搜索

[14437] 2019-08-06_一个工控漏洞引发的思考（续）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-08-06_一个工控漏洞引发的思考（续） 一 个 工 控 漏 洞 引 发 的 思 考 （ 续 ） w w 5 4 6 6 0 6 4   F r e e B u f   2 0 1 9 - 0 8 - 0 6 一 、 概 述 一 、 概 述 阿 基 米 德 曾 经 说 过 ： 给 我 一 个 支 点 ， 我 就 能 撬 起 地 球 。 ” 那 么 ， 在 漏 洞 挖 掘 的 过 程 中 ， 如 果 给 你 一 个 支 点 （ p i v o t ） ， 能 否 快 速 发 掘 更 多 漏 洞 呢 ？ 上 一 篇 分 析 了 研 华 公 司 （ A d v a n t e c h ） H M I / S C A D A 软 件 A d v a n t e c h W e b A c c e s s 的 一 个 远 程 代 码 执 行 漏 洞 （ 请 点 击 底 部 【 阅 读 原 文 】 【 阅 读 原 文 】 查 看 ） 。 这 一 篇 尝 试 以 该 漏 洞 为 支 点 ， 发 掘 更 多 高 危 漏 洞 。 从 Z D I 上 关 注 到 M a t _ P o w e l l 大 神 提 交 了 大 量 C V E ， 其 中 很 多 漏 洞 具 有 相 似 性 ， 暂 且 对 比 看 ： C V E - 2 0 1 9 - 6 5 5 0 、 C V E - 2 0 1 8 - 7 4 9 9 两 个 漏 洞 ： 漏 洞 对 应 的 相 关 组 件 分 别 为 ： b w t h i n f l . e x e 、 b w a c c r t s . e x e 、 u p a n d p r . e x e ； 入 口 分 支 均 为 0 x 2 7 1 1   I O C T L ； 漏 洞 描 述 几 乎 完 全 相 同 ， 漏 洞 成 因 均 为 ： 未 对 用 户 输 入 的 数 据 做 合 适 验 证 从 而 导 致 栈 溢 出 。 暂 且 我 们 可 以 推 测 次 两 个 漏 洞 为 同 类 漏 洞 ， 接 下 来 的 问 题 是 造 成 漏 洞 的 相 关 函 数 是 什 么 呢 ？ 二 、 漏 洞 分 析 二 、 漏 洞 分 析 仔 细 查 看 上 述 第 三 张 截 图 ， 漏 洞 详 情 中 似 乎 已 “ 道 破 天 机 ” ， “ 罪 魁 祸 首 ” 是 大 家 熟 知 的 s c a n f 函 数 ？ 接 下 来 唯 有 上 I D A 对 此 三 个 组 件 逆 向 求 证 了 ：
  果 然 三 个 组 件 中 均 使 用 了 s s c a n f 函 数 ， 而 这 个 函 数 是 微 软 在 安 全 编 程 中 禁 止 使 用 的 函 数 之 一 。 下 一 步 需 要 思 考 的 就 是 如 何 以 上 篇 的 R C E 漏 洞 为 支 点 （ p i v o t ） ， 来 触 发 上 述 组 件 中 的 s c a n f 函 数 了 ， 进 而 形 成 漏 洞 利 用 。 三 、 三 、 P o C 改 造 改 造 下 载 A d v a n t e c h W e b A c c e s s   V . 8 . 0 软 件 ， 在 W i n 7 x 6 4 虚 拟 机 中 安 装 ， 查 看 端 口 开 放 情 况 ， 确 认 软 件 运 行 正 常 ：
以 组 件 u p a n d p r . e x e 为 例 进 行 P o C 改 造 和 调 试 ， 上 一 篇 中 分 析 到 最 终 代 码 执 行 通 过 l p C o m m a n d L i n e 参 数 传 入 一 个 文 件 名 或 路 径 给 C r e a t e P r o c e s s A 函 数 （ 于 是 可 以 指 向 任 何 文 件 了 ） ， 则 可 以 通 过 合 理 构 造 参 数 ： 将 执 行 的 目 标 指 向 u p a n d p r . e x e 组 件 并 执 行 s c a n f 函 数 ， P o C 改 造 部 分 如 下 所 示 ： 由 于 整 个 漏 洞 利 用 执 行 （ 函 数 调 用 ） 的 基 本 流 程 是 w e b v r p c s . e x e - > d r a w s r v . d l l - > u p a n d p r . e x e （ s s c a n f ） , 当 用 户 提 供 的 输 入 数 据 覆 盖 了 堆 栈 ， 函 数 返 回 时 候 将 发 生 异 常 。 上 调 试 器 进 行 调 试 运 行 吧 ， 目 标 当 然 是 u p a n d p r . e x e （ s s c a n f ） ， 此 时 涉 及 一 个 问 题 是 ： 当 u p a n d p r . e x e 启 动 、 发 生 异 常 时 ， 调 试 器 自 动 被 加 载 。 进 行 一 番 设 置 之 后 ， 便 可 观 察 改 造 后 的 P o C 能 否 能 够 按 照 既 定 的 思 路 运 行 了 ：
P o C 执 行 后 ， u p a n d p r . e x e 被 加 载 ， F 9 继 续 执 行 后 异 常 发 生 ， 如 下 图 所 示 ： 接 下 来 是 最 熟 悉 的 场 景 ： 进 一 步 I D A 查 看 s s c a n f 函 数 处 伪 码 ：
可 精 确 推 算 出 覆 盖 堆 栈 需 要 的 j u n k 长 度 只 需 0 x 4 D 0 ， 再 次 改 造 一 下 P o C 进 行 测 试 ： 可 见 E I P 被 精 确 劫 持 。 那 么 再 下 一 步 ， 即 可 继 续 根 据 堆 栈 情 况 设 计 布 局 s h e l l c o d e 了 ， 对 于 s h e l l c o d e 编 写 一 个 更 有 利 的 消 息 便 是 W e b A c c e s s 软 件 的 模 块 代 码 编 写 中 几 乎 未 启 用 W i n d o w s 系 统 的 相 关 安 全 机 制 ， 如 A S L R 、 D E P ：
四 、 总 结 四 、 总 结 从 上 述 分 析 可 知 ， 由 软 件 的 一 个 漏 洞 收 获 了 其 他 大 量 漏 洞 ， 攻 击 面 由 此 进 一 步 扩 大 ， 小 伙 伴 们 可 以 借 题 发 挥 大 量 收 割 C V E 啦 （ 不 过 之 前 版 本 的 C V E 貌 似 都 被 M a t 大 神 给 收 割 了 ） 。 另 外 ， 基 本 的 安 全 编 程 的 思 想 对 于 码 农 来 说 尤 为 重 要 ， 微 软 早 已 禁 用 函 数 还 是 不 用 为 好 。 * 本 文 作 者 ： 本 文 作 者 ： w w 5 4 6 6 0 6 4 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理