搜索

[15648] 2020-07-25_任意文件移动导致的Windows提权攻击分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-25_任意文件移动导致的Windows提权攻击分析 任 意 文 件 移 动 导 致 的 W i n d o w s 提 权 攻 击 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 7 - 2 5 本 文 介 绍 了 如 何 滥 用 本 文 介 绍 了 如 何 滥 用 W i n d o w s 上 特 权 进 程 执 行 文 件 操 作 来 实 现 本 地 特 权 升 级 （ 用 户 到 管 理 员 上 特 权 进 程 执 行 文 件 操 作 来 实 现 本 地 特 权 升 级 （ 用 户 到 管 理 员 / 系 统 ） ， 同 时 介 绍 系 统 ） ， 同 时 介 绍 了 利 用 这 些 类 型 的 错 误 的 现 有 技 术 以 及 漏 洞 利 用 工 具 。 了 利 用 这 些 类 型 的 错 误 的 现 有 技 术 以 及 漏 洞 利 用 工 具 。 特 权 文 件 操 作 错 误 特 权 文 件 操 作 错 误 高 权 限 运 行 的 进 程 会 和 所 有 进 程 一 样 对 操 作 系 统 中 的 文 件 进 行 操 作 。 但 是 当 一 个 高 权 限 的 进 程 在 没 有 足 够 的 安 全 措 施 的 情 况 下 访 问 用 户 控 制 的 文 件 或 目 录 时 ， 就 有 可 能 成 为 一 个 安 全 漏 洞 ， 因 为 恶 意 程 序 有 可 能 滥 用 该 特 权 进 程 执 行 的 操 作 ， 做 一 些 不 该 做 的 事 情 。 对 用 户 控 制 的 资 源 进 行 特 权 访 问 很 多 时 候 都 可 能 造 成 安 全 问 题 ， 文 件 只 是 其 中 一 个 部 分 。 人 们 熟 知 的 例 子 包 括 修 改 用 户 可 写 服 务 可 执 行 文 件 和 D L L 种 植 。 如 果 你 对 特 权 服 务 将 执 行 的 文 件 有 写 权 限 ， 或 者 对 它 将 寻 找 D L L 的 目 录 有 写 权 限 ， 你 就 可 以 在 这 个 特 权 进 程 中 执 行 你 的 p a y l o a d 。 这 是 一 个 众 所 周 知 的 漏 洞 ， 除 了 偶 尔 的 配 置 错 误 ， 现 在 大 多 数 在 特 权 层 面 运 行 的 软 件 都 能 防 御 这 种 攻 击 。 然 而 ， 对 文 件 系 统 操 作 的 潜 在 滥 用 似 乎 并 不 为 人 所 知 ， 但 却 同 样 危 险 ： 如 果 你 能 让 一 个 有 特 权 的 进 程 为 你 创 建 、 复 制 、 移 动 或 删 除 任 意 文 件 ， 那 么 美 好 的 权 限 的 s h e l l 有 可 能 就 在 不 远 处 。 另 外 ， 由 于 这 些 漏 洞 是 逻 辑 漏 洞 ， 它 们 利 用 起 来 通 常 非 常 稳 定 （ 不 涉 及 内 存 损 坏 ） ， 通 常 可 以 在 代 码 重 构 中 存 活 （ 只 要 文 件 操 作 逻 辑 不 改 变 ） ， 而 且 无 论 处 理 器 架 构 如 何 ， 都 可 以 用 完 全 相 同 的 方 式 进 行 利 用 。 这 些 特 点 使 它 们 对 攻 击 者 来 说 非 常 有 价 值 。 寻 找 寻 找 b u g 用 户 可 写 位 置 用 户 可 写 位 置 虽 然 大 多 数 特 权 程 序 不 会 直 接 操 作 一 些 非 特 权 用 户 的 文 件 （ 有 一 些 例 外 ， 如 杀 毒 软 件 ） ， 但 许 多 程 序 会 对 可 能 位 于 用 户 可 以 摆 弄 的 地 方 的 文 件 进 行 操 作 。 非 特 权 用 户 有 某 种 形 式 的 写 访 问 权 限 的 有 趣 位 置 包 括 ： 用 户 自 己 的 文 件 和 目 录 ， 包 括 其 和 文 件 夹 ， 如 果 你 运 气 好 或 运 行 杀 毒 软 件 ， 他 们 当 中 的 一 些 特 权 进 程 可 能 会 使 用 这 些 文 件 和 目 录 。 公 共 用 户 的 文 件 和 目 录 ： i d e m 。 在   “ C : ” 中 创 建 的 目 录 有 默 认 的 A C L ( A c c e s s   C o n t r o l   L i s t ) ： 默 认 情 况 下 ， 在 分 区 根 部 创 建 的 目 录 允 许 用 户 写 。 的 子 目 录 ， 有 默 认 的 A C L ： 默 认 情 况 下 ， 用 户 可 以 创 建 文 件 和 目 录 ， 但 不 能 修 改 现 有 的 文 件 和 目 录 。 这 往 往 是 找 漏 洞 过 程 中 首 先 要 看 的 地 方 。 