搜索

[16438] 2021-02-14_SonicWallGlobalVPN客户端新型权限提升漏洞分析

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2021-02-14_SonicWallGlobalVPN客户端新型权限提升漏洞分析 S o n i c W a l l   G l o b a l   V P N 客 户 端 新 型 权 限 提 升 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 1 4 概 述 概 述 今 年 疫 情 依 然 形 势 严 峻 ， 这 对 我 们 的 日 常 生 活 和 工 作 都 带 来 了 很 大 的 改 变 。 对 于 工 作 来 说 ， 很 多 公 司 都 将 一 些 业 务 转 移 到 了 线 上 去 完 成 ， 因 此 V P N 的 安 全 就 变 得 至 关 重 要 了 。 在 这 篇 文 章 中 ， 我 们 将 分 析 S o n i c W a l l   G l o b a l V P N （ W i n d o w s 客 户 端 ） 中 新 发 现 的 一 个 权 限 提 升 漏 洞 。 可 执 行 文 件 搜 索 命 令 劫 持 可 执 行 文 件 搜 索 命 令 劫 持 W i n d o w s 系 统 使 用 一 种 通 用 的 方 法 来 查 找 需 要 加 载 的 可 执 行 文 件 或 D L L 。 当 正 在 运 行 的 进 程 在 没 有 指 定 特 定 路 径 的 情 况 下 搜 索 可 执 行 文 件 时 ， W i n d o w s 将 按 已 知 顺 序 通 过 目 录 搜 索 可 执 行 文 件 。 如 果 操 作 系 统 找 不 到 可 执 行 文 件 ， W i n d o w s 将 在 P A T H 环 境 变 量 中 搜 索 ， 这 是 万 不 得 已 的 办 法 — 首 先 搜 索 系 统 范 围 内 的 P A T H 环 境 变 量 ， 该 变 量 只 能 由 A d m i n i s t r a t o r s 组 的 成 员 修 改 ， 然 后 搜 索 用 户 的 P A T H 环 境 变 量 ， 该 变 量 也 可 以 由 用 户 自 己 修 改 。 在 本 文 中 ， 我 们 将 不 关 注 特 权 进 程 依 赖 于 用 户 拥 有 的 P A T H 环 境 变 量 的 情 况 。 但 是 ， 我 们 将 讨 论 更 常 用 的 系 统 范 围 内 的 P A T H 环 境 变 量 ， 它 由 特 权 目 录 列 表 组 成 ， 其 中 包 含 系 统 范 围 内 的 常 用 可 执 行 文 件 ：
对 于 最 佳 实 践 方 案 ， 特 权 应 用 程 序 不 应 依 赖 于 可 执 行 搜 索 顺 序 机 制 ， 尤 其 是 P A T H 环 境 变 量 ， 即 使 它 们 的 可 执 行 文 件 可 以 在 加 载 顺 序 的 任 何 步 骤 中 的 默 认 目 录 中 找 到 。 如 果 攻 击 者 成 功 地 修 改 了 搜 索 顺 序 并 将 可 控 制 的 目 录 放 在 其 中 的 内 置 目 录 之 前 ， 那 么 攻 击 者 将 获 取 到 依 赖 于 P A T H 路 径 的 可 执 行 文 件 的 执 行 权 限 。 要 做 到 这 一 点 ， 必 须 拥 有 这 些 系 统 环 境 变 量 的 写 入 权 限 。 默 认 情 况 下 ， 非 特 权 用 户 是 没 有 这 种 权 限 的 。 因 此 ， 攻 击 者 必 须 是 A d m i n i s t r a t o r s 组 的 成 员 。 为 此 目 的 而 升 级 到 管 理 权 限 并 不 是 一 件 小 事 ， 因 此 这 似 乎 是 一 条 死 胡 同 。 但 是 ， 由 于 已 安 装 的 应 用 程 序 也 会 使 用 P A T H ， 一 些 应 用 程 序 （ 比 如 说 P y t h o n ） 通 过 将 自 己 创 建 的 目 录 放 在 P A T H 中 来 更 改 搜 索 顺 序 ， 而 不 必 遵 循 W i n d o w s 在 默 认 目 录 中 的 权 限 方 面 强 制 执 行 的 相 同 标 准 。 值 得 注 意 的 是 ， 这 些 错 误 配 置 可 能 会 被 无 权 限 用 户 用 来 提 升 权 限 （ 稍 后 将 详 细 说 明 ） 。 