搜索

[15106] 2020-03-08_RDG中的两个漏洞分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-03-08_RDG中的两个漏洞分析 R D G 中 的 两 个 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 3 - 0 8 R e m o t e   D e s k t o p   G a t e w a y ， 即 远 程 桌 面 网 关 （ ， 即 远 程 桌 面 网 关 （ R D G ） ， 之 前 它 的 名 字 叫 ） ， 之 前 它 的 名 字 叫 “ T e r m i n a l   S e r v i c e s   G a t e w a y ” ， 即 远 ， 即 远 程 桌 面 （ 程 桌 面 （ R D P ） ， 是 一 种 提 供 路 由 功 能 的 ） ， 是 一 种 提 供 路 由 功 能 的 W i n d o w s 服 务 器 组 件 。 在 服 务 器 组 件 。 在 R D G 的 应 用 场 景 中 ， 用 户 无 需 直 接 的 应 用 场 景 中 ， 用 户 无 需 直 接 R D P 服 务 服 务 器 连 接 ， 而 是 直 接 连 接 网 关 。 网 关 身 份 验 证 成 功 后 ， ， 网 关 会 将 器 连 接 ， 而 是 直 接 连 接 网 关 。 网 关 身 份 验 证 成 功 后 ， ， 网 关 会 将 R D P 流 量 转 发 至 用 户 指 定 的 地 址 ， 因 此 在 这 里 流 量 转 发 至 用 户 指 定 的 地 址 ， 因 此 在 这 里 网 关 实 际 上 就 是 一 个 代 理 。 此 时 ， 只 有 网 关 需 要 对 外 网 开 放 ， 其 他 所 有 的 网 关 实 际 上 就 是 一 个 代 理 。 此 时 ， 只 有 网 关 需 要 对 外 网 开 放 ， 其 他 所 有 的 R D P 服 务 端 都 可 以 受 到 防 火 墙 的 保 服 务 端 都 可 以 受 到 防 火 墙 的 保 护 。 由 于 护 。 由 于 R D P 的 攻 击 面 更 大 ， 因 此 我 们 需 要 正 确 设 置 的 攻 击 面 更 大 ， 因 此 我 们 需 要 正 确 设 置 R D G 环 境 ， 才 能 显 著 减 少 可 能 存 在 的 攻 击 面 。 环 境 ， 才 能 显 著 减 少 可 能 存 在 的 攻 击 面 。 在 2 0 2 0 年 1 月 份 的 安 全 更 新 中 ， 微 软 修 复 了 R D G 中 存 在 的 两 个 漏 洞 。 分 配 的 漏 洞 编 号 分 别 为 C V E - 2 0 2 0 - 0 6 0 9 和 C V E - 2 0 2 0 - 0 6 1 0 ， 而 这 两 个 漏 洞 都 可 以 允 许 攻 击 者 在 目 标 设 备 上 实 现 预 认 证 远 程 代 码 执 行 。 版 本 区 别 分 析 版 本 区 别 分 析 - 修 复 前 和 修 复 后 修 复 前 和 修 复 后 在 进 行 漏 洞 分 析 之 前 ， 我 们 需 要 分 析 受 影 响 D L L 修 复 前 和 修 复 后 的 版 本 区 别 。 分 析 后 发 现 ， 其 中 只 有 一 个 函 数 被 修 改 了 。 首 先 ， R D G 支 持 三 种 不 同 的 协 议 ， 即 H T T P 、 H T T P S 和 U D P 。 更 新 后 的 函 数 主 要 负 责 处 理 U D P 协 议 。 一 般 来 说 ， 我 们 可 以 拿 更 新 前 和 更 新 后 的 函 数 进 行 对 比 ， 但 是 这 个 函 数 的 代 码 量 非 常 大 ， 而 且 有 多 处 改 动 。 因 此 ， 我 们 这 里 直 接 给 出 该 函 数 对 应 的 伪 代 码 ， 并 且 删 除 了 部 分 不 相 关 的 代 码 ：