的 子 目 录 ： 默 认 情 况 下 ， 用 户 可 以 创 建 文 件 和 目 录 ， 但 不 能 修 改 现 有 的 文 件 和 目 录 ， 也 不 能 读 取 文 件 / 访 问 其 他 用 户 创 建 的 目 录 。 对 于 安 装 程 序 和 其 他 有 特 权 的 软 件 和 脚 本 ， 如 果 它 们 准 时 运 行 ， 不 检 查 是 否 有 预 先 存 在 的 文 件 和 目 录 ， 就 会 产 生 很 有 意 思 的 问 题 。 你 可 以 使 用 S y s I n t e r n a l s 的 [ A c c e s s C h k ] 工 具 ( h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s y s i n t e r n a l s / d o w n l o a d s / A c c e s s C h k ) 、 或 P o w e r S h e l l 的 等 工 具 和 命 令 来 检 查 文 件 权 限 ， 或 者 干 脆 使 用 e x p l o r e r 的 安 全 选 项 卡 ： 高 级 表 格 中 有 一 个 有 效 访 问 选 项 卡 ， 允 许 列 出 特 定 账 户 或 组 对 该 文 件 / 目 录 的 访 问 权 限 。 下 面 的 截 图 显 示 了 在 目 录 下 授 予 用 户 组 的 （ 默 认 ） 访 问 权 限 。 S Y S T E M A p p D a t a T e m p C : P r o g r a m D a t a C : W i n d o w s / T e m p i c a c l s G e t - A c l C : / / P r o g r a m D a t a
寻 找 有 特 权 的 文 件 操 作 寻 找 有 特 权 的 文 件 操 作 要 找 到 特 权 进 程 进 行 文 件 操 作 的 实 例 ， 我 们 可 以 简 单 地 使 用 S y s I n t e r n a l s 的 P r o c M o n ， 过 滤 感 兴 趣 的 进 程 的 文 件 事 件 。 当 我 们 看 到 它 访 问 用 户 可 控 的 文 件 & 目 录 时 ， 我 们 可 以 检 查 该 进 程 是 否 使 用 了 i m p e r s o n a t e 的 方 式 来 进 行 操 作 。 有 的 时 候 没 有 ： 当 然 ， 这 只 会 给 我 们 提 供 进 程 本 身 所 执 行 的 操 作 （ 例 如 ， 当 它 启 动 时 ） ， 要 想 找 到 更 多 的 操 作 ， 我 们 就 必 须 研 究 无 权 用 户 可 以 执 行 的 操 作 ， 可 以 直 接 通 过 U I （ 如 果 它 有 的 话 ） ， 也 可 以 间 接 通 过 C O M 、 L P C 、 网 络 接 口 和 其 他 暴 露 的 攻 击 面 。 其 中 有 些 可 能 需 要 对 产 品 进 行 逆 向 工 程 （ 很 酷 的 例 子 这 里 、 这 里 和 这 里 ） ， 对 于 这 个 介 绍 ， 我 们 只 打 算 去 找 那 些 简 单 点 的 例 子 介 绍 。 漏 洞 利 用 技 术 和 工 具 漏 洞 利 用 技 术 和 工 具 一 旦 我 们 发 现 一 些 对 用 户 / 用 户 控 制 的 文 件 & 目 录 进 行 的 文 件 操 作 ， 我 们 就 需 要 一 种 方 法 来 劫 持 这 些 操 作 来 做 一 些 有 趣 的 事 情 。
J a m e s   F o r s h a w ( @ t i r a n i d d o ) 在 N T F S 文 件 系 统 和 W i n d o w s 操 作 系 统 内 部 完 成 了 开 创 性 工 作 ， 他 在 发 表 了 许 多 相 关 的 文 章 ( s y m l i n k s 、 h a r d l i n k s 、 N T P a t h C o n v e r s i o n 、 D i r C r e a t e 2 F i l e R e a d 、 F i l e W r i t e 2 E o P 、 A c c e s s M o d e M i s m a t c h ） ， 并 在 I n f i l t r a t e 和 S y S c a n 。 他 提 出 了 几 种 滥 用 W i n d o w s 文 件 系 统 和 路 径 解 析 功 能 的 技 术 （ 大 致 总 结 如 下 ） ， 并 在 开 源 的 s y m b o l i c l i n k - t e s t i n g - t o o l s 工 具 包 和 N t A p i D o t N e t 库 中 实 现 了 这 些 技 术 。 他 的 技 术 和 工 具 包 为 许 多 测 试 人 员 打 开 了 去 寻 找 这 类 b u g 的 大 门 （ 包 括 我 自 己 ） ， 使 这 些 b u g 有 可 能 — 甚 至 很 容 易 — 被 利 用 ， 有 效 地 把 它 们 变 成 了 新 的 漏 洞 利 用 潮 流 。 