搜索

[28392] 2020-07-06_反向RDP攻击研究

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-07-06_反向RDP攻击研究 反 向 R D P 攻 击 研 究 E y a l   I t k i n   O t s 安 全   2 0 2 0 - 0 7 - 0 6 总 览 总 览 在 2 0 1 9 年 期 间 ， 我 们 发 表 了 有 关 反 向 R D P 攻 击 的 研 究 ： 第 1   部 分 和 第 2 部 分 。 在 这 些 博 客 文 章 中 ， 我 们 描 述 了 如 何 在 流 行 的 远 程 桌 面 协 议 （ R D P ） 客 户 端 中 发 现 许 多 关 键 漏 洞 。 此 外 ， 我 们 重 点 研 究 了 在 M i c r o s o f t 的 R D P 客 户 端 中 发 现 的 P a t h - T r a v e r s a l 漏 洞 ， 该 漏 洞 也 可 以 作 为 H y p e r - V   M a n a g e r 中 的 从 主 机 到 主 机 V M 转 义 来 应 用 。 在 测 试 我 们 的 发 现 对 适 用 于 M a c O S 的 M i c r o s o f t   R D P 客 户 端 的 适 用 性 时 ， 我 们 发 现 了 一 个 有 趣 的 发 现 ： 我 们 不 仅 可 以 绕 过 M i c r o s o f t 的 补 丁 程 序 ， 而 且 可 以 绕 过 根 据 M i c r o s o f t 最 佳 实 践 执 行 的 任 何 路 径 规 范 化 检 查 。 重 要 说 明 ： M i c r o s o f t 核 心 P a t h - T r a v e r s a l 检 查 的 绕 过 漏 洞 尚 未   修 复 。 可 以 在 此 博 客 结 尾 的 M i c r o s o f t 官 方 回 复 中 找 到 更 多 详 细 信 息 。 由 于 此 漏 洞 的 隐 患 ， 我 们 敦 促 所 有 软 件 开 发 人 员 和 安 全 研 究 人 员 注 意 此 问 题 ， 并 确 保 手 动 修 补 他 们 自 己 的 软 件 项 目 。 微 软 的 原 始 补 丁 微 软 的 原 始 补 丁 在 ` ` 反 向 R D P 攻 击 ' ' 出 版 物 的 第 二 部 分 中 ， 我 们 详 细 分 析 了 M i c r o s o f t 针 对 我 们 的 漏 洞 发 布 的 补 丁 （ C V E - 2 0 1 9 - 0 8 8 7 ） 。 该 补 丁 程 序 原 本 应 该 相 对 简 单 ， 因 为 P a t h - T r a v e r s a l 漏 洞 是 由 于 缺 少 对 传 入 F i l e G r o u p D e s c r i p t o r W 剪 贴 板 格 式 中 包 含 的 文 件 路 径 的 卫 生 检 查 而 导 致 的 。 M i c r o s o f t 遵 循 自 己 的 最 佳 实 践 ， 并 基 于 P a t h C c h C a n o n i c a l i z e 函 数 添 加 了 验 证 检 查 ， 如 图 1 所 示 ： 图 1 ： P a t h C c h C a n o n i c a l i z e 用 于 计 算 每 个 文 件 名 的 规 范 化 形 式 。 如 果 成 功 ， 则 将 规 范 化 的 输 出 与 原 始 文 件 名 进 行 比 较 ， 并 且 两 者 之 间 的 任 何 不 匹 配 都 会 导 致 错 误 。 这 意 味 着 如 果 我 们 的 文 件 名 包 含 形 式 为 . 或 的 字 符 串 . . ， 则 在 转 换 为 规 范 化 形 式 时 会 更 改 它 ， 从 而 使 有 效 性 检 查 失 败 。 我 们 认 为 此 修 补 程 序 意 味 着 漏 洞 确 实 已 修 复 ， 我 们 甚 至 在 我 们 以 前 的 博 客 文 章 中 提 到 了 该 漏 洞 ： “ … 该 修 复 程 序 符 合 我 们 最 初 的 期 望 ， 我 们 的 路 径 遍 历 漏 洞 现 在 已 修 复 。 ” M a c O S   R D P 客 户 端 客 户 端 在 检 查 各 种 R D P 客 户 端 时 ， 我 们 选 择 专 注 于 r d e s k t o p ， F r e e R D P 和 M i c r o s o f t 的 内 置 客 户 端 （ M s t s c . e x e ） 。 当 时 ， 我 们 没 有 针 对 M a c O S 使 用 任 何 特 定 的 R D P 客 户 端 ， 因 为 我 们 听 说 M a c O S 用 户 经 常 使 用 上 述 开 源 客 户 端 之 一 。 令 我 们 惊 讶 的 是 ， 2 0 1 9 年 1 0 月 ， 在 我 们 的 研 究 被 标 记 为 “ 完 成 ” 之 后 ， 来 自 M n e m o n i c 的 C h r i s   R i s v i k 与 我 们 联 系 。 在 B l a c k   H a t 上 看 到 我 们 的 演 示 文 稿 并 阅 读 了 更 多 研 究 成 果 之 后 ， C h r i s 开 始 在 其 M a c O S 上 试 用 M i c r o s o f t 的 R D P 客 户 端 ， 并 发 现 了 一 个 有 趣 的 行 为 。 这 种 行 为 使 C h r i s 相 信 C V E - 2 0 1 9 - 0 8 8 7 也 可 以 应 用 于 M i c r o s o f t   R D P 客 户 端 ， 因 此 他 决 定 与 我 们 联 系 。 听 到 有 关 M a c O S 内 置 M i c r o s o f t   R D P 客 户 端 的 消 息 感 到 惊 讶 ， 并 对 他 的 发 现 感 兴 趣 ， 我 们 认 为 值 得 研 究 。 由 于 我 们 已 经 具 有 利 用 P a t h - T r a v e r s a l 漏 洞 的 现 有 设 置 ， 因 此 我 们 所 需 要 的 只 是 获 得 一 台 M a c 计 算 机 ， 并 使 用 适 用 于 M a c O S 的 M i c r o s o f t   R D P 客 户 端 连 接 到 我 们 现 有 的 恶 意 R D P 服 务 器 。 这 是 事 情 变 得 更 加 有 趣 的 地 方 。 碰 巧 的 是 ， 在 我 们 安 排 进 行 这 项 实 验 的 那 天 ， 我 们 的 M a c O S 研 究 人 员 到 办 公 室 有 点 晚 了 。 由 于 他 通 常 是 第 一 个 来 的 ， 所 以 这 是 一 次 难 得 的 中 风 。 当 我 等 待 他 到 达 时 ， 我 决 定 在 服 务 器 上 更 新 漏 洞 利 用 程 序 的 配 置 。 到 目 前 为 止 ， 我 们 使 用 W i n d o w s 路 径 （ A B C ） 。 因 为 我 们 要 遍 历 一 个 M a c O S 的 路 径 ， 我 认 为 这 将 是 可 取 的 在 我 们 的 开 发 ， 而 不 是 向 后 斜 线 使 用 正 斜 杠 ： A / B / C 。 修 改 漏 洞 利 用 程 序 的 配 置 文 件 后 ， 我 们 在 2 台 W i n d o w s 计 算 机 上 本 地 测 试 了 安 装 程 序 ， 以 检 查 一 切 是 否 仍 然 有 效 。 最 初 的 漏 洞 利 用 （ 使 用 ） 已 被 M i c r o s o f t 的 补 丁 程 序 成 功 阻 止 ， 从 而 e x p l o r e r . e x e 被 卡 住 。 出 于 好 奇 ， 我 们 还 测 试 了 修 改 后 的 利 用 （ 使
