搜索

[13216] 2018-09-22_竟态攻击：Hyper-V安全问题分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-09-22_竟态攻击：Hyper-V安全问题分析 竟 态 攻 击 ： H y p e r - V 安 全 问 题 分 析 M u r k f o x   F r e e B u f   2 0 1 8 - 0 9 - 2 2 前 言 前 言 硬 件 虚 拟 化 为 广 大 从 事 硬 件 虚 拟 化 为 广 大 从 事 I T 行 业 的 朋 友 提 供 了 极 大 的 便 利 。 同 时 也 是 行 业 的 朋 友 提 供 了 极 大 的 便 利 。 同 时 也 是 “ 云 云 ” 这 一 概 念 的 重 要 支 持 技 术 之 一 。 微 软 在 这 一 概 念 的 重 要 支 持 技 术 之 一 。 微 软 在 前 有 前 有 V M ， ， Q E M U 等 产 品 的 广 泛 应 用 下 毅 然 决 然 的 发 布 了 微 软 编 写 的 虚 拟 化 产 品 等 产 品 的 广 泛 应 用 下 毅 然 决 然 的 发 布 了 微 软 编 写 的 虚 拟 化 产 品 H y p e r - V ， 并 运 用 到 了 ， 并 运 用 到 了 M i c r o s o f t   A z u r e   云 计 算 平 台 中 。 今 年 的 云 计 算 平 台 中 。 今 年 的   B l a c k h a t   大 会 中 也 有 议 题 对 大 会 中 也 有 议 题 对   H y p e r - V   的 安 全 问 题 展 开 了 讨 论 。 今 天 我 的 安 全 问 题 展 开 了 讨 论 。 今 天 我 们 将 对 其 从 安 全 角 度 上 进 行 深 度 的 分 析 。 们 将 对 其 从 安 全 角 度 上 进 行 深 度 的 分 析 。 0 x 0 1   工 作 原 理 工 作 原 理 先 上 一 张 H y p e r - V 结 构 的 布 局 图 ： 当 用 户 开 启 虚 拟 化 （ I n t e l   V T ） 支 持 后 ， 物 理 机 会 在 进 入 W i n d o w s   内 核 前 启 动   h v i x 6 4 . e x e / h v a x 6 4 . e x e   初 始 化 H y p e r v i s o r   层 再 运 行   W i n d o w s   内 核 程 序 完 成 系 统 加 载 。 当   H y p e r v i s o r   层 被 启 用 后 ， 宿 主 机 在 操 作 硬 件 时 也 会 通 过   H y p e r i s o r   再 传 至 物 理 设 备 ， 因 此   H y p e r i s o r   层 的 分 级 则 为   R i n g   - 1   （ 最 新 版 的   H y p e r - V   则 会 支 持 部 分 操 作 不 进 入 R i n g   - 1 层 直 接 传 至 物 理 设 备 进 行 操 作 ） 宿 主 机 内 核 与 虚 拟 机 内 核 都 是 R i n g   0 级 操 作 ， 只 不 过 宿 主 机 可 以 控 制 虚 拟 机 ， 所 以 ， 如 果 虚 拟 机 发 生 了 故 障 ， 不 会 影 响 到 宿 主 机 ； 宿 主 机 发 生 了 非 致 命 故 障 ， 例 如 并 非 蓝 屏 等 R i n g   0 下 的 故 障 ， 也 不 会 影 响 虚 拟 机 的 正 常 运 行 。 宿 主 机 与 虚 拟 机 之 间 的 数 据 传 输 通 过 V M B u s （ 虚 拟 数 据 总 线 ） 实 现 ， V M B u s 是 微 软 开 发 的 虚 拟 数 据 传 输 总 线 ， 用 来 宿 主 机 和 虚 拟 机 之 间 交 换 数 据 和 信 息 。 