R D G 处 理 的 U D P 协 议 允 许 将 数 据 量 大 的 消 息 拆 分 为 多 个 独 立 的 U D P 报 文 ， 因 为 U D P 属 于 无 连 接 协 议 ， 因 此 报 文 到 达 的 顺 序 不 定 。 。 该 函 数 的 功 能 是 重 组 消 息 ， 确 保 每 个 报 文 都 位 于 正 确 的 位 置 上 。 每 个 报 文 中 都 包 含 一 个 H e a d e r ， 其 中 包 含 如 下 字 段 数 据 ： f r a g m e n t _ i d ： 报 文 在 序 列 中 的 具 体 位 置 ； n u m _ f r a g m e n t s ： 序 列 中 报 文 的 总 数 量 ； f r a g m e n t _ l e n g t h ： 报 文 数 据 的 长 度 。 消 息 处 理 函 数 使 用 报 文 的 H e a d e r 数 据 来 确 保 收 到 的 消 息 能 以 正 确 的 顺 序 进 行 重 组 。 然 而 ， 该 函 数 在 实 现 上 存 在 漏 洞 ， 因 此 攻 击 者 将 能 够 利 用 该 漏 洞 来 实 施 攻 击 。 C V E - 2 0 2 0 - 0 6 0 9 分 析 分 析 m e m c p y _ s ( ) 函 数 会 将 每 个 分 段 数 据 （ f r a g m e n t ） 拷 贝 到 重 组 缓 冲 区 中 的 一 个 偏 移 量 地 址 ， 重 组 缓 冲 区 在 堆 上 进 行 分
配 ， 每 个 分 段 的 偏 移 量 由 f r a g m e n t _ i d x   1 0 0 0 得 到 。 但 是 ， 这 里 的 边 界 检 查 逻 辑 并 没 有 考 虑 到 偏 移 量 这 个 因 素 。 这 里 我 们 可 以 假 设 b u f f e r _ s i z e =   1 0 0 0 ， 然 后 我 们 发 送 包 含 2 个 分 段 消 息 。 1 、 第 1 个 分 段 消 息 （ f r a g m e n t _ i d = 0 ） 长 度 为 1 。 此 时 t h i s - > b y t e s _ w r i t t e n 等 于 0 ， 因 此 可 以 通 过 边 界 检 查 。 2 、 代 码 将 1 字 节 数 据 写 入 偏 移 量 为 0 的 缓 冲 区 地 址 ， b y t e s _ w r i t t e n +   1 。 第 2 个 分 段 消 息 （ f r a g m e n t _ i d = 1 ） 长 度 为 9 9 8 ， 此 时 t h i s - > b y t e s _ w r i t t e n =   1 ， 而 1   +   9 9 8 <   1 0 0 0 ， 因 此 可 以 通 过 边 界 检 查 。 3 、 代 码 将 9 9 8 字 节 数 据 写 入 偏 移 量 为 1 0 0 0 （ f r a g m e n t _ i d * 1 0 0 0 ） 的 缓 冲 区 地 址 ， 导 致 在 缓 冲 区 末 尾 后 写 入 9 9 8 个 字 节 。 需 要 注 意 的 是 ， 这 里 的 报 文 不 一 定 按 顺 序 到 达 。 如 果 我 们 发 送 的 第 1 个 报 文 中 f r a g m e n t _ i d = 6 5 5 3 5 （ 最 大 值 ） ， 那 么 就 会 被 写 入 偏 移 量 为 6 5 5 3 5 x   1 0 0 0 的 地 址 ， 也 就 是 缓 冲 区 末 尾 后 的 6 5 5 3 4 0 0 0 个 字 节 。 攻 击 者 可 以 通 过 修 改 f r a g m e n t _ i d 来 将 最 多 9 9 9 个 字 节 的 数 据 写 入 缓 冲 区 后 偏 移 量 为 1 到 6 5 5 3 4 0 0 0 的 任 何 地 址 。 与 传 统 的 线 性 堆 溢 出 漏 洞 相 比 ， 这 个 漏 洞 的 灵 活 性 更 强 。 攻 击 者 不 仅 可 以 利 用 该 漏 洞 来 控 制 写 入 数 据 的 大 小 ， 而 且 还 能 控 制 写 入 数 据 的 位 置 。 如 果 再 配 合 使 用 其 他 的 技 术 ， 攻 击 者 将 能 够 实 现 更 为 精 准 的 数 据 写 入 ， 以 避 免 出 现 不 必 要 的 数 据 崩 溃 。 C V E - 2 0 2 0 - 0 6 1 0 分 析 分 析 上 图 中 的 类 对 象 包 含 一 个 由 3 2 位 无 符 号 整 数 组 成 数 组 ， 其 中 每 个 数 组 元 素 对 应 1 个 分 段 数 据 。 当 收 到 一 个 分 段 数 据 后 ， 相 应 的 数 据 值 会 从 0 变 为 1 。 当 所 有 元 素 都 被 设 置 为 1 时 ， 代 码 就 完 成 了 消 息 重 组 操 作 ， 并 开 始 处 理 完 整 的 消 息 。 这 个 数 组 最 多 能 容 纳 6 4 个 元 素 ， 但 f r a g m e n t _ i d 的 取 值 范 围 为 0 到 6 5 5 3 5 。 