搜索

[14140] 2019-05-23_Windows10出现新0day，任务计划进程可用于攻击

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-05-23_Windows10出现新0day，任务计划进程可用于攻击 W i n d o w s   1 0 出 现 新 0 d a y ， 任 务 计 划 进 程 可 用 于 攻 击 K a r u n e s h 9 1   F r e e B u f   2 0 1 9 - 0 5 - 2 3 漏 洞 开 发 人 员 漏 洞 开 发 人 员 S a n d b o x E s c a p e r 在 微 软 最 近 一 次 安 全 更 新 之 后 的 一 周 ， 放 出 了 一 个 在 微 软 最 近 一 次 安 全 更 新 之 后 的 一 周 ， 放 出 了 一 个 W i n d o w s 操 作 系 统 的 操 作 系 统 的 0 d a y 漏 漏 洞 。 该 漏 洞 于 去 年 洞 。 该 漏 洞 于 去 年 8 月 份 出 现 ， 能 够 使 外 部 攻 击 者 获 取 本 地 权 限 以 及 允 许 访 客 用 户 取 得 月 份 出 现 ， 能 够 使 外 部 攻 击 者 获 取 本 地 权 限 以 及 允 许 访 客 用 户 取 得 S Y S T E M 和 和 T r u s t I n s t a l l e r 等 全 权 限 用 户 的 文 件 。 等 全 权 限 用 户 的 文 件 。 格 式 错 误 的 任 务 文 件 格 式 错 误 的 任 务 文 件 此 次 漏 洞 出 现 在 T a s k   S c h e d u l e r 程 序 中 （ 即 任 务 计 划 进 程 ） ， 可 通 过 该 漏 洞 从 其 他 系 统 中 倒 入 遗 留 任 务 。 早 在 W i n d o w s X P 时 代 ， 该 任 务 就 可 以 以 . J O B 格 式 存 在 ， 至 今 ， 仍 然 可 以 将 其 添 加 到 新 的 操 作 系 统 中 。 导 入 之 后 会 发 生 什 么 ？ 当 T a s k   S c h e d u l e r 导 入 任 意 具 有 D A C L （ 自 主 访 问 控 制 列 表 ） 控 制 权 限 当 J O B 文 件 时 ， 在 缺 少 D A C L 的 情 况 下 ， 系 统 会 授 予 任 何 用 户 对 文 件 的 完 全 访 问 权 限 。 对 此 ， 研 究 人 员 解 释 ， 通 过 将 遗 留 任 务 文 件 导 入 W i n d o w s   1 0 上 的 任 务 计 划 进 程 中 时 ， 从 旧 系 统 中 复 制 可 执 行 文 件 “ s c h t a s k s . e x e ” 和 “ s c h e d s v c . d l l ” 并 运 行 ， 便 可 导 致 远 程 过 程 调 用 （ R P C ） 到 “ _ S c h R p c R e g i s t e r T a s k ” 中 ， 这 是 一 种 任 务 调 度 程 序 服 务 公 开 向 服 务 器 注 册 任 务 的 方 法 。 S a n d b o x E s c a p e r 表 示 ， 这 个 漏 洞 能 够 让 攻 击 者 以 有 限 权 限 开 始 ， 并 以 S Y S T E M 权 限 结 束 ， 为 了 证 明 其 真 实 性 ， 她 放 出 了 一 段 视 频 ， 演 示 了 如 何 在 x 8 6 的 W i n d o w s 系 统 上 运 行 ： C E R T / C C 的 漏 洞 分 析 师 W i l l   D o r m a n n 对 此 表 示 了 肯 定 。 他 表 示 这 是 利 用 了 W i n d o w s   1 0 任 务 调 度 程 序 中 的 漏 洞 ， 其 在 旧 版 导 入 的 任 务 上 设 置 了 S e t S e c u r i t y I n f o ( ) 。 该 漏 洞 调 用 代 码 一 次 ， 随 后 删 除 该 文 件 ， 然 后 使 用 N T F S 硬 连 接 再 次 调 用 ， 指 向 获 取 使 用 S e t S e c u r i t y I n f o ( ) 破 坏 权 限 的 文 件 。 D o r m a n n 确 认 了 漏 洞 利 用 代 码 ， 并 且 表 示 它 在 2 0 1 9 年 5 月 更 新 之 后 的 W i n d o w s   1 0   x 8 6 系 统 上 无 需 任 何 修 改 即 可 使 用 ， 成 功 率 为 1 0 0 % 。 若 想 在 6 4 位 的 W i n d o w s   1 0 上 实 现 ， 则 需 要 重 新 编 译 第 一 个 代 码 ， 但 记 录 的 结 果 相 同 ， 就 像 S e r v e r   2 0 1 6 和 2 0 1 9 的 区 别 。 唯 一 无 法 复 现 这 段 代 码 的 操 作 系 统 是 W i n d o w s   8 和 W i n d o w s   7 。 还 有 更 多 的 还 有 更 多 的 0 d a y
S a n d b o x E s c a p e r 在 其 博 客 上 发 布 ， 表 示 仍 然 还 有 四 个 未 公 开 的 0 d a y 漏 洞 ， 其 中 三 个 是 导 致 代 码 执 行 本 地 权 限 升 级 （ L P E ） 的 漏 洞 ， 第 四 个 则 是 沙 盒 逃 逸 。 目 前 ， 她 似 乎 倾 向 于 将 0 d a y 卖 给 非 西 方 的 买 家 ， 并 且 对 每 个 L P E 开 价 至 少 6 0 0 0 0 ， 不 过 暂 时 对 其 使 用 的 货 币 种 类 还 不 清 楚 。 “ 如 果 有 非 西 方 人 想 买 L P E ， 请 联 系 我 。 （ 仅 限 于 W i n d o w s   L P E ） 价 格 6 0 k 起 。 我 不 欠 社 会 任 何 事 ， 指 向 帮 你 致 富 。 ” 据 悉 ， 此 人 此 前 有 过 发 布 0 d a y 攻 击 的 历 史 。 当 时 其 发 布 的 第 一 个 0 d a y 漏 洞 也 是 针 对 T a s k   S c h e d u l e r 的 ； 第 二 个 发 布 于 2 0 1 8 年 1 0 月 ， 是 一 个 允 许 系 统 任 何 用 户 删 除 任 何 文 件 的 漏 洞 ； 第 三 个 发 布 于 圣 诞 节 前 ， 攻 击 者 能 够 通 过 系 统 访 问 来 读 取 系 统 内 任 何 文 件 ； 第 四 个 则 在 新 年 前 一 天 发 布 ， 内 容 是 允 许 攻 击 者 用 任 意 数 据 覆 盖 系 统 内 文 件 。 * 参 考 来 源 ： b l e e p i n g c o m p u t e r ， K a r u n e s h 9 1 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理