搜索

[28426] 2020-07-20_WindowsWalletService本地提权漏洞分析及利用（CVE-2020-1362）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-07-20_WindowsWalletService本地提权漏洞分析及利用（CVE-2020-1362） W i n d o w s   W a l l e t S e r v i c e   本 地 提 权 漏 洞 分 析 及 利 用 （ C V E - 2 0 2 0 - 1 3 6 2 ） Z h i z h i a n g   P e n g   O t s 安 全   2 0 2 0 - 0 7 - 2 0 利 用 内 存 损 坏 错 误 利 用 内 存 损 坏 错 误 - C V E - 2 0 2 0 - 1 3 6 2 分 析 分 析 在 上 周 二 的 补 丁 程 序 中 修 复 了 特 权 提 升 错 误 ， 其 中 一 个 错 误 已 分 配 给 C V E - 2 0 2 0 - 1 3 6 2 。 该 错 误 利 用 服 务 中 的 边 界 错 误 。 在 这 里 ， 我 们 分 享 了 利 用 它 的 技 术 。 根 本 原 因 分 析 根 本 原 因 分 析 我 们 对 以 下 功 能 进 行 了 二 进 制 分 析 ： W a l l e t : : W a l l e t C u s t o m P r o p e r t y : : S e t G r o u p S e t G r o u p 函 数 将 用 户 控 制 的 数 据 写 入 用 户 控 制 的 偏 移 量 的 存 储 器 中 。 s i g n e d   _ _ i n t 6 4   _ _ f a s t c a l l   W a l l e t : : W a l l e t C u s t o m P r o p e r t y : : S e t G r o u p ( _ _ i n t 6 4   t h i s ,   i n t   a 2 ,   i n t   a 3 ,   i n t   a 4 ) {     s i g n e d   _ _ i n t 6 4   r e s u l t ;   / /   r a x     r e s u l t   =   0 i 6 4 ;     i f   (   a 2   = =   1   )     {         i f   (   a 3   &   0 x F F F F F F D F   )             r e t u r n   0 x 8 0 0 7 0 0 5 7 i 6 4 ;     }     e l s e   i f   (   a 3   = =   0 x 2 0   )     {         r e t u r n   0 x 8 0 0 7 0 0 5 7 i 6 4 ;     }     i f   (   a 4   = =   - 1   )     {         * ( _ D W O R D   * ) ( t h i s   +   8 i 6 4   *   a 2   +   0 x 7 4 )   =   0 ;         * ( _ D W O R D   * ) ( t h i s   +   8 i 6 4   *   a 2   +   0 x 7 8 )   =   0 x 7 F F F F F F F ;     }     e l s e     {         * ( _ D W O R D   * ) ( t h i s   +   8 i 6 4   *   a 2   +   0 x 7 4 )   =   a 3 ;         * ( _ D W O R D   * ) ( t h i s   +   8 i 6 4   *   a 2   +   0 x 7 8 )   =   a 4 ;     }     r e t u r n   r e s u l t ; } 我 们 可 以 注 意 到 该 函 数 没 有 检 查 用 户 可 以 控 制 的 偏 移 量 范 围 。 所 以 这 就 是 漏 洞 发 生 的 地 方 。 从 超 出 范 围 的 内 存 写 入 从 超 出 范 围 的 内 存 写 入 W W W （ 在 何 处 写 入 ） （ 在 何 处 写 入 ） 现 在 ， 我 们 可 以 超 出 范 围 地 写 入 内 存 。 通 过 观 察 ， 我 们 可 以 发 现 在 同 一 类 中 有 一 个 函 数 可 以 设 置 和 获 取 B S T R ： W a l l e t S e r v i c e w a l l e t s e r v i c e . d l l
W a l l e t : : W a l l e t C u s t o m P r o p e r t y : : S e t L a b e l W a l l e t : : W a l l e t C u s t o m P r o p e r t y : : G e t L a b e l 因 此 ， 我 们 可 以 通 过 o o b w 轻 松 修 改 指 向 B S T R 的 指 针 ， 以 获 得 读 取 和 写 入 任 何 地 址 的 能 力 。 从 从 W W W 到 任 意 代 码 执 行 到 任 意 代 码 执 行 一 旦 有 了 W W W （ 在 哪 里 写 ） ， 我 们 就 可 以 在 堆 上 编 写 W a l l e t   : :   W a l l e t C u s t o m P r o p e r t y 对 象 的 v t a b l e 来 控 制 R I P 。 开 始 时 ， 我 们 尝 试 直 接 使 用 o o b w 对 其 进 行 修 改 ， 但 是 我 们 发 现 o o b w 与 8 个 字 节 不 对 齐 。 因 此 ， 我 们 必 须 使 用 竞 争 条 件 对 v t a b l e   h i j a c k 进 行 两 次 写 入 。 但 这 可 能 会 使 漏 洞 利 用 变 得 不 稳 定 。 还 有 其 他 一 些 方 法 可 以 解 决 此 问 题 。 但 是 在 我 们 的 P O C 中 ， 我 们 仅 使 用 另 一 个 信 息 泄 漏 漏 洞 （ C V E - 2 0 2 0 - 1 3 6 1 ） 泄 漏 堆 地 址 ， 并 使 用 w w w 直 接 写 入 v t a b l e 。 顺 便 说 一 句 ， 尽 管 C V E - 2 0 2 0 - 1 3 6 1 被 标 记 为 信 息 泄 漏 漏 洞 ， 但 它 实 际 上 可 用 于 实 现 E O P 。 以 后 我 们 会 为 它 做 文 章 。 我 们 发 现 其 中 的 功 能 可 以 帮 助 我 们 从 执 行 任 意 功 能 到 执 行 任 意 代 码 。 该 函 数 调 用 该 函 数 ， 并 以 全 局 指 针 作 为 的 第 一 个 参 数 。 然 后 ， 我 们 可 以 通 过 加 载 自 定 义 d l l 来 实 现 任 意 代 码 执 行 。 点 击 阅 读 原 文   -   可 跳 转 到 项 目 地 址 阅 读 原 文 A T L : : C C o m O b j e c t < C D X G I A d a p t e r > : : ` v e c t o r   d e l e t i n g   d e s t r u c t o r d x g i . d l l l o a d l i b r a r y E x l o a d l i b r a r y E x
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理