使 用 V M B u s 的 优 点 就 是 能 进 行 快 速 、 高 效 、 大 数 据 量 的 数 据 传 输 ， 极 大 的 提 升 了 虚 拟 机 的 性 能 。 V M B u s 的 原 理 和 Q E M U 中 的 V i r t I O 设 备 类 似 ， 通 过 共 享 环 形 内 存 ， 每 当 要 传 输 的 数 据 写 满 整 个 环 形 内 存 时 ， 就 把 数 据 发 送 到 宿 主 机 中 。 可 以 说 ， 微 软 成 功 的 借 鉴 了 V i r t I O 设 备 的 优 点 ， 取 其 优 点 用 之 ， 才 会 使 得 H y p e r -
V 虚 拟 机 性 能 大 幅 提 升 。 和 Q E M U 模 拟 设 备 端 口 读 写 的 方 法 不 同 的 是 ， H y p e r - V 全 部 使 用 了 虚 拟 设 备 ， 而 不 是 模 拟 硬 件 端 口 。 H y p e r - V 不 再 使 用 传 统 的 读 写 模 拟 硬 件 端 口 的 方 式 进 行 硬 件 设 备 的 虚 拟 化 ， 而 是 使 用 了 虚 拟 设 备 作 为 设 备 模 拟 。 例 如 ， 在 虚 拟 机 中 网 卡 ， 硬 盘 等 设 备 的 驱 动 都 是 由 微 软 提 供 ， 如 果 没 有 这 些 驱 动 程 序 ， 虚 拟 机 则 无 法 使 用 虚 拟 设 备 ， 就 像 是 Q E M U 中 的 V I R T I O 设 备 一 样 ， 需 要 加 载 特 殊 驱 动 ， 而 不 是 使 用 和 真 实 硬 件 一 样 的 驱 动 。 下 图 表 示 了 虚 拟 机 如 何 通 过 宿 主 机 访 问 网 络 ： 其 中 虚 拟 机 与 物 理 机 的 数 据 交 互 如 下 图 ： 虚 拟 机 与 物 理 直 接 的 数 据 交 互 通 过 环 形 内 存 的 读 写 来 完 成 。 对 环 形 内 存 的 读 写 操 作 由 V M B u s 来 完 成 下 面 我 将 通 过 这 个 例 子 来 阐 述 虚 拟 机 是 如 何 与 物 理 机 进 行 交 互 的 ： 虚 拟 机 用 户 通 过   f o o . e x e   发 起 一 个   T C P   请 求 ； 请 求 传 递 到 虚 拟 机 的 网 卡 驱 动 ； 虚 拟 机 网 卡 驱 动 会 通 过   V M B u s   将 请 求 封 装 成 一 个 数 据 包 传 递 到 环 形 内 存 中 ；
在 虚 拟 机 写 满 一 个 环 形 内 存 或 将 数 据 成 功 写 入 环 形 内 存 后 ； 虚 拟 机 使 用 H y p e r c a l l 指 令 通 知 宿 主 机 ， 数 据 已 经 写 完 ， 并 产 生 一 个 V M - E x i t 事 件 陷 入   H y p e r i s o r   层 执 行 代 码 ； 这 时   H y p e r i s o r   层 就 会 出 发 注 册 在   W I n d o w s   内 核 中 的 中 断 例 程 （ I D T ） ； W i n d o w s   内 核 接 收 到 消 息 后 会 根 据 虚 拟 设 备 类 型 调 用 相 对 应 的 函 数 读 取 环 形 内 存 的 数 据 ， 并 将 数 据 分 发 到 相 对 应 的 虚 拟 设 备 驱 动 ； 这 样 数 据 就 由 虚 拟 机 成 功 的 转 移 到 物 理 机 ， 相 关 的 虚 拟 驱 动 会 继 续 解 析 数 据 ； 由 物 理 机 传 入 数 据 至 虚 拟 机 道 理 相 同 ； 更 细 致 的 分 析 可 以 参 考 文 章 。 