N T F S   j u n c t i o n s 结 点 是 N T F S 的 一 个 特 性 ， 它 允 许 将 目 录 设 置 为 文 件 系 统 的 挂 载 点 ， 就 像 U n i x 中 的 挂 载 点 一 样 ， 但 也 可 以 设 置 为 解 析 到 另 一 个 目 录 （ 在 同 一 个 或 另 一 个 文 件 系 统 上 ） 。 就 我 们 的 目 的 而 言 ， 我 们 可 以 把 它 们 看 作 是 一 种 仅 有 目 录 的 符 号 链 接 。 有 趣 的 是 ， 在 大 多 数 情 况 下 ， 路 径 解 析 会 透 明 地 跟 随 结 点 （ 除 非 明 确 地 设 置 了 一 个 参 数 来 阻 止 这 一 点 ） ， 所 以 在 上 面 的 设 置 中 ， 一 个 试 图 打 开 的 程 序 事 实 上 会 打 开 ， 因 为 I O 管 理 器 会 跟 随 结 点 。 结 点 可 以 由 无 权 限 的 用 户 创 建 。 它 们 可 以 跨 卷 工 作 ， 所 以 你 可 以 将 重 定 向 到 。 如 果 你 有 写 权 限 ， 一 个 现 有 的 目 录 可 以 变 成 一 个 连 接 点 ， 但 它 必 须 是 空 的 。 N T F S 结 点 是 用 r e p a r s e 来 实 现 的 ， 虽 然 内 置 的 工 具 不 会 让 你 这 么 做 ， 但 可 以 通 过 设 置 自 定 义 r e p a r s e 点 的 实 现 让 它 们 解 析 到 任 意 路 径 。 工 具 （ 来 自 s y m b o l i c l i n k - t e s t i n g - t o o l s ） 可 以 让 你 做 到 这 一 点 。 对 于 常 规 的 结 点 ， 你 也 可 以 使 用 和 P o w e r S h e l l 的 加 上 参 数 做 到 。 硬 链 接 硬 链 接 无 权 用 户 也 可 以 创 建 硬 链 接 ， 就 像 他 们 的 U n i x 系 统 一 样 ， 硬 链 接 将 作 为 一 个 现 有 文 件 的 额 外 路 径 。 它 不 适 用 于 目 录 或 跨 卷 ( 对 于 硬 链 接 来 说 没 有 意 义 ) 。 内 置 的 工 具 不 会 让 你 创 建 一 个 硬 链 接 到 一 个 你 没 有 写 权 限 的 文 件 ， 但 实 际 的 系 统 调 用 可 以 让 你 在 打 开 一 个 文 件 进 行 读 取 的 情 况 下 进 行 创 建 。 使 用 s y m b o l i c l i n k - t e s t i n g - t o o l s 中 的 工 具 （ 或 R u b e n   B o o n e n 的 这 个 P o w e r S h e l l 脚 本 ） 来 创 建 你 没 有 写 访 问 权 限 的 文 件 的 硬 链 接 。 要 注 意 的 是 ， 如 果 你 没 有 对 文 件 的 写 访 问 权 限 ， 你 将 无 法 删 除 所 创 建 的 链 接 （ 就 像 你 无 法 使 用 原 始 路 径 删 除 文 件 一 样 ） 。 更 新 ： 更 新 ： 这 一 技 术 正 在 在 即 将 推 出 的 W i n d o w s   1 0 版 本 中 得 到 缓 解 。 对 象 符 号 链 接 管 理 器 对 象 符 号 链 接 管 理 器 C : / D i r / f i l e . t x t C : / O t h e r f i l e . t x t C : D i r D : O t h e r D i r C r e a t e M o u n t P o i n t m k l i n k N e w - I t e m T y p e   J u n c t i o n C r e a t e H a r d L i n k
虽 然 N T F S 确 实 提 供 了 文 件 系 统 的 符 号 链 接 ， 但 在 W i n d o w s 上 ， 无 权 限 的 用 户 不 能 在 文 件 系 统 上 创 建 符 号 链 接 ： 它 需 要 S e C r e a t e S y m b o l i c L i n k P r i v i l e g e ， 默 认 情 况 下 ， 只 有 管 理 员 才 能 获 得 该 权 限 。 不 过 ， 无 权 限 的 用 户 可 以 在 W i n d o w s 的   “ 对 象 管 理 器   “ 中 创 建 符 号 链 接 ， 顾 名 思 义 ， 它 可 以 管 理 进 程 、 部 分 和 文 件 等 对 象 。 对 象 管 理 器 使 用 符 号 链 接 ， 例 如 驱 动 器 字 母 和 命 名 管 道 与 相 应 设 备 相 关 联 。 