搜索

[28663] 2020-12-01_利用SMBGhost（CVE-2020-0796）进行本地特权升级：Writeup+POC

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-19
2020-12-01_利用SMBGhost（CVE-2020-0796）进行本地特权升级：Writeup+POC 利 用 S M B G h o s t （ C V E - 2 0 2 0 - 0 7 9 6 ） 进 行 本 地 特 权 升 级 ： W r i t e u p   +   P O C O t s 安 全   2 0 2 0 - 1 2 - 0 1 介 绍 C V E - 2 0 2 0 - 0 7 9 6 是 S M B v 3 . 1 . 1 （ 也 称 为 “   S M B G h o s t ” ） 的 压 缩 机 制 中 的 错 误 。 该 错 误 影 响 W i n d o w s   1 0 版 本 1 9 0 3 和 1 9 0 9 ， 大 约 三 周 前 由 M i c r o s o f t 宣 布 并 修 补 。 得 知 此 消 息 后 ， 我 们 将 浏 览 所 有 细 节 并 创 建 一 个 快 速 的 P O C （ 概 念 验 证 ） ， 演 示 如 何 通 过 引 发 B S O D （ 死 亡 蓝 屏 ） 来 远 程 触 发 该 漏 洞 而 无 需 身 份 验 证 。 几 天 前 ， 我 们 返 回 此 错 误 的 不 仅 仅 是 远 程 D o S 。 M i c r o s o f t 安 全 通 报 将 错 误 描 述 为 远 程 代 码 执 行 （ R C E ） 漏 洞 ， 但 是 没 有 公 共 P O C 通 过 此 错 误 来 演 示 R C E 。 初 步 分 析 该 错 误 是 s r v 2 . s y s   S M B 服 务 器 驱 动 程 序 中 的 函 数 中 发 生 的 整 数 溢 出 错 误 。 这 是 该 函 数 的 简 化 版 本 ， 省 略 了 不 相 关 的 细 节 ： S r v 2 D e c o m p r e s s D a t a t y p e d e f   s t r u c t   _ C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R {         U L O N G   P r o t o c o l I d ;         U L O N G   O r i g i n a l C o m p r e s s e d S e g m e n t S i z e ;         U S H O R T   C o m p r e s s i o n A l g o r i t h m ;         U S H O R T   F l a g s ;         U L O N G   O f f s e t ; }   C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R ,   * P C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R ;   t y p e d e f   s t r u c t   _ A L L O C A T I O N _ H E A D E R {         / /   . . .         P V O I D   U s e r B u f f e r ;         / /   . . . }   A L L O C A T I O N _ H E A D E R ,   * P A L L O C A T I O N _ H E A D E R ;   N T S T A T U S   S r v 2 D e c o m p r e s s D a t a ( P C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R   H e a d e r ,   S I Z E _ T   T o t a l S i z e ) {         P A L L O C A T I O N _ H E A D E R   A l l o c   =   S r v N e t A l l o c a t e B u f f e r (                 ( U L O N G ) ( H e a d e r - > O r i g i n a l C o m p r e s s e d S e g m e n t S i z e   +   H e a d e r - > O f f s e t ) ,                 N U L L ) ;         I f   ( ! A l l o c )   {                 r e t u r n   S T A T U S _ I N S U F F I C I E N T _ R E S O U R C E S ;         }           U L O N G   F i n a l C o m p r e s s e d S i z e   =   0 ;           N T S T A T U S   S t