0 x 0 2   测 试 测 试 根 据   J o e   B i a l e k   和   N i c o l a s   J o l y   在 大 会 中 所 讲 ， 对 于   H y p e r   V   的 攻 击 主 要 在 于 对 宿 主 机 内 核 态 的 攻 击 ， 大 部 分 情 况 是 会 造 成 宿 主 机 的 崩 溃 。 有 关 用 户 态 的 攻 击 通 常 无 法 造 成 实 质 的 效 果 ， 一 般 情 况 会 直 接 被 异 常 接 管 ， 漏 洞 利 用 及 其 复 杂 。 以 下 是 宿 主 机 内 核 态 组 件 ： V M S w i t c h . s y s ： 提 供 半 虚 拟 化 网 络 S t o r V S P . s y s ： 提 供 半 虚 拟 化 存 储 V I D . s y s ： 虚 拟 化 设 施 驱 动 W i n H V r . s y s ： 内 核 到 h y p e r v i s o r 的 接 口 （ h y p e r c a l l ） V M B u s R . s y s ： V M B U S ， 负 责 g u e s t 与 h o s t 的 通 信 v P C I . s y s ： 半 虚 拟 化 P C I 根 据 看 雪 I D :   i f y o u   的 介 绍 ， 在 用 户 态 中 的   v m u i d e v i c e s . d l l   组 件 也 非 常 容 易 受 到 攻 击 ， 这 是 一 个 负 责 图 形 显 示 的 组 件 ， 由 于 图 形 显 示 的 程 序 编 写 及 其 复 杂 ， 所 以 这 里 出 问 题 的 概 率 也 会 大 很 多 。 在   B l a c k h a t s   大 会 中   J o e   B i a l e k   者 阐 述 了 一 个 通 过 V M S w i t c h . s y s 组 件 实 施 逃 逸 的 案 例 。 这 个 时 候 我 们 要 详 细 的 讲 解 一 下 有 关 于 虚 拟 机 与 宿 主 机 的 数 据 交 互 细 节 。   在 原 理 中 我 们 讲 到 ， 宿 主 机 与 虚 拟 机 的 数 据 交 互 通 过 V M B u s 控 制 ， 但 数 据 并 不 直 接 由 V M B u s 进 行 传 输 ， 而 是 缓 存 到 两 者 之 间 的 环 形 内 存 中 ， 环 形 内 存 至 少 存 在 两 个   一 个 请 求 内 存 ， 一 个 应 答 内 存 。 下 面 是 虚 拟 机 与 宿 主 机 通 过 环 形 内 存 进 行 数 据 交 互 的 过 程 ： 虚 拟 机 发 送 的 数 据 通 过 V M B u s 传 入 请 求 内 存 。 随 后 通 过 H y p e r c a l l 的 方 式 通 知 宿 主 机 提 取 数 据 ， 产 生 V M - E X I T 事 件 陷 入 H y p e r i s o r 层   当 宿 主 机 收 到 消 息 后 会 触 发 中 断 ， 随 后 读 取 请 求 内 存 的 数 据 ， 分 发 给 相 关 的 虚 拟 驱 动 程 序 处 理 。 数 据 处 理 完 成 后 向 虚 拟 机 发 送 处 理 成 功 的 消 息 ， 并 将 应 答 给 虚 拟 机 的 数 据 ， 写 入 应 答 内 存 。   虚 拟 机 读 取 应 答 内 存 的 数 据 并 回 应 一 个 消 息 告 诉 宿 主 机 ， 应 答 数 据 有 有 效 。