用 户 可 以 在 可 写 对 象 目 录 中 创 建 对 象 符 号 链 接 ， 如 ， 这 些 符 号 链 接 可 以 指 向 任 意 路 径 — 包 括 文 件 系 统 中 的 路 径 — 无 论 该 路 径 当 前 是 否 存 在 。 当 与 N T F S 连 接 点 结 合 时 ， 对 象 符 号 链 接 会 做 一 些 有 趣 的 事 情 。 事 实 上 ， 一 个 无 权 限 的 用 户 可 以 将 一 个 挂 载 点 与 该 目 录 中 的 对 象 管 理 器 符 号 连 接 起 来 ， 解 析 到 目 录 。 这 给 我 们 提 供 了 一 个 有 点 像 文 件 系 统 符 号 链 接 的 东 西 ： 在 上 图 中 ， 解 析 为 。 当 然 ， 这 并 不 是 完 全 等 同 的 ， 但 在 很 多 情 况 下 ， 这 种 条 件 足 以 让 我 们 进 行 攻 击 。 你 可 以 使 用 和 分 别 完 成 这 些 步 骤 ， 但 工 具 通 过 一 个 方 便 的 命 令 中 实 现 了 这 种 技 术 。 O p p o r t u n i s t i c   l o c k s o p l o c k 是 一 种 可 以 放 置 在 文 件 上 的 锁 ， 当 其 他 进 程 想 要 访 问 该 文 件 时 ， 它 可 以 被 告 知 — 同 时 延 迟 这 些 进 程 的 访 问 ， 以 便 锁 定 进 程 可 以 在 解 除 锁 之 前 让 文 件 处 于 适 当 的 状 态 。 o p l o c k s 最 初 是 为 通 过 S M B 缓 存 客 户 端 - 服 务 器 文 件 访 问 而 设 计 的 ， 可 以 通 过 调 用 文 件 句 柄 上 的 特 定 控 制 代 码 设 置 o p l o c k 。 o p l o c k 对 于 利 用 T O C T O U 的 b u g 是 很 有 用 的 ， 因 为 你 可 以 通 过 锁 定 一 个 试 图 打 开 的 文 件 或 目 录 来 轻 松 地 赢 得 与 进 程 的 竞 争 。 当 然 ， 它 也 有 一 些 限 制 ： 你 不 能 细 粒 度 地   “ 放 行   “ 一 个 访 问 （ 一 旦 锁 被 解 除 ， 所 有 待 定 的 访 问 都 会 发 生 ） ， 而 且 它 并 不 适 用 于 所 有 类 型 的 访 问 ， 但 它 通 常 非 常 有 效 。 工 具 可 以 让 你 创 建 这 些 锁 ， 并 阻 止 对 文 件 或 目 录 的 访 问 ， 直 到 你 按 回 车 键 释 放 锁 。 它 让 你 在 读 、 写 和 放 行 o p l o c k 之 间 进 行 选 择 。 同 样 ， J a m e s 将 这 一 技 术 与 之 前 的 技 术 相 结 合 ， 创 造 了 一 个 强 大 的 p r i m i t i v e ， 实 现 一 些 T O C T O U   b u g 的 利 用 ： 通 过 设 置 一 个 伪 s y m l i n k （ 和 之 前 一 样 ） ， 并 在 最 终 文 件 （ s y m l i n k 的 目 标 ） 上 放 置 一 个 o p l o c k ， 我 们 可 以 在 打 开 目 标 文 件 时 改 变 s y m l i n k （ 即 使 目 标 文 件 被 锁 定 ， s y m l i n k 也 没 有 被 锁 定 ） ， 并 使 其 指 向 另 一 个 目 标 文 件 。 在 上 述 设 置 中 ， 第 一 次 访 问 文 件 将 打 开 ， 第 二 次 访 问 将 打 开 。 工 具 用 独 占 的 o p l o c k s 实 现 了 这 种 技 术 ， 如 果 你 需 要 读 写 锁 ， 可 以 使 用 和 。 R P C   C O N T R O L R P C   C O N T R O L C : D i r f i l e . t x t C : O t h e r s t u f f . a n y C r e a t e M o u n t P o i n t C r e a t e D o s D e v i c e S y m l i n k C r e a t e S y m l i n k S e t O p L o c k C : D i r / f i l e . t x t C : O n e / f o o . x x x C : T w o / b a r . y y y B a i t A n d S w i t c h S e t O p L o c k C r e a t e S y m l i n k