a t u s   =   S m b C o m p r e s s i o n D e c o m p r e s s (                 H e a d e r - > C o m p r e s s i o n A l g o r i t h m ,                 ( P U C H A R ) H e a d e r   +   s i z e o f ( C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R )   +   H e a d e r - > O f f s e t ,                 ( U L O N G ) ( T o t a l S i z e   -   s i z e o f ( C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R )   -   H e a d e r - > O f f s e t ) ,                 ( P U C H A R ) A l l o c - > U s e r B u f f e r   +   H e a d e r - > O f f s e t ,                 H e a d e r - > O r i g i n a l C o m p r e s s e d S e g m e n t S i z e ,                 & F i n a l C o m p r e s s e d S i z e ) ;         i f   ( S t a t u s   <   0   | |   F i n a l C o m p r e s s e d S i z e   ! =   H e a d e r - > O r i g i n a l C o m p r e s s e d S e g m e n t S i z e )   {                 S r v N e t F r e e B u f f e r ( A l l o c ) ;                 r e t u r n   S T A T U S _ B A D _ D A T A ;         }           i f   ( H e a d e r - > O f f s e t   >   0 )   {                 m e m c p y (                         A l l o c - > U s e r B u f f e r ,                         ( P U C H A R ) H e a d e r   +   s i z e o f ( C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R ) ,                         H e a d e r - > O f f s e t ) ;
该 函 数 接 收 客 户 端 发 送 的 压 缩 消 息 ， 分 配 所 需 的 内 存 量 ， 然 后 解 压 缩 数 据 。 然 后 ， 如 果 该 字 段 不 为 零 ， 则 它 将 原 样 放 置 在 压 缩 数 据 之 前 的 数 据 复 制 到 分 配 的 缓 冲 区 的 开 头 。 如 果 仔 细 看 ， 我 们 会 注 意 到 第 2 0 和 3 1 行 可 能 导 致 某 些 输 入 的 整 数 溢 出 。 例 如 ， 大 多 数 在 发 布 错 误 后 不 久 并 使 系 统 崩 溃 的 P O C 都 使 用 该 字 段 的 值 。 使 用 该 值 会 在 第 2 0 行 触 发 整 数 溢 出 ， 结 果 分 配 的 字 节 数 更 少 。 后 来 ， 它 在 第 3 1 行 触 发 了 另 一 个 整 数 溢 出 。 崩 溃 的 发 生 是 由 于 在 第 3 0 行 计 算 的 地 址 处 的 内 存 访 问 ， 该 地 址 与 接 收 到 的 消 息 距 离 很 远 。 如 果 代 码 在 第 3 1 行 验 证 了 计 算 结 果 ， 由 于 缓 冲 区 长 度 恰 好 为 负 数 且 无 法 表 示 ， 因 此 它 将 提 早 解 决 ， 这 也 使 第 3 0 行 的 地 址 本 身 也 无 效 。                         H e a d e r - > O f f s e t ) ;         }           S r v 2 R e p l a c e R e c e i v e B u f f e r ( s o m e _ s e s s i o n _ h a n d l e ,   A l l o c ) ;         r e t u r n   S T A T U S _ S U C C E S S ; } S r v 2 D e c o m p r e s s D a t a O f f s e t 0 x F F F F F F F F O f f s e t 0 x F F F F F F F F