用 / ） ， 并 且 出 人 意 料 的 是 ， 该 利 用 有 效 。 简 单 的 更 换 ， 以 / 在 我 们 的 恶 意 R D P 服 务 器 足 以 绕 过 微 软 的 补 丁 ！ 注 意 ： 当 我 们 稍 后 测 试 M a c O S   R D P 客 户 端 时 ， 我 们 发 现 它 的 实 施 具 有 更 好 的 安 全 性 。 而 且 它 不 易 受 C V E - 2 0 1 9 - 0 8 8 7 的 攻 击 。 这 表 明 您 永 远 无 法 预 测 研 究 领 导 将 带 您 去 何 方 ， 以 及 在 此 过 程 中 将 发 现 哪 些 漏 洞 。 返 回 返 回 P a t h C c h C a n o n i c a l i z e 出 于 这 种 意 外 行 为 的 兴 趣 ， 我 们 决 定 编 译 一 个 简 单 的 测 试 程 序 ， 使 其 仅 专 注 于 M i c r o s o f t 的 主 要 路 径 规 范 化 功 能 ： P a t h C c h C a n o n i c a l i z e 。 在 图 2 中 ， 我 们 可 以 看 到 幼 稚 的 检 查 ： 图 2 ： P a t h C c h C a n o n i c a l i z e 针 对 带 有 反 斜 杠 （ ） 的 路 径 进 行 测 试 。 如 预 期 的 那 样 ， 输 出 为 ： “ 规 范 字 符 串 为 ： E v i l . b a t ， 状 态 码 为 0 。 ” 之 后 ， 我 们 对 使 用 正 斜 杠 （ / ） 的 路 径 执 行 了 相 同 的 测 试 ， 如 图 3 所 示 ： 图 3 ： P a t h C c h C a n o n i c a l i z e 针 对 带 有 正 斜 杠 （ / ） 的 路 径 进 行 测 试 。 令 我 们 惊 讶 的 是 ， 输 出 为 ： “ 规 范 字 符 串 为 ： . . / . . / E v i l . b a t ， 状 态 码 为 0 。 ” 似 乎 ， P a t h C c h C a n o n i c a l i z e W i n d o w s 最 佳 实 践 指 南 中 有 关 如 何 规 范 化 敌 对 路 径 的 功 能 忽 略 了 正 斜 杠 字 符 ！ 后 来 我 们 通 过 对 M i c r o s o f t 函 数 的 实 现 进 行 反 向 工 程 来 验 证 此 行 为 ， 并 看 到 它 通 过 仅 搜 索 和 忽 略 来 将 路 径 拆 分 为 多 个 部 分 / 。 为 了 了 解 该 漏 洞 的 影 响 超 出 R D P 的 范 围 ， 我 们 一 直 在 寻 找 M i c r o s o f t 建 议 如 何 处 理 目 录 遍 历 尝 试 ， 例 如 . . 。 搜 索 导 致 我 们 找 到 了 P a t h C c C a n o n i c a l i z e 。 该 函 数 声 称 在 M S D N 中 只 是 这 样 做 ， 但 由 于 潜 在 的 缓 冲 区 溢 出 漏 洞 而 实 际 上 已 被 弃 用 ： 图 4 ： M S D N 的 屏 幕 截 图 ， 说 明 了 如 何 使 用 W i n A P I 阻 止 P a t h - T r a v e r s a l 尝 试 。
官 方 说 明 明 确 指 示 开 发 人 员 改 P a t h C c h C a n o n i c a l i z e 而 使 用 ， 可 以 使 用 正 斜 杠 （ 而 不 是 反 斜 杠 ） 来 绕 过 （ 如 我 们 刚 刚 所 示 ） 。 我 们 向 高 级 软 件 开 发 人 员 提 出 了 以 下 挑 战 ： 实 现 一 个 函 数 ， 该 函 数 接 收 文 件 路 径 作 为 输 入 ， 并 验 证 文 件 将 被 写 入 预 定 的 文 件 夹 中 。 换 句 话 说 ， 使 用 W i n d o w s   A P I 和 最 佳 实 践 来 阻 止 路 径 遍 历 攻 击 。 不 出 所 料 ， 我 们 收 到 的 常 见 答 案 如 图 5 所 示 ： 图 5 ： 始 终 使 用 的 示 例 路 径 卫 生 代 码 P a t h C c h C a n o n i c a l i z e 。 换 句 话 说 ， 下 面 的 M i c r o s o f t 最 佳 做 法 时 ， 甚 至 高 级 开 发 人 员 使 用 的 漏 洞 的 功 能 ， 并 希 望 它 同 时 处 理 / 和 分 离 路 径 。 这 意 味 着 世 界 各 地 可 能 有 数 十 个 不 同 的 项 目 容 易 受 到 P a t h - T r a v e r s a l 攻 击 ， 因 为 它 们 依 赖 于 M i c r o s o f t 易 受 攻 击 的 路 径 规 范 化 功 能 。 