宿 主 机 才 会 释 放 线 程 进 入 下 一 个 数 据 包 的 处 理 。   当 然 ， 环 形 内 存 是 会 被 分 割 成 数 个 子 区 。 环 形 内 存 的 描 述 （ G P A D L ） 由 虚 拟 机 提 供 ， 环 形 内 存 中 的 子 区 大 小 及 其 数 量 由 宿 主 机 自 适 应 。 举 个 例 子 ： 一 个 应 答 环 形 内 存 的 地 址 以 及 大 小 由 虚 拟 机 使 用 G P A D L 通 知 宿 主 机 ， 宿 主 机 会 根 据 G P A D L ； 里 提 供 的 指 针 索 引 到 应 答 环 形 内 存 的 地 址 ， 然 后 根 据 G P A D L 中 提 供 的 内 存 大 小 去 调 整 这 一 段 环 形 内 存 中 子 区 的 大 小 并 生 成 适 配 这 一 段 内 存 的 子 区 分 配 表 。 B l a c k h a t s   大 会 中   J o e   B i a l e k   利 用 的 漏 洞 便 是 针 对 于 数 据 交 互 中 ， 更 新 内 存 指 针 与 更 新 和 生 成 这 一 内 存 中 的 子 区 大 小 及 其 数 量 ， 并 非 是 原 子 操 作 （ 中 间 存 在 时 间 差 ） ， 提 出 了 竞 态 攻 击 。 攻 击 设 想 ： 我 们 可 以 控 制 宿 主 机 接 收 的 数 据 ； 我 们 传 入 的 数 据 可 以 通 过 竟 态 完 成 越 界 ； 越 界 之 后 的 数 据 可 以 执 行 可 控 的 攻 击 。 作 者 通 过 R N D I S   c o n t r o l   m e s s a g e   r e s p o n s e s 来 控 制 写 入 的 内 容 。 这 是 虚 拟 机 要 发 送 的 网 络 数 据 经 过 虚 拟 机 内 核 态 中 的 虚 拟 网 络 组 件 构 成 的   R N D I S   协 议 数 据 。 第 二 点 实 际 上 是 要 求 我 们 控 制 数 据 包 的 延 迟 ， 已 达 到 ， 应 答 内 存 的 指 针 已 经 更 新 到 新 的 内 存 地 址 ， 但 宿 主 机 上 依 然 保 留 着 旧 内 存 地 址 的 子 区 分 配 表 ， 这 样 就 会 存 在 ， 子 区 分 配 表 中 所 描 述 的 总 内 存 大 小 与 新 内 存 的 大 小 不 匹 配 ， 这 会 给 我 们 的 越 界 操 作 提 供 越 界 内 存 。 首 先 虚 拟 机 发 送 G P A D l 通 知 内 存 地 址 指 针 ， 宿 主 机 收 到 通 知 后 更 新 内 存 指 针 ， 指 到 新 的 内 存 地 址 ， 但 依 旧 保 留 这 旧 的 子 区 分 配 表 ： 然 后 宿 主 机 根 据 G P A D L 中 通 知 的 此 段 内 存 的 大 小 分 配 子 区 大 小 及 其 数 量 ， 生 成 新 的 子 区 分 配 表 ：
生 成 子 区 分 配 表 后 ， 执 行 更 新 动 作 ， 将 适 配 与 原 先 内 存 的 子 区 分 配 表 量 更 新 到 新 的 子 区 分 配 表 ： 如 图 所 示 ， 在 更 新 内 存 指 针 之 后 ， 宿 主 机 还 没 有 更 新 子 区 分 配 表 ， 子 区 内 存 的 总 大 小 是 和 新 内 存 不 适 配 。 这 样 就 存 在 越 界 内 存   ， 给 我 们 提 供 了 存 放 攻 击 载 荷 的 空 间 。 针 对 于   R N N I S   协 议 的 数 据 ， 宿 主 机 在 处 理 完 虚 拟 机 发 送 的 数 据 后 会 将 应 答 给 虚 拟 机 的 数 据 封 装 成   c m p l t   数 据 包 ， 宿 主 机 处 理 完 数 据 后 发 送 处 理 成 功 的 消 息 ， 并 将   c m p l t   包   写 入 应 答 内 存 ， 等 待 虚 拟 机 的 回 应 。 如 果 虚 拟 机 没 有 回 应 ， 则 负 责 处 理 该 数 据 的 线 程 会 一 直 处 于 等 待 状 态 ， 不 会 处 理 下 一 个 数 据 。 当 然 ， 并 不 是 每 一 个   c m p l t   包 都 会 被 虚 拟 机 回 应 ， 比 如 畸 形 的   c m p l t   数 据 包 。 