选 择 要 溢 出 的 内 容 我 们 只 有 两 个 相 关 的 字 段 可 以 控 制 以 引 起 整 数 溢 出 ： 和 ， 因 此 没 有 太 多 选 择 。 在 尝 试 了 几 种 组 合 之 后 ， 以 下 组 合 引 起 了 我 们 的 注 意 ： 如 果 我 们 发 送 合 法 价 值 和 巨 大 价 值 怎 么 办 ？ 让 我 们 看 一 下 代 码 将 要 执 行 的 三 个 步 骤 ： 1 .   分 配 ： 分 配 ： 由 于 整 数 溢 出 ， 分 配 的 字 节 数 将 小 于 两 个 字 段 的 总 和 。 2 .   解 压 缩 ： 解 压 缩 ： 解 压 缩 将 获 得 巨 大 的 价 值 ， 将 目 标 缓 冲 区 视 为 实 际 上 具 有 无 限 大 小 。 所 有 其 他 参 数 均 不 受 影 响 ， 因 此 将 按 预 期 工 作 。 3 .   复 制 ： 复 制 ： 如 果 将 要 执 行 （ 会 吗 ？ ） ， 则 复 制 将 按 预 期 工 作 。 无 论 是 否 要 执 行 复 制 步 骤 ， 它 都 已 经 很 有 趣 – 我 们 可 以 在 解 压 缩 阶 段 触 发 越 界 写 入 ， 因 为 我 们 设 法 分 配 了 比 分 配 阶 段 少 的 字 节 。 O r i g i n a l C o m p r e s s e d S e g m e n t S i z e O f f s e t O f f s e t O r i g i n a l C o m p r e s s e d S e g m e n t S i z e O r i g i n a l C o m p r e s s e d S e g m e n t S i z e
如 您 所 见 ， 使 用 此 技 术 ， 我 们 可 以 触 发 任 何 大 小 和 内 容 的 溢 出 ， 这 是 一 个 很 好 的 开 始 。 但 是 什 么 位 于 我 们 的 缓 冲 区 之 外 ？ 让 我 们 找 出 答 案 ！ 深 入 S r v N e t A l l o c a t e B u f f e r 要 回 答 这 个 问 题 ， 我 们 需 要 看 一 下 分 配 函 数 。 这 是 函 数 中 有 趣 的 部 分 ： 我 们 可 以 看 到 分 配 函 数 根 据 所 需 的 字 节 数 执 行 不 同 的 操 作 。 大 型 分 配 （ 大 于 约 1 6   M B ） 只 会 失 败 。 中 型 分 配 （ 大 于 1   M B ） 使 用 该 功 能 进 行 分 配 。 小 分 配 （ 其 余 ） 使 用 后 备 列 表 进 行 优 化 。 注 意 ： 注 意 ： 还 有 一 个 S r v N e t A l l o c a t e B u f f e r P A L L O C A T I O N _ H E A D E R   S r v N e t A l l o c a t e B u f f e r ( S I Z E _ T   A l l o c S i z e ,   P A L L O C A T I O N _ H E A D E R   S o u r c e B u f f e r ) {         / /   . . .           i f   ( S r v D i s a b l e N e t B u f f e r L o o k A s i d e L i s t   | |   A l l o c S i z e   >   0 x 1 0 0 1 0 0 )   {                 i f   ( A l l o c S i z e   >   0 x 1 0 0 0 1 0 0 )   {                         r e t u r n   N U L L ;                 }                 R e s u l t   =   S r v N e t A l l o c a t e B u f f e r F r o m P o o l ( A l l o c S i z e ,   A l l o c S i z e ) ;         }   e l s e   {                 i n t   L o o k a s i d e L i s t I n d e x   =   0 ;                 i f   ( A l l o c S i z e   >   0 x 1 1 0 0 )   {                         L o o k a s i d e L i s t I n d e x   =   / *   s o m e   c a l c u l a t i o n   b a s e d   o n   A l l o c S i z e   * / ;                 }                   S O M E _ S T R U C T   l i s t   =   S r v N e t B u f f e r L o o k a s i d e s [ L o o k a s i d e L i s t I n d e x ] ;                 R e s u l t   =   / *   f e t c h   r e s u l t   f r o m   l i s t   * / ;         }           / /   I n i t i a l i z e   s o m e   R e s u l t   f i e l d s . . .           r e t u r n   R e s u l t ; } S r v N e t A l l o c a t e B u f f e r F r o m P o o l