代 码 唯 一 执 行 的 验 证 操 作 就 是 确 保 f r a g m e n t _ i d 值 小 于 n u m _ f r a g m e n t s ， 但 后 者 同 样 可 以 被 设 置 为 6 5 5 3 5 。 因 此 ， 我 们 可 以 将 f r a g m e n t _ i d 设 置 为 6 5 到 6 5 5 3 5 之 间 的 任 意 值 ， 这 样 我 们 就 可 以 在 数 据 边 界 外 写 入 1 （ T R U E ） 。 你 可 能 会 觉 得 只 将 1 个 值 设 置 为 1 很 难 实 现 远 程 代 码 执 行 ， 但 即 使 一 个 小 小 的 改 动 也 可 以 对 程 序 的 正 常 行 为 带 来 巨 大 的 影 响 。 漏 洞 缓 解 漏 洞 缓 解 如 果 用 户 没 有 安 装 漏 洞 修 复 补 丁 ， 那 么 攻 击 者 将 能 够 利 用 该 漏 洞 实 施 攻 击 。 因 此 ， 用 户 还 可 以 直 接 禁 用 U D P 传 输 功 能 ， 或 使 用 防 火 墙 来 阻 止 U D P 端 口 来 解 决 这 个 安 全 问 题 。
漏 洞 检 测 工 具 漏 洞 检 测 工 具 r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 ： 【 点 击 底 部 阅 读 原 文 】 如 何 检 测 如 何 检 测 *   参 考 来 源 ： 参 考 来 源 ： k r y p t o s l o g i c ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 E x a m p l e :   p y t h o n 3   r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 . p y   1 9 2 . 1 6 8 . 1 . 1 / 2 4   #   v u l n   s c a n   f o r   c v e - 2 0 2 0 - 0 6 0 9   o n   U D P   3 3 9 1 E x a m p l e 2   p y t h o n 3   r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 . p y   1 9 2 . 1 6 8 . 1 . 1 / 2 4   - - w e b c h e c k   #   c h e c k   w e b p a g e   f o r   R D   g a t e w a y E x a m p l e 3 :   p y t h o n 3   r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 . p y   1 9 2 . 1 6 8 . 1 . 1 E x a m p l e 4 :   p y t h o n 3   r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 . p y   f a k e w e b s i t e a d d r e s s . c o m E x a m p l e 5 :   p y t h o n 3   r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 . p y   a s 1 5 1 6 9 E x a m p l e 6 :   p y t h o n 3   r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 . p y   f i l e : h o s t f i l e . t x t u s a g e :   r d g _ s c a n n e r _ c v e - 2 0 2 0 - 0 6 0 9 . p y   [ - h ]   [ - - p o r t   P O R T ]   [ - - w e b c h e c k ] [ - - v e r b o s e ] t a r g e t N o   i n s t a l l a t i o n   r e q u i r e d . D e b i a n / K a l i   n e e d s :   a p t - g e t   i n s t a l l   p y t h o n 3 - n e t a d d r
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理