核 对 象 所 有 关 于 安 全 设 置 的 数 据 结 构 。 S D 中 包 括 用 户 S I D 、 D A C L 、 S A C L 。 D A C L 表 明 了 哪 些 用 户 可 以 访 问 该 对 象 、 以 什 么 方 式 访 问 该 对 象 （ 如 C r e a t e F i l e 时 指 定 的 访 问 权 限 ） 。 系 统 中 每 一 个 文 件 、 进 程 等 等 都 有 对 应 的 内 核 对 象 ， 其 中 都 有 一 个 S D 结 构 ， 包 括 每 个 用 户 对 该 文 件 支 持 的 操 作 。 这 里 摘 取 《 W i n d o w s   安 全 编 程 》 一 书 中 关 于 该 内 容 的 部 分 说 明 ， 需 要 详 细 了 解 该 部 分 内 容 的 可 以 读 一 下 这 本 书 。
  S c h R p c S e t S e c u r i t y ( ) 漏 洞 函 数 支 持 调 用 者 修 改 部 分 文 件 的 安 全 属 性 ， 其 中 安 全 属 性 通 过 S D D L 字 符 串 描 述 ， W i n d o w s 会 解 析 S D D L 并 转 换 为 S D 描 述 符 。 有 需 要 了 解 S D D L 详 细 信 息 的 可 以 参 考 尾 部 连 接 。 A L P C   ( A d v a n c e d   L o c a l   P r o c e d u r e   C a l l ) 高 级 过 程 调 用 高 级 过 程 调 用 A L P C 是 一 种 用 户 模 式 与 内 核 模 式 通 讯 的 方 式 ， 也 支 持 进 程 间 通 讯 。 该 方 式 被 W i n d o w s 系 统 大 量 使 用 。 A L P C 允 许 在 系 统 内 运 行 的 客 户 端 进 程 要 求 在 同 一 系 统 中 运 行 的 服 务 器 进 程 提 供 某 些 信 息 或 执 行 某 些 操 作 。 其 中 W i n d o w s 计 划 任 务 就 采 用 了 该 方 式 进 行 管 理 ， s c h e d s v c 模 块 以 服 务 的 方 式 运 行 ， 可 以 看 做 一 个 服 务 提 供 者 。 计 划 任 务 管 理 程 序 可 以 通 过 A L P C 调 用 s c h e d s v c 的 接 口 进 行 一 些 增 删 改 查 操 作 。 硬 链 接 （ 硬 链 接 （ H a r d L i n k ） ） 硬 链 接 是 通 过 将 多 于 一 个 的 路 径 引 用 在 单 个 文 件 的 符 号 链 接 。 通 俗 的 说 ， 硬 链 接 可 以 看 做 特 殊 的 “ 快 捷 方 式 文 件 ” 。 我 们 可 以 通 过 m k l i n k 在 指 定 位 置 为 指 定 文 件 创 建 硬 链 接 ， 这 时 候 就 可 以 通 过 这 2 个 路 径 访 问 同 一 个 文 件 。
当 然 硬 链 接 有 其 他 很 多 限 制 和 特 点 ， 这 里 不 做 太 多 介 绍 ， 只 介 绍 与 本 文 相 关 的 内 容 。 如 微 软 所 描 述 ， 硬 链 接 并 没 有 单 独 的 S D 描 述 符 。 更 改 硬 链 接 的 安 全 描 述 符 ， 即 更 改 了 基 础 文 件 的 安 全 描 述 符 。 四 、 漏 洞 位 置 四 、 漏 洞 位 置 漏 洞 函 数 位 于 W i n d o w s 计 划 任 务 调 度 服 务 中 ， 服 务 名 称 为   T a s k   S c h e d u l e r ， 主 模 块 为 s c h e d s v c . d l l ， 依 靠 s v c h o s t . e x e 程 序 注 册 为 系 统 服 务 。 该 模 块 接 口 函 数 S c h R p c S e t S e c u r i t y ( ) ， 用 于 修 改 计 划 任 务 有 关 文 件 或 目 录 的 安 全 属 性 。 该 函 数 并 没 有 编 码 上 的 安 全 问