E x p l o i t a t i o n   s t r a t e g i e s 一 个 典 型 的 例 子 一 个 典 型 的 例 子 让 我 们 考 虑 一 下 产 品 X 的 以 下 行 为 。 在 ( 具 有 默 认 / 继 承 访 问 权 的 目 录 ) 中 创 建 日 志 文 件 。 日 志 文 件 由 特 权 （ 系 统 ） 和 非 特 权 （ 用 户 ） 进 程 创 建 / 写 入 。 创 建 日 志 文 件 的 过 程 设 置 了 一 个 明 确 的 A C L ， 这 样 每 个 用 户 都 可 以 写 入 文 件 。 这 就 导 致 了 可 以 被 利 用 来 创 建 具 有 任 意 内 容 任 意 文 件 的 一 个 漏 洞 。 如 果 我 们 删 除 现 有 的 日 志 文 件 ， 并 将 日 志 目 录 变 成 与 的 连 接 点 （ 由 于 继 承 了 的 访 问 权 限 ） ， 产 品 X 的 特 权 进 程 将 在 目 录 下 创 建 日 志 。 我 们 也 可 以 使 用 s y m l i n k 技 术 转 移 一 个 特 定 的 日 志 文 件 （ 如 ） ， 以 攻 击 者 选 择 的 名 称 攻 击 者 选 择 的 名 称 创 建 一 个 任 意 文 件 ， 如 程 序 目 录 中 的 D L L 。 C : P r o g r a m D a t a P r o d u c t L o g s C : W i n d o w s S y s t e m 3 2 C : P r o g r a m D a t a S y s t e m 3 2 s o m e . l o g
因 为 特 权 进 程 也 对 日 志 文 件 设 置 了 允 许 写 入 的 A C L ， 所 以 我 们 也 可 以 根 据 自 己 的 喜 好 更 改 文 件 的 内 容 。 这 是 一 个 在 很 多 产 品 上 都 发 现 过 的 b u g ， 大 概 是 因 为 它 是 一 个 共 同 需 求 的 简 单 实 现 （ 日 志 文 件 可 被 所 有 组 件 — 用 户 和 系 统 组 件 写 入 ， 所 有 组 件 的 通 用 日 志 代 码 ） 。 在 过 去 一 年 多 的 时 间 里 ， 我 们 看 到 了 好 几 个 这 样 的 例 子 。 C y l a n c e ， 作 者 ： R y a n   H a n s o n B e n   T u r n e r 在 S y m a n t e c   /   A l t i r i s   a g e n t 中 发 现 了 这 个 b u g 。 在 M c A f e e   E n d p o i n t   S e c u r i t y 中 。 ( 已 打 补 丁 ) M a r k   B a r n e s 的 N V I D I A   G e F o r c e   E x p e r i e n c e 和 I n t e l   D r i v e r   &   S u p p o r t   A s s i s t a n t 。 在 P u l s e   S e c u r e   V P N 客 户 端 中 ( 未 打 补 丁 ) ( 碰 撞 与 M a t t   B u s h ) 从 任 意 文 件 写 入 到 权 限 升 级 。 从 任 意 文 件 写 入 到 权 限 升 级 。 在 特 权 进 程 的 上 下 文 中 ， 通 过 任 意 写 入 文 件 来 获 得 代 码 执 行 的 两 种 常 用 技 术 是 ： D L L 劫 持 ： 在 一 个 特 权 进 程 将 加 载 它 的 位 置 创 建 一 个 D L L ( 在 应 用 程 序 的 目 录 中 ， 在 、 或 的 上 的 其 他 目 录 中 ) 。 它 需 要 一 个 方 法 来 （ 重 新 ） 启 动 那 个 特 权 进 程 来 加 载 这 个 D L L 。 覆 盖 ： 替 换 现 有 的 二 进 制 文 件 / 脚 本 / 配 置 文 件 / 等 ， 会 给 我 们 代 码 执 行 的 权 限 。 除 了 需 要 ( 重 新 ) 启 动 进 程 外 ， 还 需 要 文 件 写 入 操 作 来 允 许 覆 盖 现 有 的 文 件 ( 另 外 目 标 文 件 不 应 该 被 锁 定 ) ， 并 且 通 常 对 特 定 的 服 务 / 应 用 程 序 要 求 的 非 常 具 体 。 至 少 有 两 种 不 太 知 名 的 技 术 。 使 用 在 3 2 位 特 权 进 程 中 加 载 6 4 位 D L L 。 这 个 D L L 在 默 认 情 况 下 并 不 存 在 （ W i n d o w s 1 0   消 费 者 版 本 上 ） ， 它 在 所 有 3 2 位 进 程 中 加 载 。 然 而 ， 这 个 D L L 不 能 直 接 通 过 K e r n e l 3 2 导 入 ， 所 以 如 果 想 导 入 它 必 须 只 使 用 N T D L L   A P I s ， 当 然 这 只 有 在 你 有 一 个 3 2 位 进 程 要 注 入 的 时 候 才 有 效 ( 同 样 也 是 一 种 启 动 它 的 方 法 ) 。 