搜索

[28012] 2019-12-31_CVE-2019-12750：SymantecEndpointProtection本地特权升级-第1部分

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-19
2019-12-31_CVE-2019-12750：SymantecEndpointProtection本地特权升级-第1部分 C V E - 2 0 1 9 - 1 2 7 5 0 ： S y m a n t e c   E n d p o i n t   P r o t e c t i o n 本 地 特 权 升 级 - 第 1 部 分 原 创   o t s 安 全   O t s 安 全   2 0 1 9 - 1 2 - 3 1 恶 意 应 用 程 序 可 以 利 用 S y m a n t e c   E n d p o i n t   P r o t e c t i o n 中 的 漏 洞 泄 漏 特 权 信 息 和 / 或 以 更 高 的 特 权 执 行 代 码 ， 从 而 完 全 控 制 受 影 响 的 主 机 。 受 影 响 的 产 品 受 影 响 的 产 品 S y m a n t e c   E n d p o i n t   P r o t e c t i o n   v 1 4 . x   < v 1 4 . 2 （ R U 1 ） S y m a n t e c   E n d p o i n t   P r o t e c t i o n   v 1 2 . x   < 1 2 . 1 （ R U 6   M P 1 0 ） S y m a n t e c   E n d p o i n t   P r o t e c t i o n 小 型 企 业 版 v 1 2 . x   < 1 2 . 1 （ R U 6   M P 1 0 c ） 简 介 ： 漏 洞 分 析 简 介 ： 漏 洞 分 析 – 方 法 论 方 法 论 几 个 月 前 ， 当 在 最 新 版 本 的 S y m a n t e c   E n d p o i n t   P r o t e c t i o n （ S E P   v 1 4 . 2   B u i l d   2 4 8 6 ） 软 件 中 寻 找 本 地 特 权 升 级 漏 洞 时 ， 我 们 遇 到 了 隐 藏 了 几 年 的 漏 洞 。 此 外 ， W i n d o w s   1 0   v 1 8 0 9 中 引 入 了 有 关 内 核 池 分 配 的 最 新 安 全 更 新 ， 这 使 我 们 有 机 会 实 施 另 一 种 方 法 ， 以 成 功 利 用 当 前 可 用 的 最 新 版 本 中 的 漏 洞 。 v 1 9 0 9 。 由 于 我 们 使 用 的 两 种 方 法 之 间 存 在 很 大 差 异 ， 因 此 我 们 决 定 将 本 文 分 为 两 部 分 。 在 第 一 部 分 中 ， 我 们 将 讨 论 实 际 的 错 误 以 及 在 早 期 W i n d o w s 版 本 W i n d o w s   7 至 1 0   v 1 8 0 3 中 如 何 利 用 它 ， 而 无 其 他 内 核 模 式 执 行 控 制 要 求 。 在 第 二 部 分 中 ， 我 们 将 采 用 一 种 更 复 杂 的 方 法 ， 由 于 W i n d o w s   1 0   v 1 8 0 9 及 更 高 版 本 中 新 引 入 了 用 于 内 核 模 式 池 分 配 的 低 碎 片 堆 （ L F H ） ， 因 此 需 要 对 易 受 攻 击 的 产 品 进 行 进 一 步 分 析 ， 这 打 破 了 第 一 种 利 用 方 法 。 