所 以 我 们 可 以 通 过 虚 拟 机 传 递 给 宿 主 机 的   R N D I S   协 议 数 据   使 宿 主 机 在 处 理 数 据 后 生 成 畸 形 的   c m p l t   数 据 包 。 达 到 阻 塞 宿 主 机 数 据 处 理 线 程 ， 造 成 延 迟 。   而 后 在 N 个 畸 形 数 据 包 后 附 加 一 个 有 效 的 并 带 有 攻 击 载 荷 的 c m p l t 数 据 包 ， 使 其 在 宿 主 机 更 新 到 新 的 应 答 内 存 过 程 中 ， 指 针 已 经 偏 移 但 子 区 分 配 表 未 更 新 时 ， 写 入 越 界 内 存 。
当 然 ， 最 重 要 的 ， 是 我 们 在 成 功 越 界 写 入 之 后 ， 所 造 成 的 效 果 是 否 是 我 们 可 控 的 ， 否 则 将 无 法 造 成 有 效 攻 击 。 J o r d a n   R a b e t   在 大 会 中 做 出 进 一 步 分 析 。 M D L （ 表 明 虚 拟 内 存 缓 冲 区 的 物 理 页 面 布 局 ） 映 射 到 物 理 内 存 ， 而 这 些 M D L 会 被 映 射 到 S y s t e m P T E 区 域 。 这 个 区 域 里 通 常 存 放 的 是 其 他 的 M D L 以 及 内 核 栈 。 毫 无 疑 问 ， 我 们 将 内 核 栈 作 为 我 们 攻 击 的 目 标 ， W i n 的 内 核 栈 一 共 有 7 页 ， 6 个 页 面 作 为 栈 空 间 ， 而 最 后 一 个 页 面 在 底 部 作 为 g u a r d   p a g e 。 那 么 问 题 来 了 ， 我 们 怎 样 将 内 核 栈 放 到 我 们 可 以 操 控 的 越 界 空 间 中 ， 并 且 我 们 怎 样 开 启 一 个 线 程 去 执 行 这 一 步 操 作 。 先 来 看 一 下   S y s t e m P T E   分 配 内 存 的 流 程 ： 它 基 于 一 个 可 以 进 行 扩 展 的 B i t m a p   分 配 以 及 检 索 内 存 空 间 ； 每 个 位 代 表 一 个 页 面 的 状 态   位 0 表 示 空 闲 页 ， 1 表 示 已 分 配 使 用   内 存 分 配 基 元   进 行 内 存 分 配 ； 从 内 存 分 配 基 元   的 位 置 开 始 扫 描   B i t m a p ； 如 果 需 要 改 变 某 一 个 内 存 空 间 的 状 态 ， 则 包 装 此 空 间 并 改 变 此 空 间 的 位 ； 内 存 分 配 基 元   会 放 在 成 功 分 配 的 空 间 的 尾 部 ； 如 果 找 不 到 空 闲 内 存 ， 则 展 开 B i t m a p   搜 索 新 的 可 用 内 存 。
下 面 是 它 分 配 页 面 的 一 个 示 例 ：

由 此 发 现 ， 我 们 需 要 一 个 可 控 的 内 存 分 配 基 元 帮 助 我 们 在   S y s t e m P T E   区 域 中 布 局 内 存 。   但 其 实 ， 回 顾 环 形 内 存 的 特 性 ， 虚 拟 机 可 以 任 意 构 造 大 小 和 数 量 不 限 的 M D L （ 他 们 存 在 上 限 ， 但 是 非 常 高 ， 以 至 于 我 们 不 用 考 虑 大 小 的 问 题 ） 。 由 于 宿 主 机 应 答 给 虚 拟 机 的 数 据 （ N V S P _ M S G 1 _ T Y P E _ R E V O K E _ R E C Y _ B U F 和 N V S P _ M S G 1 _ T Y P E _ R E V O K E _ S E N D _ B U F ） 是 可 以 被 撤 回 的 ， 当 然 这 是 一 个 b u g ， 当 多 个 撤 销 消 息 被 处 理 时 ， 除 了 最 后 一 个 工 作 线 程 ， 其 它 的 工 作 线 程 都 会 被 永 久 死 锁 ， 但 我 们 依 然 有 方 法 通 过 这 样 的 机 制 去 撤 回 内 存 的 使 用 。