W i n d o w s 路 径 路 径 1 0 1 在 基 于 U n i x 的 系 统 上 ， 使 用 的 路 径 分 隔 符 c h a r 是 正 斜 杠 （ / ） ， 而 传 统 上 在 W i n d o w s 上 ， 使 用 的 c h a r 是 反 斜 杠 （ ） 。 但 是 ， 从 W i n d o w s 的 早 期 开 始 ， 它 就 同 时 支 持 / 和 。 因 此 ， 对 两 个 分 隔 符 c h a r 都 可 以 执 行 任 何 文 件 操 作 （ 访 问 / 读 取 / 写 入 ） ， 就 好 像 它 们 都 一 样 。 我 们 刚 刚 发 现 的 漏 洞 是 使 用 与 我 们 希 望 保 护 的 动 作 不 同 的 逻 辑 来 执 行 完 整 性 检 查 的 经 典 案 例 。 不 知 何 故 ， 用 于 清 理 文 件 路 径 的 W i n d o w s 核 心 功 能 的 开 发 人 员 忘 记 了 W i n d o w s 对 / c h a r s   的 支 持 ， 而 是 他 们 自 己 重 新 实 现 了 文 件 路 径 逻 辑 ， 仅 支 持 分 隔 符 。 C V E - 2 0 2 0 - 0 6 5 5 我 们 再 次 联 系 M i c r o s o f t ， 并 披 露 了 针 对 C V E - 2 0 1 9 - 0 8 8 7 的 不 当 修 复 程 序 的 详 细 信 息 ， 由 于 我 们 在 中 发 现 了 新 漏 洞 ， 因 此 可 以 绕 过 该 修 复 程 序 P a t h C c h C a n o n i c a l i z e 。 M i c r o s o f t 承 认 我 们 的 发 现 ， 并 于 2 月 的 补 丁 程 序 星 期 二 为 其 发 布 了 一 个 补 丁 程 序 ， 其 标 签 为 ： C V E - 2 0 2 0 - 0 6 5 5 。 知 道 它 P a t h C c h C a n o n i c a l i z e 位 于 内 部 K e r n e l B a s e . d l l ， 我 们 很 惊 讶 地 发 现 它 没 有 作 为 本 月 W i n d o w s   U p d a t e 的 一 部 分 进 行 更 新 。 如 图 6 所 示 ， k e r b e r o s . d l l 它 在 2 月 份 的 更 新 期 间 进 行 了 更 新 ， 但 K e r n e l B a s e . d l l 保 持 不 变 。 图 6 ： W i n d o w s   . d l l 文 件 的 时 间 戳 显 示 K e r n e l B a s e . d l l 未 更 新 。 不 知 道 会 发 生 什 么 ， 我 们 筛 选 出 了 作 为 补 丁 程 序 一 部 分 进 行 更 新 的 所 有 文 件 ， 并 选 择 了 m s t s c a x . d l l 作 为 潜 在 修 补 程 序 的 候 选 对 象 。 如 果 我 们 的 猜 想 是 真 的 ， 则 M i c r o s o f t 可 能 只 修 补 了 R D P 客 户 端 的 攻 击 情 况 ， 而 忽 略 了 易 受 攻 击 的 A P I 函 数 的 更 广 泛 使
用 。 在 图 7 中 ， 我 们 可 以 看 到 C F o r m a t D a t a P a c k e r : : V a l i d a t e F i l e P a t h s 作 为 C V E - 2 0 1 9 - 0 8 8 7 补 丁 的 一 部 分 添 加 的 函 数 再 次 被 修 改 ： 图 7 ： 在 R D P 客 户 端 / 中 用 c h a r   替 换 c h a r 的 补 丁 。 我 们 最 初 的 猜 测 是 正 确 的 。 M i c r o s o f t 通 过 向 仍 然 易 受 攻 击 的   P a t h C c h C a n o n i c a l i z e 功 能 添 加 解 决 方 法 来 修 复 其 针 对 C V E - 2 0 1 9 - 0 8 8 7 的 不 当 补 丁 程 序 。 