A F A I K 这 个 技 巧 是 由 G e o r g e   N i c o l a o u 发 现 的 ( 我 可 以 找 到 的 第 一 个 参 考 资 料 ) 和 由 W a l i e d   A s s a r 记 录 的 。 使 用   “ D i a g n o s t i c s   H u b   S t a n d a r d   C o l l e c t o r   S e r v i c e ” ： 这 项 技 术 是 由   -   你 猜 对 了   -   J a m e s   F o r s h a w 发 现 的 ， 在 G P Z 的 一 篇 博 客 文 章 中 详 细 解 释 ， 并 在 e x a m p l e   e x p l o i t 中 公 布 了 作 为 案 例 研 究 的 b u g 。 这 篇 文 章 非 常 值 得 一 读 ， 其 要 点 是 ： S y s t e m 3 2 W i n d o w s S Y S T E M % P A T H % C : W i n d o w s / S y s t e m 3 2 / W o w 6 4 L o g . d l l
D i a g H u b 服 务 （ 以   “ S Y S T E M   “ 的 形 式 运 行 ） 可 以 从   “ S y s t e m 3 2   “ 加 载 任 何 扩 展 名 的 文 件 作 为 D L L 。 因 此 ， 如 果 你 能 在 中 创 建 一 个 带 有 有 效 载 荷 的 文 件 ( 当 然 文 件 内 容 必 须 是 D L L ) ， 只 需 使 用 该 技 术 在 特 权 服 务 中 加 载 该 D L L 。 然 而 ， 这 种 技 术 正 在 在 即 将 到 来 的 W i n d o w s   1 0 版 本 中 得 到 缓 解 。 控 制 内 容 控 制 内 容 这 些 技 术 需 要 对 创 建 的 文 件 内 容 进 行 控 制 ： 如 果 你 可 以 劫 持 创 建 一 个 文 件 到 任 意 位 置 ， 但 无 法 控 制 该 文 件 中 的 内 容 ， 那 么 它 的 作 用 就 非 常 有 限 。 在 我 们 的 例 子 b u g 中 ， 我 们 有 一 个 很 好 的 A C L ， 由 特 权 程 序 对 生 成 的 文 件 进 行 设 置 ， 但 如 果 我 们 没 有 这 个 奢 侈 条 件 呢 ？ 我 们 可 以 尝 试 针 对 其 他 操 作 。 在 我 们 的 日 志 记 录 例 子 中 ， 假 设 日 志 记 录 功 能 在 日 志 达 到 一 定 大 小 的 时 候 对 文 件 进 行 移 动 ， 一 个 特 权 进 程 可 能 会 移 动 或 重 命 名 日 志 文 件 （ 例 如 从 到 ） 。 那 么 我 们 就 可 以 利 用 符 号 链 接 来 滥 用 这 个 操 作 。 在 重 命 名 / 移 动 操 作 中 ， 用 指 向 我 们 的 有 效 载 荷 ( ) 的 伪 链 接 替 换 源 文 件 。 将 目 标 文 件 替 换 为 我 们 要 创 建 或 替 换 的 文 件 的 伪 链 接 ( 这 里 是 ) 所 以 ， 当 重 命 名 操 作 发 生 时 的 布 局 是 这 样 的 。 当 特 权 进 程 试 图 将 移 动 或 重 命 名 为 时 ， 它 实 际 上 会 将 用 户 拥 有 的 文 件 移 动 / 重 命 名 为 ， 将 我 们 的 有 效 载 荷 放 在 我 们 想 要 他 在 的 位 置 。 可 以 控 制 的 特 权 文 件 移 动 / 重 命 名 / 复 制 的 情 况 如 下 ： 一 个 受 控 的 移 动 或 重 命 名 给 我 们 提 供 了 任 意 的 文 件 写 的 能 力 如 果 能 够 控 制 复 制 的 源 地 址 和 目 的 地 址 也 是 一 样 的 复 制 操 作 ， 我 们 控 制 源 头 ， 而 不 是 目 的 地 ， 给 了 我 们 一 个 任 意 的 文 件 读 取 （ 如 果 目 的 地 的 位 置 是 用 户 可 读 的 ） 我 们 控 制 源 头 而 不 控 制 目 标 的 移 动 / 重 命 名 目 的 地 ， 给 了 我 们 一 个 任 意 删 除 文 件 的 机 会 S i d e   n o t e s : 附 注 ： S y s t e m 3 2 t e s t . l o g a b c . l o g a b c . o l d . l o g s h . d l l t a r g e t . d l l a b c . l o g a b c . o l d . l o g s h . d l l t a r g e t . d l l