标 志 会 影 响 该 功 能 的 功 能 ， 但 是 它 是 由 一 个 未 记 录 的 注 册 表 设 置 来 设 置 的 ， 并 且 默 认 情 况 下 处 于 禁 用 状 态 ， 因 此 不 是 很 有 趣 。 1 .   后 备 列 表 用 于 有 效 地 为 驱 动 程 序 保 留 一 组 可 重 用 的 固 定 大 小 的 缓 冲 区 。 后 备 列 表 的 功 能 之 一 是 定 义 自 定 义 的 分 配 / 空 闲 功 能 ， 这 些 功 能 将 用 于 管 理 缓 冲 区 。 查 看 数 组 的 引 用 ， 我 们 发 现 它 已 在 函 数 中 初 始 化 ， 并 且 通 过 查 看 它 ， 我 们 学 到 了 以 下 内 容 ： 2 .   自 定 义 分 配 函 数 定 义 为 ， 仅 调 用 。 3 .   我 们 使 用 P y t h o n 快 速 计 算 出 了 以 下 大 小 的 9 个 后 备 列 表 ： 它 与 我 们 的 发 现 相 符 ， 即 不 使 用 后 备 列 表 就 分 配 了 大 于 字 节 的 分 配 。 结 论 是 每 个 分 配 请 求 最 终 都 出 现 在 函 数 中 ， 因 此 让 我 们 看 一 下 它 。 S r v N e t A l l o c a t e B u f f e r F r o m P o o l 和 分 配 的 缓 冲 区 布 局 该 函 数 使 用 该 函 数 在 池 中 分 配 一 个 缓 冲 区 ， 然 后 用 数 据 填 充 某 些 结 构 。 分 配 的 缓 冲 区 的 布 局 如 下 ： 对 于 我 们 的 研 究 范 围 ， 此 布 局 的 唯 一 相 关 部 分 是 用 户 缓 冲 区 和 结 构 。 我 们 可 以 立 即 看 到 ， 通 过 溢 出 用 户 缓 冲 区 ， 我 们 最 终 将 覆 盖 该 结 构 。 看 起 来 很 方 便 。 S r v D i s a b l e N e t B u f f e r L o o k A s i d e L i s t S r v N e t B u f f e r L o o k a s i d e s S r v N e t C r e a t e B u f f e r L o o k a s i d e s S r v N e t B u f f e r L o o k a s i d e A l l o c a t e S r v N e t A l l o c a t e B u f f e r F r o m P o o l 0 x 1 0 0 1 0 0 > > >   [ h e x ( ( 1   < <   ( i   +   1 2 ) )   +   2 5 6 )   f o r   i   i n   r a n g e ( 9 ) ] [ ‘ 0 x 1 1 0 0 ’ ,   ‘ 0 x 2 1 0 0 ’ ,   ‘ 0 x 4 1 0 0 ’ ,   ‘ 0 x 8 1 0 0 ’ ,   ‘ 0 x 1 0 1 0 0 ’ ,   ‘ 0 x 2 0 1 0 0 ’ ,   ‘ 0 x 4 0 1 0 0 ’ ,   ‘ 0 x 8 0 1 0 0 ’ ,   ‘ 0 x 1 0 0 1 0 0 ’ ] S r v N e t A l l o c a t e B u f f e r F r o m P o o l S r v N e t A l l o c a t e B u f f e r F r o m P o o l N o n P a g e d P o o l N x E x A l l o c a t e P o o l W i t h T a g A L L O C A T I O N _ H E A D E R A L L O C A T I O N _ H E A D E R
覆 盖 A L L O C A T I O N _ H E A D E R 结 构 这 时 我 们 的 第 一 个 想 法 是 ， 由 于 调 用 之 后 的 检 查 ： 将 被 调 用 ， 并 且 该 函 数 将 失 败 ， 因 为 我 们 将 其 设 计 成 一 个 很 大 的 数 字 ， 并 且 将 成 为 一 个 较 小 的 数 字 ， 代 表 解 压 缩 的 字 节 的 实 际 数 量 。 因 此 ， 我 们 分 析 了 该 函 数 ， 设 法 将 分 配 指 针 替 换 为 一 个 幻 数 ， 然 后 等 待 f r e e 函 数 尝 试 对 其 进 行 释 放 ， 以 期 稍 后 将 其 用 于 f r e e - a f t e r - f r e e 或 类 似 用 途 。 但 是 令 我 们 惊 讶 的 是 ， 该 函 数 崩 溃 了 。 这 使 我 们 感 到 高 兴 ， 因 为 我 们 根 本 不 希 望 到 达 那 里 ， 但 是 我 们 必 须 检 查 它 为 什 么 发 生 。 