为 了 在 内 核 模 式 下 获 得 代 码 执 行 ， 同 时 绕 过 S M E P 和 K A S L R 等 其 他 利 用 缓 解 措 施 ， 这 是 必 需 的 。 S y m a n t e c   E n d p o i n t   P r o t e c t i o n   – 漏 洞 分 析 漏 洞 分 析 创 建 新 进 程 后 ， S E P 将 注 入 一 个 名 为 “   s y s f e r . d l l ” 的 D L L 模 块 ， 该 模 块 在 加 载 后 会 发 出 一 系 列 输 入 输 出 控 制   （ I O C T L ） 请 求 。 在 这 种 情 况 下 ， 我 们 对 发 送 到 “   S y s P l a n t . s y s ” 内 核 驱 动 程 序 的 I O C T L   0 x 2 2 2 0 1 4 感 兴 趣 。 在 处 理 此 请 求 期 间 ， 编 程 错 误 使 恶 意 攻 击 者 能 够 泄 漏 和 破 坏 内 核 模 式 数 据 。 特 别 是 ， 通 过 检 查 在 此 I O C T L 请 求 期 间 执 行 的 子 例 程 之 一 ， 我 们 看 到 发 生 了 以 下 步 骤 ：
1 .   调 用 E x A l l o c a t e P o o l 在 页 面 缓 冲 池 中 分 配 大 小 为 0 x 1 4 字 节 的 缓 冲 区 。 2 .   调 用 I o A l l o c a t e M d l 为 该 缓 冲 区 分 配 一 个 内 存 描 述 符 列 表 。 3 .   调 用 M m P r o b e A n d L o c k P a g e s 来 探 测 并 锁 定 内 存 中 的 关 联 页 面 。 4 .   调 用 M m M a p L o c k e d P a g e s S p e c i f y C a c h e 将 这 些 页 面 映 射 到 另 一 个 虚 拟 地 址 范 围 （ 图 1 ） 。 图 1   – 在 用 户 模 式 下 映 射 页 面 缓 冲 池 块 上 述 步 骤 的 最 后 一 个 步 骤 在 调 用 过 程 的 上 下 文 中 以 用 户 模 式 映 射 池 块 。 但 是 ， 在 映 射 缓 冲 区 时 ， 也 会 映 射 应 用 缓 冲 区 范 围 的 整 个 内 存 页 面 。 在 这 种 情 况 下 ， 缓 冲 区 将 分 配 一 个 很 小 的 块 ， 该 块 占 用 总 计 0 x 3 0 字 节 （ 缓 冲 区 大 小 + 池 头 + 对 齐 填 充 ） 。 这 意 味 着 ， 通 过 在 用 户 模 式 下 映 射 此 池 块 ， 我 们 还 会 泄 漏 其 余 的 内 存 页 面 。 这 基 本 上 是 可 能 包 含 其 他 特 权 信 息 的 附 加 内 核 内 存 的 0 x F D 0 （ 4 0 4 8 ） 字 节 。 不 幸 的 是 ， 这 还 不 是 全 部 。 默 认 情 况 下 ， 内 存 页 被 映 射 为 可 写 的 ， 这 也 使 用 户 模 式 进 程 可 以 修 改 其 内 容 。 应 用 于 u s e r l a n d 映 射 的 内 存 页 面 的 任 何 修 改 都 将 反 映 到 原 始 内 核 模 式 内 存 页 面 。 为 了 减 轻 信 息 泄 漏 ， 驱 动 程 序 应 分 配 一 个 内 核 模 式 缓 冲 区 ， 该 缓 冲 区 的 大 小 是 系 统 使 用 的 内 存 页 大 小 的 倍 数 - 通 常 为 4 K B 。 在 发 生 任 何 映 射 之 前 ， 必 须 先 清 理 （ 填 充 零 ） 此 缓 冲 区 。 附 带 说 明 一 下 ， 内 核 模 式 缓 冲 区 仍 应 映 射 到 用 户 地 址 空 间 ， 不 应 释 放 它 。 否 则 ， 任 何 写 入 该 缓 冲 区 的 新 数 据 也 将 在 用 户 区 泄 漏 。 