搜索

[14348] 2019-07-14_挖洞经验Panda反病毒软件本地提权漏洞分析

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2019-07-14_挖洞经验Panda反病毒软件本地提权漏洞分析 挖 洞 经 验   |   P a n d a 反 病 毒 软 件 本 地 提 权 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 7 - 1 4 写 在 前 面 的 话 写 在 前 面 的 话 在 这 篇 文 章 中 ， 我 将 跟 大 家 讨 论 一 个 我 在 在 这 篇 文 章 中 ， 我 将 跟 大 家 讨 论 一 个 我 在 P a n d a 反 病 毒 产 品 中 发 现 的 一 个 安 全 漏 洞 （ 反 病 毒 产 品 中 发 现 的 一 个 安 全 漏 洞 （ C V E - 2 0 1 9 - 1 2 0 4 2 ） ， 这 是 ） ， 这 是 一 个 本 地 提 权 漏 洞 ， 该 漏 洞 将 允 许 攻 击 者 在 目 标 设 备 上 将 非 特 权 账 户 提 权 至 一 个 本 地 提 权 漏 洞 ， 该 漏 洞 将 允 许 攻 击 者 在 目 标 设 备 上 将 非 特 权 账 户 提 权 至 S Y S T E M 。 。 受 影 响 的 产 品 包 括 P a n d a   D o m e （ 版 本 <   1 8 . 0 7 . 0 3 ） 、 P a n d a   I n t e r n e t S e c u r i t y 、 P a n d a   A n t i v i r u s   P r o 、 P a n d a G l o b a l P r o t e c t i o n 、 P a n d a   G o l d   P r o t e c t i o n 和 旧 版 本 的 P a n d a   A n t i v i r u s （ 版 本   < =   1 5 . 0 . 4 ） 。 目 前 ， 厂 商 已 经 在 v 1 8 . 0 7 . 0 3 版 本 中 修 复 了 该 漏 洞 。 漏 洞 分 析 漏 洞 分 析 存 在 漏 洞 的 系 统 服 务 为 A g e n t S v c . e x e 这 个 服 务 可 以 创 建 一 个 全 局 S e c t i o n 对 象 和 一 个 对 应 的 全 局 事 件 ， 每 当 一 个 进 程 尝 试 向 共 享 内 存 写 入 数 据 并 需 要 服 务 进 程 去 处 理 这 些 数 据 时 ， 它 们 便 会 发 出 信 号 。 由 于 这 个 过 程 中 的 权 限 验 证 机 制 存 在 缺 陷 ， 因 此 该 漏 洞 将 影 响 那 些 允 许 “ E v e r y o n e ” 和 非 特 权 用 户 修 改 共 享 内 存 和 事 件 的 对 象 。 逆 向 工 程 与 漏 洞 利 用 逆 向 工 程 与 漏 洞 利 用
这 个 服 务 会 创 建 一 个 线 程 ， 该 线 程 会 无 限 期 等 待 内 存 更 改 事 件 ， 并 在 收 到 事 件 信 号 时 解 析 内 存 中 的 内 容 。 当 共 享 内 存 中 的 第 二 个 “ 值 ” 不 为 零 时 ， 它 会 使 用 一 个 指 针 来 调 用 如 下 所 示 的 函 数 ， 指 针 指 向 的 地 址 为 列 表 头 部 的 值 ： 列 表 元 素 的 结 构 如 下 所 示 ： 列 表 元 素 的 结 构 如 下 所 示 ： 如 下 图 所 示 ， 代 码 期 望 在 共 享 内 存 中 偏 移 量 为 2 的 位 置 有 一 个 u n i c o d e 字 符 串 ， 它 会 使 用 这 个 字 符 串 来 初 始 化 一 个 w s t r i n g 对 象 ， 并 将 其 转 换 为 A N S I 字 符 串 。 除 此 之 外 ， 在 第 5 0 行 代 码 ， 使 用 了 ” 3 s a 3 4 2 Z v S f B 6 8 a E q ” 来 初 始 化 一 个 字 符 串 ， 并 将 它 和 攻 击 者 可 控 制 的 A N S I 字 符 串 以 及 一 个 指 针 （ 指 向 一 个 输 出 字 符 串 对 象 ） 传 递 给 函 数 ” D e c o d e A n d D e c r y p t D a t a ” 。 该 函 数 会 对 这 个 b a s e 6 4 字 符 串 进 行 解 码 ， 然 后 使 用 R C 2 和 密 钥 “ 3 s a 3 4 2 Z v S f B 6 8 a E q ” 揭 密 出 结 果 值 。 所 以 ， 我 们 向 共 享 内 存 中 写 入 的 内 容 必 须 是 经 过 R C 2 加 密 并 且 使 用 B a s e 6 4 编 码 的 值 。 