题 ， 产 生 安 全 问 题 的 原 因 是 该 函 数 没 有 验 证 调 用 者 的 来 源 及 合 法 性 ， 即 任 意 程 序 均 可 以 通 过 A L P C 接 口 调 用 该 函 数 修 改 文 件 属 性 。 这 里 贴 一 下 微 软 针 对 该 函 数 的 说 明 : 指 定 文 件 P A T H   和   安 全 描 述 S D D L ， 该 函 数 将 为 指 定 的 文 件 设 置 对 应 的 安 全 属 性 ， 当 然 P A T H 并 不 是 指 定 一 个 文 件 全 路 径 ， 而 是 指 定 一 个 “ 任 务 名 称 ” ， 该 函 数 会 根 据 任 务 名 称 补 全 路 径 ， 具 体 的 后 面 会 介 绍 。 下 面 是 I D A 反 汇 编 该 函 数 的 内 容 ：  
整 个 流 程 其 实 并 不 复 杂 ， 一 些 常 规 操 作 。 这 里 贴 出 我 们 需 要 了 解 的 相 关 部 分 的 代 码 ， 也 就 是 图 中 说 明 的 设 置 文 件 安 全 描 述 符 的 函 数 代 码 ： 可 见 该 处 为 一 处 虚 函 数 调 用 ， 这 时 候 I D A 中 没 有 很 好 的 描 述 函 数 的 地 址 及 名 称 ， 只 好 拿 起 W i n d b g 进 行 动 态 调 试 ， 使 用 W i n D b g 附 加 到 s v c h o s t . e x e 进 程 （ 系 统 中 有 多 个 s v c h o s t 进 程 ， 可 以 根 据 命 令 行 参 数 或 者 已 加 载 模 块 定 位 目 标 进 程 ） ， 最 终 定 位 到 该 函 数 最 终 调 用 了 t a s k c o m p !   S e t S D N o t i f i c a t i o n   ( ) 函 数 ：
t s c h e d ! S e t J o b F i l e S e c u r i t y B y N a m e ( ) 最 终 会 设 置 文 件 安 全 属 性 ， 以 下 是 该 函 数 的 关 键 流 程 最 后 来 看 看 动 态 调 试 的 情 况 , 在 W i n D b g 中 单 步 跟 踪 t a s k ! S e t S D N o t i f i c a t i o n ( ) ， 该 函 数 接 收 2 个 参 数 。 由 于 是 X 6 4 汇 编 环 境 ， 函 数 调 用 的 参 数 传 递 采 用 X 6 4 传 参 方 式 ， 前 四 个 参 数 依 次 通 过 R C X   R D X   R 8   R 9 进 行 传 递 。
 
至 此 漏 洞 函 数 关 键 流 程 已 完 毕 ， 关 键 之 处 是 s c h e d s v c ! S c h R p c S e t S e c u r i t y ( ) 内 部 会 调 用 t a s k c o m p ! S e t S D N o t i f i c a t i o n ( ) , 按 照 传 递 的 任 务 名 称 参 数 和 S D D L 安 全 描 述 字 串 ， 设 置 % s y s t e m d i r % T a s k s 任 务 名 称 . j o b   的 安 全 属 性 。 单 单 能 修 改 该 目 录 的 一 个 文 件 内 容 和 文 件 属 性 似 乎 也 没 有 什 么 意 义 ， 还 是 没 有 一 段 以 S Y S T E M 权 限 执 行 的 代 码 ， 无 法 有 效 利 用 。 这 时 候 就 要 提 起 前 面 提 起 过 的 W i n d o w s 符 号 链 接 之 一 的 “ 硬 链 接 ” ， 在   % s y s t e m d i r % T a s k s 目 录 创 建 一 个 链 接 到 系 统 程 序 A 的 硬 链 接 ， 这 个 时 候 通 过 修 改 安 全 属 性 ， 使 得 普 通 用 户 也 有 权 限 修 改 系 统 程 序 A 的 文 件 内 容 ， 然 后 通 过 系 统 接 口 启 动 篡 改 后 的 程 序 A ， 让 我 们 的 代 码 以 高 权 限 运 行 。 