可 以 在 函 数 的 实 现 中 找 到 说 明 ： 基 本 上 ， 如 果 解 压 缩 成 功 ， 将 更 新 以 保 留 的 值 ， 即 缓 冲 区 的 大 小 。 对 返 回 值 的 这 种 故 意 更 新 对 我 们 来 说 似 乎 很 可 疑 ， 因 为 这 个 小 细 节 以 及 分 配 的 缓 冲 区 布 局 允 许 非 常 方 便 地 利 用 此 错 误 。 由 于 执 行 继 续 到 复 制 原 始 数 据 的 阶 段 ， 因 此 让 我 们 再 次 查 看 该 调 用 ： 从 S m b C o m p r e s s i o n D e c o m p r e s s i f   ( S t a t u s   <   0   | |   F i n a l C o m p r e s s e d S i z e   ! =   H e a d e r - > O r i g i n a l C o m p r e s s e d S e g m e n t S i z e )   {         S r v N e t F r e e B u f f e r ( A l l o c ) ;         r e t u r n   S T A T U S _ B A D _ D A T A ; } S r v N e t F r e e B u f f e r O r i g i n a l C o m p r e s s e d S e g m e n t S i z e F i n a l C o m p r e s s e d S i z e S r v N e t F r e e B u f f e r m e m c p y S m b C o m p r e s s i o n D e c o m p r e s s N T S T A T U S   S m b C o m p r e s s i o n D e c o m p r e s s (         U S H O R T   C o m p r e s s i o n A l g o r i t h m ,         P U C H A R   U n c o m p r e s s e d B u f f e r ,         U L O N G     U n c o m p r e s s e d B u f f e r S i z e ,         P U C H A R   C o m p r e s s e d B u f f e r ,         U L O N G     C o m p r e s s e d B u f f e r S i z e ,         P U L O N G   F i n a l C o m p r e s s e d S i z e ) {         / /   . . .           N T S T A T U S   S t a t u s   =   R t l D e c o m p r e s s B u f f e r E x 2 (                 . . . ,                 F i n a l U n c o m p r e s s e d S i z e ,                 . . . ) ;         i f   ( S t a t u s   > =   0 )   {                 * F i n a l C o m p r e s s e d S i z e   =   C o m p r e s s e d B u f f e r S i z e ;         }           / /   . . .           r e t u r n   S t a t u s ; } F i n a l C o m p r e s s e d S i z e C o m p r e s s e d B u f f e r S i z e F i n a l C o m p r e s s e d S i z e m e m c p y (         A l l o c - > U s e r B u f f e r ,         ( P U C H A R ) H e a d e r   +   s i z e o f ( C O M P R E S S I O N _ T R A N S F O R M _ H E A D E R ) ,         H e a d e r - > O f f s e t ) ; A L L O C A T I O N _ H E A D E R