覆 盖 目 的 地 的 能 力 取 决 于 执 行 操 作 的 进 程 所 使 用 的 选 项 。 如 果 目 标 文 件 已 经 存 在 ， 我 们 也 可 以 使 用 硬 链 接 而 不 是 伪 链 接 A   c o m m o n   w a y   t o   a b u s e   a r b i t r a r y   f i l e   r e a d   i s   t o   g e t   t h e   ,     a n d     h i v e s   t o   d u m p t h e     d a t a b a s e   a n d   c a c h e d   c r e d e n t i a l s 滥 用 任 意 文 件 读 取 的 一 个 常 见 方 法 是 让 、 以 及   h i v e 去 获 得 数 据 库 以 及 其 中 缓 存 的 凭 证 。 从 任 意 删 除 文 件 到 权 限 提 升 从 任 意 删 除 文 件 到 权 限 提 升 我 们 谈 到 了 任 意 文 件 读 写 ， 那 么 删 除 呢 ？ 除 了 明 显 的 D o S 隐 患 外 ， 我 们 有 时 会 滥 用 任 意 文 件 删 除 b u g 进 行 E o P ： 在 一 个 我 们 可 以 写 入 的 位 置 ， 即 使 我 们 不 能 覆 盖 其 中 已 有 的 文 件 ， 如 这 个 目 录 。 这 个 将 在 之 后 被 一 个 有 特 权 的 进 程 用 于 读 或 写 操 作 ( 无 论 它 是 我 们 滥 用 删 除 的 同 一 进 程 还 是 不 同 的 进 程 ) 举 个 例 子 ， 如 果 我 们 知 道 如 何 触 发 从 到 的 移 动 / 重 命 名 ， 但 这 些 文 件 已 经 存 在 ， 而 且 我 们 没 有 对 它 们 的 写 访 问 权 限 ， 我 们 可 以 使 用 一 个 任 意 的 文 件 删 除 错 误 来 删 除 f o o 和 b a r ， 然 后 自 己 重 新 创 建 它 们 （ 同 样 假 设 子 目 录 的 默 认 权 限 ） 。 我 们 可 以 利 用 前 面 的 技 术 滥 用 写 操 作 （ 如 果 目 录 现 在 是 空 的 ， 则 伪 造 s y m l i n k ， 否 则 硬 链 接 ） ， 完 成 文 件 链 接 。 利 用 杀 毒 软 件 利 用 杀 毒 软 件 杀 毒 软 件 是 这 一 类 b u g 的 主 要 产 生 的 地 方 ， 因 为 它 是 一 个 高 权 限 的 软 件 。 根 据 设 计 ， 它 必 须 对 文 件 进 行 操 作 ， 包 括 用 户 拥 有 的 文 件 。 执 行 扫 描 、 删 除 、 还 原 操 作 的 特 权 进 程 ， 会 被 我 们 用 来 执 行 有 趣 的 文 件 操 作 ， 把 杀 毒 软 件 的 防 御 组 件 变 成 潜 在 的 漏 洞 利 用 方 式 。 A V   q u a r a n t i n e   &   r e s t o r e 杀 毒 软 件 的 隔 离 和 恢 复 功 能 特 别 有 趣 ， 尤 其 是 当 它 们 可 以 被 无 权 用 户 触 发 时 （ 有 时 不 是 在 用 户 界 面 上 ， 而 是 通 过 C O M 劫 持 ） 。 触 发 隔 离 ( 或 移 除 ) 的 最 简 单 方 法 当 然 是 将 一 个 已 知 的 检 测 到 的 文 件 ( 如 E I C A R ) 放 到 文 件 系 统 中 。 有 趣 的 是 ， 一 些 A V s 会 在 删 除 之 前 对 检 测 到 的 文 件 进 行 特 权 操 作 ， 比 如 。 在 同 一 目 录 下 创 建 / 删 除 临 时 文 件 。 将 受 感 染 的 文 件 复 制 或 移 动 到 用 户 可 写 的 位 置 。 将 受 感 染 的 文 件 复 制 或 移 动 到 一 个 用 户 可 读 的 隔 离 区 位 置 （ 如 果 你 利 用 了 这 一 点 ， 你 的 文 件 就 能 够 被 读 取 ） 。 临 时 文 件 和 隔 离 文 件 有 时 会 被 编 码 填 充 ， 如 果 你 想 看 看 算 法 （ 读 取 结 果 文 件 ） ， 在 启 动 I D A / G h i d r a 之 前 ， 最 好 先 去 H e x a c o r n 的 D e X R A Y 看 看 。 而 还 原 过 程 中 ， 如 果 能 被 非 特 权 用 户 触 发 ， 则 是 另 一 个 特 权 文 件 写 入 b u g （ 例 子 h t t p s : / / b o g n e r . s h / 2 0 1 7 / 1 1 / a v g a t e r - g e t t i n g - l o c a l - a d m i n - b y - a b u s i n g - t h e - a n t i - v i r u s - q u a r a n t i n e / ） 。 要 控 制 内 容 ， 要 么 在 删 除 或 还 原 过 程 中 寻 找 潜 在 的 T O C T O U ， 要 么 让 你 的 p a y l o a d 足 够   “ 恶 意 ” ， 一 开 始 就 被 直 接 隔 离 。 