因 此 我 们 就 有 了 内 存 分 配 和 释 放 的 基 元 来 帮 助 我 们 操 控 这 个 区 域 。 但 我 们 还 需 要 生 成 新 的 内 核 栈 ， 以 便 我 们 越 界 后 对 其 进 行 操 控 。 所 以 我 们 还 需 要 堆 栈 分 配 基 元 。 v m s w i t c h 依 赖 系 统 工 作 线 程 执 行 异 步 任 务 ， 这 些 线 程 被 放 在 内 核 维 护 的 线 程 池 中 ， 于 是 我 们 可 以 通 过 向 里 边 添 加 线 程 的 方 式 获 取 这 一 内 核 栈 的 权 限 。 只 有 所 有 的 进 程 都 在 忙 的 时 候 ， 我 们 才 可 以 向 里 边 加 入 新 的 线 程 。 所 以 我 们 要 做 到 ： 多 次 快 速 的 触 发 异 步 任 务 。 如 果 产 生 的 任 务 足 够 快 ， 那 么 就 会 有 新 的 线 程 加 入 。 有 几 类 v m s w i t c h 消 息 依 赖 于 系 统 工 作 线 程 ， 例 如 我 们 使 用 的 N V S P _ M S G 2 _ T Y P E   _ S E N D _ N D I S _ C O N F I G 。   漏 洞 发 掘 者   在 实 验 的 过 程 中 利 用 这 样 的 方 法 创 建 了 5 个 线 程 。 如 果 无 法 创 建 更 多 的 线 程 ， 说 明 线 程 池 中 已 经 有 了 足 够 多 的 线 程 。 这 个 时 候 我 们 就 要 通 过 上 述 的 撤 回 b u g ， 锁 死 其 他 线 程 ， 造 成 一 个 受 限 的 线 程 栈 喷 射 。 （ 在 s h e l l c o d e 的 前 面 加 上 大 量 的 s l i d e   c o d e （ 滑 板 指 令 ） ， 组 成 一 个 注 入 代 码 段 。 然 后 向 系 统 申 请 大 量 内 存 ， 并 且 反 复 用 注 入 代 码 段 来 填 充 。 这 样 就 使 得 进 程 的 地 址 空 间 被 大 量 的 注 入 代 码 所 占 据 。 ） 这 样 我 们 便 可 以 生 成 一 个 靠 近 应 答 内 存 的 内 核 栈 ： 内 核 的 保 护 机 制 ， 能 使 任 何 堆 缓 冲 区 溢 出 到 内 存 区 域 的 末 尾 。 我 们 需 要 多 次 申 请 内 存 以 最 大 限 度 的 接 触 到   S y s t e m P T E 的 末 尾 ， 如 图 中 所 示 ， 实 验 过 程 中 ， 可 替 换 的 应 答 数 据 与 内 核 栈 距 离 已 经 很 接 近 了 。 最 后 的 最 后 我 们 需 要 绕 过 空 间 地 址 随 机 化 防 御 B y p a s s i n g   K A S L R 。 这 里 用 到 一 个 信 息 泄 露 的 漏 洞 ， 造 成 信 息 泄 露 漏 洞 的 结 构 体 是 n v s p _ m e s s a g e ， 它 在 栈 上 进 行 分 配 ， 它 只 初 始 化 了 前 8 个 字 节 ， 却 返 回 了 s i z e o f ( n v s p _ m e s s a g e ) 大 小 ， 因 此 3 2 字 节 未 被 初 始 化 的 栈 内 存 会 被 发 回 给 g u e s t ， 造 成 信 息 泄 露 。 通 过 泄 露 的 信 息 ， 我 们 能 够 获 得 v m s w i t c h 的 返 回 地 址 ， 进 而 构 造 r o p 链 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理