我 们 搜 索 了 一 份 已 发 布 的 建 议 ， 以 警 告 用 户 不 要 使 用 易 受 攻 击 的 路 径 规 范 化 功 能 ， 但 是 我 们 没 有 找 到 一 个 。 M S D N 仍 建 议 用 户 在 尝 试 清 除 恶 意 输 入 时 使 用 此 功 能 。 但 是 ， 我 们 应 该 注 意 ， 在 R D P 中 的 文 件 处 理 与 W i n A P I 其 余 部 分 唯 一 不 同 的 情 况 下 ， 此 补 丁 才 有 意 义 。 不 过 ， 在 检 查 文 件 处 理 共 同 W i n A P I 的 ， 如 C r e a t e F i l e ， D e l e t e F i l e ， C r e a t e F o l d e r 等 ， 我 们 可 以 得 出 结 论 ， 他 们 都 尊 重 /   和   ， 这 意 味 着 R D P 情 况 下 是 不 以 任 何 方 式 独 特 。 因 此 ， 我 们 认 为 ， P a t h C c h C a n o n i c a l i z e 这 是 旨 在 阻 止 源 自 使 用 / 分 隔 符 的 潜 在 路 径 遍 历 攻 击 的 修 补 程 序 的 最 佳 位 置 。 微 软 的 回 应 微 软 的 回 应 在 分 析 了 微 软 的 补 丁 之 后 ， 我 们 联 系 了 M S R C ， 并 介 绍 了 我 们 的 发 现 以 及 该 研 究 博 客 的 预 计 发 布 日 期 。 到 目 前 为 止 ， 我 们 尚 未 收 到 他 们 的 评 论 ， 并 已 通 知 他 们 有 关 以 这 种 格 式 发 布 博 客 的 信 息 。 结 论 结 论 首 先 ， 由 于 对 R D P 漏 洞 （ C V E - 2 0 1 9 - 0 8 8 7 ） 的 不 正 确 修 复 所 带 来 的 严 重 影 响 ， 我 们 敦 促 所 有 读 者 务 必 安 装 M i c r o s o f t 的 补 丁 程 序 。 然 而 ， 正 如 我 们 分 析 微 软 的 补 丁 为 C V E - 2 0 2 0 - 0 6 5 5 的 时 候 所 看 到 的 ， 此 修 复 程 序 并 没 有 解 决 的 核 心 漏 洞 P a t h C c h C a n o n i c a l i z e 功 能 。 我 们 担 心 ， 就 像 我 们 刚 刚 展 示 的 反 向 R D P 方 案 一 样 ， 对 核 心 W i n d o w s 路 径 卫 生 功 能 进 行 简 单 旁 路 的 含 义 可 能 会 对 许 多 其 他 软 件 产 品 构 成 严 重 风 险 。 因 此 ， 我 们 敦 促 所 有 软 件 开 发 人 员 和 安 全 研 究 人 员 注 意 此 漏 洞 ， 并 确 保 手 动 修 补 他 们 自 己 的 软 件 项 目 。 多 年 来 ， 在 M i c r o s o f t 的 核 心 路 径 卫 生 功 能 中 ， 如 何 一 直 忽 略 简 单 的 路 径 遍 历 仍 然 是 一 个 谜 。 我 们 怀 疑 许 多 开 发 人 员 决 定 自 己 重 新 发 明 轮 子 ， 因 此 渗 透 测 试 仅 发 现 许 多 不 同 专 有 实 现 中 的 错 误 。 否 则 ， 我 们 希 望 在 处 理 C 代 码 中 文 件 路 径 的 大 型 系 统 上 执 行 常 规 的 渗 透 测 试 ， 会 发 现 此 P a t h - T r a v e r s a l 旁 路 。
我 们 再 次 要 感 谢 M n e m o n i c 的 C h r i s   R i s v i k ， 他 的 工 作 促 使 我 们 重 新 审 视 了 R D P 客 户 端 ， 因 为 我 们 最 终 确 实 发 现 了 一 个 漏 洞 ， 即 使 在 M a c O S   R D P 客 户 端 中 也 没 有 。 正 如 我 们 在 之 前 的 结 论 中 指 出 的 那 样 ， “ 这 项 研 究 是 一 个 很 好 的 例 子 ， 表 明 研 究 人 员 永 远 无 法 知 道 给 定 的 研 究 项 目 是 否 已 经 结 束 。 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理