搜索

[14751] 2019-10-28_如何通过macOS的磁盘管理工具实现系统提权

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-10-28_如何通过macOS的磁盘管理工具实现系统提权 如 何 通 过 m a c O S 的 磁 盘 管 理 工 具 实 现 系 统 提 权 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 1 0 - 2 8 写 在 前 面 的 话 写 在 前 面 的 话 近 期 ， 近 期 ， Z D I 的 研 究 人 员 的 研 究 人 员 “ c c p w d ” 在 一 个 名 叫 在 一 个 名 叫 “ d i s k m a n a g e m e n t d ” 的 的 m a c O S 守 护 进 程 中 ， 发 现 了 一 个 基 于 堆 的 缓 守 护 进 程 中 ， 发 现 了 一 个 基 于 堆 的 缓 冲 区 溢 出 漏 洞 。 冲 区 溢 出 漏 洞 。 d i s k m a n a g e m e n t d 这 个 服 务 主 要 负 责 对 磁 盘 驱 动 器 进 行 管 理 和 分 区 ， 用 户 可 以 通 过 磁 盘 实 用 工 这 个 服 务 主 要 负 责 对 磁 盘 驱 动 器 进 行 管 理 和 分 区 ， 用 户 可 以 通 过 磁 盘 实 用 工 具 （ 具 （ D i s k   U t i l i t y ） 来 与 该 服 务 进 行 交 互 。 该 服 务 将 会 运 行 一 个 ） 来 与 该 服 务 进 行 交 互 。 该 服 务 将 会 运 行 一 个 M a c h 服 务 器 ， 并 允 许 客 户 端 使 用 服 务 器 ， 并 允 许 客 户 端 使 用 M a c h   I P C 接 口 接 口 来 与 服 务 器 端 通 信 （ 发 送 和 接 收 信 息 ） 。 通 过 这 种 来 与 服 务 器 端 通 信 （ 发 送 和 接 收 信 息 ） 。 通 过 这 种 R P C 机 制 ， 客 户 端 可 以 在 机 制 ， 客 户 端 可 以 在 M a c h 服 务 器 中 执 行 各 种 通 过 服 务 器 中 执 行 各 种 通 过 M I G （ （ M a c h 接 口 生 成 器 ） 生 成 的 功 能 函 数 。 接 口 生 成 器 ） 生 成 的 功 能 函 数 。 漏 洞 分 析 漏 洞 分 析 所 有 的 通 信 数 据 都 需 要 经 过 l a u n c h d ， 即 m a c O S 的 i n i t 初 始 化 实 现 。 关 于 该 进 程 的 更 多 细 节 可 以 通 过 查 看 其 信 息 属 性 列 表 文 件 来 了 解 ， 文 件 路 径 如 下 ： 一 开 始 ， 守 护 进 程 会 分 配 一 个 调 用 函 数 ， 在 之 后 发 送 和 接 收 M a c h 消 息 时 ， 内 部 进 程 通 信 将 需 要 调 用 这 个 函 数 。 在 这 里 ， C F M a c h P o r t C r e a t e W i t h P o r t 会 分 配 一 个 函 数 s u b 1 0 0 0 0 C 2 4 1 来 作 为 负 责 处 理 M a c h 消 息 的 回 调 函 数 ， 接 收 M a c h / S y s t e m / L i b r a r y / L a u n c h D a e m o n s / c o m . a p p l e . d i s k m a n a g e m e n t d . p l i s t
消 息 的 地 址 为 0 x 1 0 0 0 0 B E 1 F 。 根 据 m s g h i d ， M a c h 消 息 中 的 某 个 值 会 传 送 一 条 操 作 指 令 或 函 数 I D ， s u b 1 0 0 0 0 C 2 4 1 会 间 接 使 用 这 个 I D 来 作 为 两 个 远 程 函 数 的 调 度 表 索 引 。 s u b 1 0 0 0 0 1 D A 2 和 s u b _ 1 0 0 0 0 2 0 0 5 分 别 负 责 启 动 和 移 除 后 续 的 通 信 会 话 。 M a c h 端 口 是 单 向 通 信 的 ， 这 也 就 意 味 着 每 个 发 送 、 接 收 请 求 都 需 要 使 用 单 独 的 端 口 ， 苹 果 称 之 为 ： “ 端 口 是 请 求 服 务 的 客 户 端 和 提 供 服 务 的 服 务 器 之 间 单 向 通 信 通 道 的 端 点 。 