转 移 文 件 删 除 转 移 文 件 删 除 / 移 动 的 位 置 移 动 的 位 置 如 果 A V 在 检 测 和 删 除 / 隔 离 （ T O C T O U ） 之 间 没 有 锁 定 （ 或 以 其 他 方 式 阻 止 访 问 ） 。 我 们 可 以 使 用 一 个 有 趣 的 技 巧 ， 就 是 用 一 个 结 点 来 替 换 它 的 父 目 录 （ 在 检 测 之 后 但 在 删 除 之 前 ） 。 如 果 我 们 想 删 除 一 些 我 们 没 有 访 问 权 限 的 文 件 （ 比 S A M S E C U R I T Y S Y S T E M S A M S A M S E C U R I T Y S Y S T E M S A M C : P r o g r a m D a t a C : P r o g r a m D a t a P r o d u c t f o o C : P r o g r a m D a t a P r o d u c t b a r P r o d u c t P r o d u c t S A M
如 ） ， 我 们 可 以 这 样 进 行 。 将 E I C A R ( 或 任 何 可 检 测 的 文 件 ) 放 入 我 们 创 建 的 目 录 中 ， 与 目 标 文 件 同 名 ， 例 如 。 等 待 A V 检 测 到 它 删 除 或 重 命 名 母 目 录 。 将 其 改 为   “ C : / W i n d o w s / S y s t e m 3 2   “ 的 连 接 点 。 A V 删 去 C : W i n d o w s / S y s t e m 3 2 / l i c e n c e . r t f ’ 。 正 确 的 方 法 是 使 用   o p l o c k s ， 然 而 在 实 践 中 并 不 总 是 那 么 容 易 ， 因 为 文 件 在 被 删 除 之 前 可 能 会 被 访 问 （ 可 变 ） 多 次 ， 而 且 缺 乏 精 细 的 控 制 会 使 这 变 得 很 棘 手 。 一 个 快 速 的 方 法 是 简 单 地 在 目 录 旁 边 创 建 结 点 ， 然 后 做 一 个 循 环 ， 不 断 交 换 两 者 。 根 据 A V 检 索 要 删 除 的 路 径 和 删 除 文 件 的 方 式 ， 我 们 可 能 有 合 理 的 机 会 删 除 击 中 结 点 ， 我 们 可 以 根 据 需 要 重 试 。 剧 透 ： 在 几 个 A V 产 品 上 确 实 有 效 ， 在 其 他 产 品 上 完 全 无 效 ） 。 显 然 ， 所 有 这 些 都 不 是 很 隐 蔽 ， 但 如 果 没 有 适 当 的 事 件 转 发 ， 你 的 第 一 个 目 标 文 件 可 能 就 是 事 件 日 志 : ) B u g s   f o u n d 去 年 年 初 在 常 见 的 软 件 产 品 中 发 现 了 几 个 这 样 的 b u g ， 并 向 各 自 的 厂 商 进 行 了 汇 报 ， 其 中 一 些 厂 商 已 经 发 布 了 修 复 程 序 。 下 表 总 结 了 我 们 发 现 的 错 误 及 其 状 态 。 C : W i n d o w s S y s t e m 3 2 l i c e n s e . r t f C : T e m p T e s t l i c e n c e . r t f C : T e m p T e s t C : T e m p T e s t / l i c e n c e . r t f ' ， 改 为
结 论 结 论 我 希 望 这 篇 文 章 能 让 一 些 新 人 开 始 寻 找 与 文 件 相 关 的 逻 辑 权 限 升 级 b u g ， 以 及 尽 可 能 多 的 理 由 让 厂 商 和 开 发 者 针 对 这 类 b u g 对 其 产 品 进 行 加 固 / 修 复 。 当 然 要 感 谢 J a m e s   F o r s h a w 给 我 们 提 供 了 这 些 酷 炫 的 技 术 ， 感 谢 那 些 反 应 够 快 的 厂 商 （ 特 别 要 提 到 F - S e c u r e 安 全 团 队 ） ， 感 谢 G r e H a c k 和 T R O O P E R S 让 我 上 台 讲 解 ， 也 感 谢 帮 我 准 备 讲 座 和 本 文 的 队 友 们 。 原 文 链 接 原 文 链 接 h t t p s : / / o f f s e c . a l m o n d . c o n s u l t i n g / i n t r o - t o - f i l e - o p e r a t i o n - a b u s e - o n - W i n d o w s . h t m l 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理