t y p e d e f   s t r u c t   S t d L i s t _ E v e n t {               s t r u c t   S t d L i s t _ E v e n t *   N e x t ;               s t r u c t   S t d L i s t _ E v e n t *   P r e v i o u s ;               s t r u c t   c _ s t r i n g             {                       u n i o n                     {                                   c h a r *   p S t r ;                                   c h a r   s t r [ 1 6 ]                       } ;                       u n s i g n e d   i n t   L e n g t h ;                       u n s i g n e d   i n t I n S t r u c t u r e S t r i n g M a x L e n ;               } D i p s a t c h e r E v e n t S t r i n g ;               / / . . } ;
当 函 数 返 回 结 果 时 ， 解 码 后 的 数 据 会 被 转 换 为 “ w s t r i n g ” 对 象 ， 而 d o - w h i l e 循 环 会 根 据 分 隔 符 “ | ” 来 提 取 子 字 符 串 ， 并 将 它 们 分 别 插 入 到 列 表 中 ， 最 后 将 它 们 以 参 数 进 行 传 递 。 我 们 回 到 线 程 的 主 函 数 ， 如 下 所 示 ， 代 码 会 遍 历 列 表 ， 并 将 字 符 串 传 递 给 D i s p a t c h e r . d l l 中 C D i s p a t c h e r 类 的 I n s e r t E v e n t 方 法 ： 我 们 对 D i s p a t c h e r . d l l 文 件 中 的 C D i s p a t c h e r : : I n s e r t E v e n t 方 法 进 行 了 分 析 ， 发 现 它 会 向 一 个 C Q u e u e 队 列 中 插 入 事 件 字 符 串 ：
C D i s p a t c h e r : : R u n 方 法 会 运 行 一 个 单 独 的 线 程 来 处 理 这 个 队 列 中 的 元 素 ： C R e g i s t e r P l u g i n : : P r o c e s s E v e n t 方 法 会 解 析 攻 击 者 控 制 的 字 符 串 ， 查 看 错 误 调 试 消 息 ， 我 们 会 发 现 我 们 面 对 的 是 一 个 开 源 的 J S O N 解 析 器 ： 【 j s o n - p a r s e r 】 。
既 然 我 们 已 经 知 道 了 这 个 服 务 需 要 我 们 传 入 哪 种 数 据 ， 但 我 们 还 需 要 知 道 数 据 的 J S O N 属 性 。 C D i s p a t c h e r : : I n i t i a l i z e 方 法 会 调 用 C R e g i s t e r P l u g i n s : : L o a d A l l P l u g i n s 方 法 来 从 注 册 表 中 读 取 P a n d a 的 安 装 路 径 ， 然 后 访 问 插 件 目 录 ， 然 后 加 载 其 中 所 有 的 D L L 文 件 。 其 中 一 个 D L L 名 叫 P l u g i n _ C o m m a n d s . d l l ， 它 的 功 能 貌 似 是 执 行 命 令 行 指 令 。 由 于 这 些 D L L 都 可 以 提 供 错 误 调 试 消 息 ， 这 样 我 们 就 可 以 轻 松 定 位 目 标 方 法 了 。 我 们 也 迅 速 找 到 了 P l u g i n _ C o m m a n d s . d l l 中 的 R u n 方 法 ： 在 这 个 函 数 中 ， 我 们 从 输 入 数 据 中 找 到 了 目 标 J S O N 属 性 ： 我 们 还 可 以 从 内 核 调 试 器 中 拦 截 部 分 J S O N 消 息 ：
至 此 ， 我 想 看 看 是 否 能 够 执 行 硬 盘 中 的 某 些 东 西 。 通 过 对 R u n 方 法 的 反 编 译 结 果 进 行 分 析 ， 我 们 发 现 了 一 个 函 数 可 以 解 析 相 关 的 属 性 值 ， 并 判 断 其 是 否 指 向 的 是 U R L 或 是 磁 盘 中 的 文 件 。 这 里 ， 我 们 就 可 以 使 用 f i l e : / / U R I 来 执 行 硬 盘 中 的 文 件 了 。 在 查 找 强 制 属 性 时 ， 我 们 发 现 至 少 要 提 供 这 两 个 值 ： E x e N a m e 和 S o u r c e P a t h ：