举 个 例 子 ： 系 统 服 务 均 运 行 在 S Y S T E M 权 限 下 ， 查 找 一 下 哪 些 系 统 目 录 的 E X E / D L L 被 注 册 为 服 务 ， 修 改 该 文 件 后 启 动 该 服 务 ， 即 可 获 得 S Y S T E M 权 限 。 五 、 漏 洞 利 用 五 、 漏 洞 利 用 前 文 已 经 介 绍 过 漏 洞 函 数 的 流 程 及 作 用 ， 攻 击 者 通 过 S c h R p c S e t S e c u r i t y ( ) 接 口 函 数 可 以 设 置 对 系 统 程 序 的 访 问 属 性 ， 使 得 普 通 用 户 权 限 运 行 的 程 序 可 以 修 改 系 统 程 序 及 其 执 行 代 码 。 笔 者 完 善 了 S a n d b o x E s c a p e r 提 供 的 P O C ， 制 作 了 支 持 W i n d o w s 1 0   x 8 6 / x 6 4   及 W i n d o w s   S e r v e r 2 0 1 6 系 统 的 提 权 工 具 （ G i t H u b 传 送 门 ） ， 下 面 将 以 此 为 例 介 绍 该 漏 洞 利 用 的 完 整 流 程 。 该 E X P 通 过 利 用 漏 洞 函 数 ， 修 改 系 统 服 务 M i c r o s o f t   X P S   D o c u m e n t W r i t e r   服 务 ( 该 服 务 为 X P S 打 印 服 务 ) 的 关 键 D L L ， 然 后 通 过 C O M 接 口 发 送 打 印 任 务 ， 最 终 系 统 将 会 启 动 该 服 务 。 以 下 代 码 是 定 位 文 件 路 径 以 及 创 建 文 件 硬 链 接 的 过 程 ：
不 过 有 一 点 需 要 注 意 的 是 ， 由 于 硬 链 接 需 要 在 % s y s t e m d i r % t a s k s 目 录 创 建 ， 普 通 程 序 并 无 法 成 功 创 建 ， 所 以 这 个 操 作 需 要 由 有 权 限 的 程 序 去 做 。 S a n d b o x E s c a p e r 的 D E M O 中 选 择 了 注 入 代 码 到 N o t e p a d 程 序 中 ， 以 N o t e p a d 进 程 的 运 行 环 境 是 有 权 限 在 该 目 录 创 建 硬 链 接 的 。 笔 者 的 E X P 中 ， 将 注 入 操 作 顺 带 实 现 了 ， 自 己 创 建 一 个 进 程 并 注 入 。 远 程 线 程 方 式 注 入 一 个 D L L 到 N o t e p a d 中 ， 创 建 硬 链 接 并 触 发 漏 洞 函 数 。
上 面 通 过 R P C 方 式 调 用 s c h e d s v c ! S c h R p c S e t S e c u r i t y ( ) 函 数 ， 触 发 漏 洞 。 其 中 所 传 递 的 S D D L 安 全 描 述 字 符 串 ， 将 目 标 文 件 设 置 为 验 证 用 户 拥 有 可 写 入 权 限 ， 其 格 式 可 以 自 己 解 读 ， M S D N 有 例 子 在 触 发 漏 洞 之 后 ， 理 论 上 目 标 文 件 以 及 可 以 修 改 ， 上 面 的 代 码 用 于 修 改 文 件 。 从 资 源 取 出 D L L 并 覆 盖 。 在 D L L 修 改 完 毕 之 后 ， 通 过 C O M 组 件 启 动 该 服 务 进 行 打 印 。 至 此 漏 洞 利 用 完 毕 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理