漏 洞 分 析 漏 洞 分 析 当 S o n i c W a l l   G l o b a l   V P N 客 户 端 在 安 装 或 卸 载 的 时 候 ， 它 会 使 用 一 个 W i n d o w s   I n s t a l l e r ， 而 这 个 程 序 是 以 S Y S T E M 权 限 执 行 的 。 为 了 安 装 （ 或 卸 载 ） “ S o n i c W a l l   I P S e c 驱 动 程 序 ” ， I n s t a l l e r 将 提 取 d n e i n s t . e x e ， 该 组 件 是 D N E （ 一 个 C i t r i x 应 用 程 序 ， 它 扩 展 了 操 作 系 统 和 网 络 协 议 设 备 ） 的 一 部 分 ， 这 个 组 件 也 会 以 S Y S T E M 权 限 运 行 。 在 执 行 过 程 中 ， d n e i n s t . e x e 将 创 建 P o w e r S h e l l 进 程 以 执 行 P o w e r S h e l l 命 令 ， 而 不 会 指 定 完 整 的 p o w e r s h e l l . e x e 路 径 ， 这 种 在 最 高 安 全 权 限 上 执 行 的 行 为 将 会 导 致 安 全 漏 洞 的 出 现 。 通 常 ， 要 进 行 安 全 的 C r e a t e P r o c e s s 调 用 ， 最 佳 实 践 是 使 用 完 整 路 径 来 进 行 调 用 。 在 这 种 情 况 下 ， p o w e r s h e l l . e x e 仅 通 过 其 文 件 名 调 用 ， 此 时 会 触 发 W i n d o w s 按 以 下 顺 序 搜 索 p o w e r s h e l l . e x e ： P o w e r s h e l l . e x e 通 常 可 以 在 下 列 路 径 中 找 到 ： C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e C : W i n d o w s S y s W O W 6 4 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e 因 此 ， 执 行 将 在 最 后 一 步 成 功 地 将 其 加 载 到 P A T H 中 。 但 是 ， 如 果 一 个 系 统 安 装 了 P y t h o n ， 那 么 P y t h o n 路 径 将 添 加 到 P A T H 环 境 变 量 中 ， 并 且 要 先 于 p o w e r s h e l l . e x e 的 目 录 位 置 。
当 P y t h o n 创 建 这 些 目 录 （ 例 如 C : P y t h o n 2 7 ） 时 ， 它 们 被 授 予 许 可 权 限 ， 允 许 任 何 经 过 身 份 验 证 的 用 户 （ 包 括 未 经 授 权 的 用 户 ） 向 这 些 位 置 进 行 写 入 ： 而 开 发 人 员 的 责 任 ， 就 是 要 确 保 执 行 不 能 被 这 种 行 为 所 篡 改 ！ 漏 洞 利 用 漏 洞 利 用 为 了 利 用 该 漏 洞 ， 标 准 用 户 需 要 创 建 一 个 恶 意 文 件 ， 并 将 其 命 名 为 p o w e r s h e l l . e x e ， 然 后 将 其 拷 贝 到 自 己 所 能 访 问 的 每 一 个 目 录 之 中 ， 而 且 顺 序 一 定 要 在 系 统 范 围 P A T H 环 境 变 量 中 C : W i n d o w s S y s W O W 6 4 W i n d o w s P o w e r S h e l l v 1 . 0 的 前 面 。 比 如 说 ， C : P y t h o n 2 7 。 接 下 来 ， 我 们 只 需 要 等 待 P o w e r S h e l l 脚 本 运 行 就 可 以 了 。 概 念 验 证 概 念 验 证 P o C 在 我 们 的 漏 洞 利 用 P o C 中 ， 我 们 创 建 了 一 个 名 为 “ m a l i c i o u s ” 的 文 件 ， 它 讲 解 吃 p o w e r s h e l l . e x e ， 并 弹 出 一 个 命 令 行 S h e l l ： 视 频 视 频 地 址 ： 【 点 击 底 部 阅 读 原 文 获 取 】 地 址 ： 【 点 击 底 部 阅 读 原 文 获 取 】
精 彩 推 荐 精 彩 推 荐 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理