至 于 内 核 模 式 缓 冲 区 的 映 射 也 应 该 是 只 读 的 这 一 事 实 ， 从 W i n d o w s   8 开 始 ， 在 调 用 M m M a p L o c k e d P a g e s S p e c i f y C a c h e 函 数 时 可 以 使 用 M d l M a p p i n g N o W r i t e 标 志 。 如 上 所 述 ， 传 递 给 M m M a p L o c k e d P a g e s S p e c i f y C a c h e 的 第 一 个 参 数 是 指 向 第 二 步 中 分 配 的 M D L 结 构 的 指 针 。
图 2   –   M D L 结 构 我 们 对 该 结 构 的 三 个 突 出 显 示 的 成 员 感 兴 趣 ： S t a r t V a   – 内 存 页 面 的 起 始 地 址 B y t e C o u n t   –   M D L 描 述 的 缓 冲 区 大 小 B y t e O f f s e t   – 内 存 页 面 内 缓 冲 区 的 起 始 偏 移 量 开 发 人 员 的 意 图 是 将 大 小 为 0 x 1 4 字 节 的 小 缓 冲 区 映 射 到 调 用 进 程 的 用 户 模 式 地 址 空 间 中 。 但 是 ， 系 统 将 映 射 整 个 内 存 页 面 ， 而 不 仅 仅 是 所 需 的 池 块 ， 如 下 图 所 示 （ 图 3 、 4 ） 。 图 3   – 内 核 模 式 缓 冲 区
图 4   – 用 户 模 式 映 射 的 缓 冲 区 首 先 ， 这 是 一 个 好 发 现 ， 但 是 我 们 希 望 对 此 做 更 多 的 事 情 ， 而 不 仅 仅 是 在 用 户 区 中 公 开 页 面 缓 冲 池 的 内 存 。 请 注 意 ， 在 模 块 加 载 阶 段 ， 每 个 进 程 只 能 使 用 一 次 。 因 此 ， 我 们 不 能 在 同 一 过 程 中 多 次 重 复 使 用 同 一 I O C T L ， 以 在 用 户 区 中 映 射 其 他 内 核 内 存 页 面 。 另 一 方 面 ， 由 于 内 核 对 象 一 直 都 在 分 配 和 释 放 ， 因 此 与 这 些 对 象 相 关 联 的 映 射 页 面 的 内 容 将 不 断 变 化 。 但 是 ， 通 过 在 我 们 自 己 的 函 数 中 重 新 使 用 相 同 的 I O C T L ， 一 旦 初 始 化 了 进 程 ， 便 可 以 找 到 该 块 所 映 射 的 用 户 区 地 址 。 知 道 这 一 点 ， 我 们 也 可 以 通 过 屏 蔽 最 后 两 个 字 节 （ V A ＆ 0 x F F F F F 0 0 0 ） 来 找 到 特 定 页 面 用 户 区 中 的 基 址 ， 假 设 页 面 分 配 粒 度 为 4 K B 。 一 旦 有 了 这 些 信 息 ， 我 们 就 可 以 解 析 映 射 的 页 面 以 找 到 信 息 和 有 趣 的 对 象 ， 我 们 可 以 使 用 这 些 对 象 来 进 一 步 利 用 这 些 信 息 。 剥 削 （ 剥 削 （ W i n   7   –   W i n   1 0   v 1 8 0 3 ） ） 在 开 发 文 章 的 第 一 部 分 中 ， 我 们 将 重 点 介 绍 W i n   1 0   v 1 8 0 9 之 前 的 W i n d o w s 版 本 。 这 也 将 帮 助 我 们 在 第 二 部 分 中 了 解 L F H 应 用 于 内 核 池 分 配 如 何 影 响 了 最 新 W i n   1 0 版 本 中 的 漏 洞 利 用 。 因 此 ， 在 这 一 部 分 中 ， 我 们 将 重 点 介 绍 W i n   1 0   v 1 8 0 3 。 由 于 每 个 进 程 只 能 泄 漏 一 个 页 面 缓 冲 的 池 内 存 页 面 ， 并 且 不 同 的 进 程 也 可 能 泄 漏 同 一 页 面 （ 如 果 有 可 用 块 ， 则 多 个 0 x 3 0 字