结 构 中 读 取 目 标 地 址 ， 我 们 可 以 覆 盖 该 结 构 。 缓 冲 区 的 内 容 和 大 小 也 由 我 们 控 制 。 大 奖 ！ 远 程 写 入 内 核 中 的 任 何 内 容 ！ 本 地 特 权 升 级 现 在 我 们 有 了 写 在 哪 里 的 漏 洞 ， 我 们 该 怎 么 办 ？ 显 然 ， 我 们 可 能 会 使 系 统 崩 溃 。 我 们 也 许 可 以 触 发 远 程 代 码 执 行 ， 但 是 还 没 有 找 到 一 种 方 法 来 执 行 。 如 果 我 们 在 本 地 主 机 上 使 用 该 漏 洞 并 泄 漏 其 他 信 息 ， 则 可 以 将 其 用 于 本 地 特 权 升 级 ， 因 为 已 经 通 过 多 种 技 术 证 明 了 它 的 可 能 。 我 们 尝 试 的 第 一 种 技 术 是 M o r t e n   S c h e n k 在 其 《 B l a c k   H a t   U S A   2 0 1 7 》 演 讲 中 提 出 的 。 该 技 术 涉 及 覆 盖 驱 动 程 序 部 分 中 的 函 数 指 针 ， 然 后 从 用 户 模 式 调 用 适 当 的 函 数 以 执 行 代 码 。 j 0 0 r u 写 了 一 篇 有 关 在 W C T F   2 0 1 8 中 使 用 此 技 术 的 出 色 文 章 ， 并 提 供 了 他 的 利 用 源 代 码 。 我 们 针 对 “ 在 哪 里 写 ” 漏 洞 进 行 了 调 整 ， 但 发 现 它 不 起 作 用 ， 因 为 处 理 S M B 消 息 的 线 程 不 是 G U I 线 程 。 因 此 ， 它 没 有 被 映 射 ， 并 且 该 技 术 也 不 相 关 （ 除 非 有 一 种 使 其 成 为 G U I 线 程 的 方 法 ， 这 是 我 们 未 研 究 的 ） 。 我 们 最 终 在 2 0 1 2 年 的 B l a c k   H a t 演 讲 E a s y   E a s y   W i n d o w s   K e r n e l   E x p l o i t a t i o n 中 使 用 了 c e r a r c e r 涵 盖 的 众 所 周 知 的 技 术 。 该 技 术 是 关 于 通 过 使 用 A P I 泄 漏 当 前 进 程 令 牌 地 址 ， 然 后 对 其 进 行 覆 盖 ， 授 予 当 前 进 程 令 牌 特 权 ， 该 特 权 随 后 可 用 于 特 权 升 级 。 该 滥 权 令 牌 特 权 期 末 由 布 莱 恩 · 亚 历 山 大 （ 研 究 d r o n e s e c ） 和 斯 蒂 芬 · 布 林 （ b r e e n m a c h i n e ） （ 2 0 1 7 ） 展 示 了 使 用 权 限 提 升 各 种 令 牌 特 权 的 几 种 方 法 。 我 们 的 漏 洞 利 用 基 于 A l e x a n d r e   B e a u l i e u 在 “ 利 用 任 意 写 入 权 限 升 级 特 权 ” 文 章 中 友 善 地 共 享 的 代 码 。 通 过 将 D L L 注 入 来 修 改 进 程 的 令 牌 特 权 后 ， 我 们 完 成 了 特 权 升 级 。 D L L 的 全 部 目 的 是 启 动 的 特 权 实 例 。 我 们 的 完 整 本 地 特 权 升 级 概 念 证 明 可 在 此 处 找 到 ， 仅 可 用 于 研 究 / 防 御 目 的 。 概 要 我 们 设 法 证 明 可 以 利 用 C V E - 2 0 2 0 - 0 7 9 6 漏 洞 进 行 本 地 特 权 升 级 。 请 注 意 ， 我 们 的 利 用 仅 限 于 中 等 完 整 性 级 别 ， 因 为 它 依 赖 于 较 低 完 整 性 级 别 不 可 用 的 A P I 调 用 。 我 们 可 以 做 得 更 多 吗 ？ 也 许 可 以 ， 但 是 这 需 要 更 多 的 研 究 。 我 们 可 以 在 分 配 的 缓 冲 区 中 覆 盖 许 多 其 他 字 段 ， 也 许 其 中 之 一 可 以 帮 助 我 们 实 现 其 他 有 趣 的 事 情 ， 例 如 远 程 代 码 执 行 。 1 .   我 们 建 议 将 服 务 器 和 端 点 更 新 为 最 新 的 W i n d o w s 版 本 ， 以 修 复 此 漏 洞 。 如 果 可 能 ， 请 阻 塞 端 口 4 4 5 ， 直 到 部 署 更 新 为 止 。 无 论 C V E - 2 0 2 0 - 0 7 9 6 ， 我 们 建 议 在 可 能 的 情 况 下 启 用 主 机 隔 离 。 2 .   可 以 禁 用 S M B v 3 . 1 . 1 压 缩 以 避 免 触 发 此 错 误 ， 但 是 ， 如 果 可 能 的 话 ， 我 们 建 议 执 行 完 全 更 新 。 A L L O C A T I O N _ H E A D E R . d a t a w i n 3 2 k b a s e . s y s w i n 3 2 k b a s e . s y s N t Q u e r y S y s t e m I n f o r m a t i o n ( S y s t e m H a n d l e I n f o r m a t i o n ) w i n l o g o n . e x e c m d . e x e 本 文 翻 译 自 ： h t t p s : / / b l o g . z e c o p s . c o m / v u l n e r a b i l i t i e s / e x p l o i t i n g - s m b g h o s t - c v e - 2 0 2 0 - 0 7 9 6 - f o r - a - l o c a l - p r i v i l e g e - e s c a l a t i o n - w r i t e u p - a n d - p o c /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理