如 果 要 对 此 类 服 务 请 求 提 供 答 复 ， 则 必 须 使 用 第 二 个 端 口 ， 这 与 U n i x 中 的 （ 单 向 ） 管 道 类 似 。 ” 函 数 s u b 1 0 0 0 0 C C A 9 是 可 以 通 过 s u b 1 0 0 0 0 1 D A 2 访 问 到 的 ， 另 一 个 M a c h 端 口 通 过 回 调 函 数 s u b _ 1 0 0 0 0 D A C C 来 创 建 ， 端 口 会 保 存 在 一 个 字 典 里 ， 键 名 为 “ C o m m s - F 2 T P o r t ” 。 缓 冲 区 0 x 1 0 0 0 字 节 处 用 于 处 理 M a c h 消 息 的 响 应 ， 并 且 信 息 保 存 在 字 典 中 键 名 为 “ C o m m s - F 2 T - r e p l y a r e a ” 的 位 置 。
其 中 ， s e t O b j e c t : f o r K e y 用 于 向 字 典 中 添 加 键 值 对 ： 当 客 户 端 发 送 一 条 消 息 时 ， s u b 1 0 0 0 0 D A C C 将 会 被 触 发 ， 然 后 根 据 m s g h i d 来 访 问 M I G 远 程 程 序 调 用 。 接 下 来 ， 我 们 将 注 意 力 主 要 放 在 函 数 s u b _ 1 0 0 0 0 8 7 C 9 的 身 上 ：
缓 冲 区 溢 出 发 生 在 s u b _ 1 0 0 0 0 8 7 C 9 函 数 中 ， 当 用 户 输 入 数 据 长 度 经 过 计 算 后 偏 移 量 超 过 0 x 1 0 0 0 时 ， 便 会 发 生 缓 冲 区 溢 出 。 0 x 1 0 0 0 响 应 缓 冲 区 基 本 上 为 r 1 4 ， 用 户 输 入 从 偏 移 量 0 x 3 8 处 开 始 ， 所 以 剩 下 的 0 x f c 8 字 节 即 为 用 户 输 入 区 域 ， 当 输 入 数 据 填 充 至 0 x f c 8 处 时 ， s t r l e n 将 会 返 回 相 同 的 值 。 经 过 计 算 之 后 ， 最 终 的 值 为   0 x f c c   [ ( ( 0 x f c 8   +   1 )   +   3 )   &   0 x f f f f f f f c ] 。 在 地 址 0 x 1 0 0 0 0 8 A B D 处 ， 偏 移 量 将 会 变 成 0 x 1 0 0 4   [ 0 x f c c + 0 x 3 8 ] ， 这 里 允 许 泄 露 4 个 字 节 ， 并 写 入 4 个 字 节 数 据 ， 因 此 攻 击 者 就 可 以 利 用 这 种 特 性 来 实 现 攻 击 了 。 但 是 这 里 的 数 据 泄 露 效 果 不 是 很 显 著 ， 因 为 大 小 仅 为 0 x 1 0 0 0 ， 而 写 入 操 作 需 要 在 0 x 1 0 0 4 处 完 成 ， 这 也 就 意 味 着 程 序 只 能 从 后 续 数 据 块 中 读 取 4 个 字 节 的 数 据 。 这 里 有 几 个 限 制 ， 首 先 是 输 入 数 据 中 不 能 包 含 空 字 符 ， 因 为 这 将 导 致 s t r l e n 在 空 字 符 处 停 止 。 另 一 个 限 制 是 在 缓 冲 区 结
束 后 写 入 的 数 据 将 始 终 是 v a r _ d c 的 内 容 ， 这 部 分 内 容 就 是 s u b   b 3 0 返 回 的 错 误 代 码 。 总 结 总 结 分 析 这 些 类 型 的 安 全 漏 洞 以 及 程 序 错 误 其 实 非 常 有 趣 ， 因 为 我 们 可 以 了 解 到 一 个 非 常 小 的 错 误 如 何 导 致 一 个 严 重 的 安 全 漏 洞 出 现 ， 并 最 终 允 许 攻 击 者 在 目 标 设 备 上 实 现 任 意 代 码 执 行 ， 这 也 就 是 所 谓 的 “ 蝴 蝶 效 应 ” 吧 。 目 前 ， 苹 果 方 面 已 经 在 m a c O S   M o j a v e   v 1 0 . 1 4 . 5 中 修 复 了 这 个 漏 洞 ， 并 于 2 0 1 9 年 7 月 2 2 日 正 式 向 用 户 推 送 。 * 参 考 来 源 ： 参 考 来 源 ： z e r o d a y i n i t i a t i v e ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理