但 是 ， 当 我 们 在 设 置 了 这 两 个 值 之 后 将 事 件 ” C m d L i n e E x e c u t e ” 加 入 队 列 ， 我 们 的 进 程 并 没 有 创 建 成 功 。 调 试 之 后 ， 我 发 现 “ E x e M D 5 ” 也 是 一 个 强 制 属 性 ， 它 应 该 包 含 待 运 行 的 可 执 行 程 序 的 有 效 M D 5 哈 希 。 C h e c k M D 5 M a t c h 函 数 会 动 态 计 算 文 件 哈 希 ， 并 与 我 们 提 供 的 J S O N 属 性 进 行 对 比 。 成 功 执 行 后 的 进 程 流 ： 成 功 执 行 后 的 进 程 流 ： 测 试 如 下 J S O N 数 据 （ R C 2 + B a s e 6 4 编 码 ） ， 我 们 可 以 看 到 c m d . e x e 成 功 以 S Y S T E M 权 限 运 行 了 ： {         " C m d L i n e E x e c u t e " :                         {                 " E x e N a m e " : " c m d . e x e " ,                                                                       " S o u r c e P a t h " : " f i l e : / / C : W i n d o w s S y s t e m 3 2 " ,                                                 " E x e M D 5 " : " f e f 8 1 1 8 e d f 7 9 1 8 d 3 c 7 9 5 d 6 e f 0 3 8 0 0 5 1 9 "         } }
当 我 们 尝 试 提 供 自 己 的 可 执 行 程 序 时 ， P a n d a 会 将 其 检 测 为 恶 意 软 件 并 删 除 之 ， 即 使 该 文 件 不 是 恶 意 软 件 。 此 时 ， 我 们 可 以 让 c m d . e x e 来 启 动 我 们 的 进 程 ， 最 终 的 J S O N 数 据 如 下 所 示 ： 最 后 的 漏 洞 利 用 代 码 会 在 目 标 磁 盘 中 存 放 一 个 文 件 ， 并 计 算 c m d . e x e 的 M D 5 哈 希 ， 构 建 J S O N 数 据 ， 对 其 加 密 并 编 码 ， 最 终 将 其 写 入 共 享 内 存 。 还 需 要 注 意 的 是 ， 这 个 P o C 漏 洞 利 用 代 码 可 以 在 不 需 要 任 何 重 新 编 译 操 作 的 情 况 下 在 所 有 的 W i n d o w s 版 本 中 正 常 工 作 。 P o C 代 码 代 码 漏 洞 利 用 代 码 ： 【 h t t p s : / / g i t h u b . c o m / S o u h a i l H a m m o u / P a n d a - A n t i v i r u s - L P E 】 *   参 考 来 源 ： 参 考 来 源 ： r c e 4 f u n ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 } {         " C m d L i n e E x e c u t e " :                                                                               {                 " E x e N a m e " : " c m d . e x e " ,                                                                     " P a r a m e t e r s " :   " / c   s t a r t C : U s e r s V M D e s k t o p r u n _ m e _ a s _ s y s t e m . e x e " ,                 " S o u r c e P a t h " : " f i l e : / / C : W i n d o w s S y s t e m 3 2 " ,                                               " E x e M D 5 " : " f e f 8 1 1 8 e d f 7 9 1 8 d 3 c 7 9 5 d 6 e f 0 3 8 0 0 5 1 9 "   / / M D 5   h a s h   o f   C M D . E X E         } }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理