节 卡 盘 中 的 一 个 可 以 容 纳 ） ， 因 此 我 们 从 启 动 一 堆 进 程 开 始 。 每 个 过 程 都 使 用 上 述 I O C T L 来 获 取 用 户 区 中 映 射 页 面 的 基 地 址 ， 并 将 该 数 据 保 存 在 文 件 中 以 供 进 一 步 研 究 。 创 建 了 一 些 流 程 之 后 ， “ 魔 术 ” 开 始 发 生 。 图 5   – 泄 漏 的 令 牌 对 象 我 们 注 意 到 ， 有 时 我 们 能 够 泄 漏 令 牌 对 象 ， 这 是 内 核 L P E 漏 洞 利 用 的 众 所 周 知 的 目 标 。 是 的 ， 这 些 是 页 面 缓 冲 对 象 ， 现 在 我 们 拥 有 它 们 。 请 注 意 ， 泄 漏 的 内 存 页 不 一 定 包 含 与 调 用 过 程 关 联 的 对 象 分 配 。 实 际 上 ， 通 常 不 会 有 任 何 东 西 。 这 些 主 要 是 随 机 页 面 ， 这 些 随 机 页 面 在 发 生 上 述 I O C T L 请 求 时 泄 漏 ， 并 且 在 分 页 内 核 池 中 有 可 用 空 间 的 任 何 地 方 都 可 以 装 入 0 x 3 0 字 节 的 块 。 话 虽 如 此 ， 泄 漏 的 令 牌 对 象 并 不 一 定 属 于 调 用 过 程 ， 实 际 上 通 常 不 是 。 但 是 ， 由 于 我 们 知 道 这 种 有 趣 的 对 象 类 型 有 时 会 在 泄 漏 的 页 面 池 内 存 页 面 中 找 到 自 己 ， 因 此 我 们 需 要 找 到 一 种 利 用 这 种 情 况 的 方 法 。 令 牌 对 象 游 乐 场 令 牌 对 象 游 乐 场 – 第 一 种 方 法 第 一 种 方 法 由 于 每 个 进 程 都 有 自 己 的 令 牌 对 象 ， 因 此 我 们 可 以 开 始 创 建 许 多 进 程 ， 每 次 将 其 置 于 “ 等 待 ” 状 态 。 我 们 需 要 这 样 做 ， 以 确
保 不 会 释 放 关 联 的 令 牌 对 象 。 简 而 言 之 ， 每 个 子 进 程 都 将 检 查 在 其 地 址 空 间 中 映 射 的 泄 漏 的 内 核 内 存 页 面 ， 并 查 找 泄 漏 的 T o k e n   O b j e c t 。 无 论 结 果 如 何 ， 此 过 程 都 将 无 限 期 地 等 待 。 创 建 的 进 程 越 多 ， 我 们 将 分 配 的 令 牌 对 象 就 越 多 ， 因 此 最 终 我 们 将 开 始 在 可 写 的 用 户 模 式 映 射 的 内 核 页 面 中 泄 漏 这 些 对 象 。 在 这 一 点 上 ， 我 们 不 知 道 每 个 对 象 属 于 哪 个 进 程 ， 因 此 我 们 必 须 保 留 进 程 句 柄 的 列 表 。 子 进 程 创 建 完 成 后 ， 我 们 可 以 检 查 其 令 牌 ， 以 找 到 一 个 修 改 了 其 原 始 权 限 的 令 牌 ， 并 在 其 自 己 的 上 下 文 中 执 行 代 码 。 这 种 方 法 行 得 通 ， 但 它 会 变 得 更 好 ， 这 使 我 们 进 入 了 下 一 个 方 法 。 令 牌 对 象 游 乐 场 令 牌 对 象 游 乐 场 – 第 二 种 方 法 第 二 种 方 法 由 于 我 们 的 第 一 个 目 标 是 泄 漏 尽 可 能 多 的 令 牌 对 象 ， 因 此 有 意 义 的 是 分 配 的 令 牌 对 象 越 多 ， 分 配 的 0 x 3 0 字 节 块 将 在 同 一 内 存 页 中 找 到 的 机 会 就 越 大 。 我 们 可 以 通 过 使 用 D u p l i c a t e T o k e n E x 函 数 创 建 漏 洞 利 用 过 程 的 主 要 令 牌 的 克 隆 来 实 现 。 此 函 数 还 允 许 我 们 指 定 每 个 克 隆 都 是 主 令 牌 ， 稍 后 可 以 通 过 C r e a t e P r o c e s s A s U s e r 函 数 使 用 它 。 另 外 ， 我 们 可 以 使 用 I m p e r s o n a t e L o g g e d O n U s e r 函 数 来 允 许 漏 洞 利 用 的 调 用 线 程 直 接 使 用 提 升 的 令 牌 特 权 。 一 旦 创 建 了 主 要 令 牌 的 数 千 个 克 隆 ， 我 们 便 可 以 使 用 上 述 第 一 种 方 法 。 再 次 ， 我 们 开 始 创 建 子 进 程 ， 在 每 个 子 进 程 中 ， 它 们 将 检 查 映 射 到 其 自 身 地 址 空 间 中 的 泄 漏 内 核 页 面 ， 并 搜 索 要 修 改 的 令 牌 对 象 （ 参 见 图 5 ） 。 最 后 ， 我 们 可 以 遍 历 令 牌 克 隆 列 表 ， 并 将 G e t T o k e n I n f o r m a t i o n 与 T o k e n P r i v i l e g e s   T O K E N _ I N F O R M A T I O N _ C L A S S 结 合 使 用 ， 并 搜 索 具 有 仅 提 升 权 限 的 特 权 的 实 例 ， 例 如 “   S e D e b u g P r i v i l e g e ” 。 最 后 但 并 非 最 不 重 要 的 一 点 是 ， 我 们 使 用 带 有 C r e a t e P r o c e s s A s U s e r 函 数 的 修 改 后 的 令 牌 来 以 提 升 的 特 权 启 动 新 进 程 ， 或 者 通 过 I m p e r s o n a t e L o g g e d O n U s e r 函 数 来 提 升 调 用 线 程 的 特 权 。
总 结 步 骤 1 .   创 建 数 千 个 主 要 令 牌 克 隆 2 .   开 始 自 我 检 查 子 流 程 ， 以 搜 索 和 修 改 泄 漏 的 令 牌 对 象 3 .   解 析 我 们 的 “   主 要 令 牌 ” 克 隆 列 表 以 找 到 已 被 修 改 的 一 个 4 .   使 用 C r e a t e P r o c e s s A s U s e r 或 I m p e r s o n a t e L o g g e d O n U s e r 函 数 可 以 以 更 高 的 权 限 执 行 代 码 5 .   在 以 S Y S T E M 身 份 运 行 的 进 程 中 注 入 并 执 行 代 码 结 论 结 论 此 发 现 是 一 个 简 单 的 编 程 错 误 如 何 导 致 严 重 漏 洞 的 示 例 。 开 发 人 员 需 要 在 调 用 过 程 中 映 射 一 小 部 分 数 据 ， 而 无 需 考 虑 文 档 的 所 有 详 细 信 息 及 其 可 能 的 安 全 隐 患 。 在 利 用 此 漏 洞 的 第 二 部 分 中 ， 我 们 将 重 点 介 绍 最 新 的 W i n d o w s   1 0   v 1 9 0 9 ， 并 了 解 如 何 添 加 内 核 池 L F H 迫 使 我 们 寻 找 其 他 利 用 此 漏 洞 的 方 法 。 敬 请 关 注 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理