搜索

[28736] 2021-01-23_安全建议：MSRPC打印机后台处理程序中继（CVE-2021-1678）

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-01-23_安全建议：MSRPC打印机后台处理程序中继（CVE-2021-1678） 安 全 建 议 ： M S R P C 打 印 机 后 台 处 理 程 序 中 继 （ C V E - 2 0 2 1 - 1 6 7 8 ） E y a l   K a r n i   O t s 安 全   2 0 2 1 - 0 1 - 2 3 在 补 丁 星 期 二 ， 2 0 2 1 年 1 月 1 2 日 ， 微 软 发 布 了 一 个 补 丁 C V E - 2 0 2 1 年 至 1 6 7 8 年 ， 由 C r o w d S t r i k e 发 现 了 一 个 重 要 漏 洞 ® 研 究 员 。 此 漏 洞 允 许 攻 击 者 将 N T L M 身 份 验 证 会 话 中 继 到 受 攻 击 的 计 算 机 ， 并 使 用 打 印 机 后 台 处 理 程 序 M S R P C 接 口 在 受 攻 击 的 计 算 机 上 远 程 执 行 代 码 。 C o m p a s s   S e c u r i t y 的 S y l v a i n   H e i n i g e r 在 “ 通 过 R P C 中 继 N T L M 身 份 验 证 ” 中 首 次 出 现 了 类 似 的 M S R P C 中 继 。 S y l v a i n 在 他 的 博 客 中 描 述 了 他 如 何 利 用 M S R P C 接 口 上 不 安 全 的 身 份 验 证 级 别 来 通 过 N T L M 中 继 实 现 远 程 代 码 执 行 。   在 此 博 客 文 章 中 ， 我 们 展 示 了 如 何 利 用 I R e m o t e W i n S p o o l   M S R P C 接 口 ， 以 及 公 司 如 何 保 护 自 己 免 受 此 漏 洞 的 侵 害 。 该 利 用 技 术 类 似 于 其 他 先 前 的 打 印 机 后 台 处 理 程 序 漏 洞 利 用 ， 例 如 P r i n t D e m o n ： 打 印 后 台 处 理 程 序 权 限 提 升 ， 持 久 性 和 隐 密 性 （ C V E - 2 0 2 0 - 1 0 4 8 及 更 高 版 本 ） 。 以 下 是 技 术 细 节 ： 以 下 是 技 术 细 节 ： N T L M 中 继 基 础 N T L M 身 份 验 证 协 议 容 易 受 到 中 继 攻 击 。 N T L M 中 继 是 一 种 常 见 的 攻 击 技 术 ， 其 中 攻 击 一 台 计 算 机 的 攻 击 者 可 以 通 过 使 用 针 对 受 感 染 服 务 器 的 N T L M 身 份 验 证 ， 横 向 移 动 到 其 他 计 算 机 。
图 1 .   N T L M 中 继 基 本 流 程 多 年 来 ， M i c r o s o f t 已 开 发 出 多 种 缓 解 措 施 来 阻 止 N T L M 中 继 攻 击 。 您 可 以 在 以 前 发 布 的 C r o w d S t r i k e 博 客 中 找 到 有 关 N T L M 中 继 的 更 详 细 的 介 绍 。 D C E   /   R P C 中 继 只 要 没 有 所 需 的 保 护 ， 就 可 以 从 任 何 协 议 到 任 何 协 议 成 功 中 继 N T L M 身 份 验 证 。 以 前 的 N T L M 中 继 攻 击 包 括 针 对 其 他 协 议 ， 例 如 服 务 器 消 息 块 （ S M B ） 和 L D A P   /   S 。 在 此 博 客 中 ， 我 们 专 注 于 针 对 M S R P C 。 对 于 S M B 和 L D A P ， 来 自 N T L M 中 继 的 主 要 保 护 是 数 据 包 签 名 ， 这 是 使 用 G P O （ “   M i c r o s o f t 网 络 服 务 器 ： 对 数 字 通 信 （ 始 终 ） 进 行 数 字 签 名 ” （ W i n d o w s   1 0 ） - W i n d o w s 安 全 性 ） 强 制 执 行 的 。   M S R P C 以 不 同 的 方 式 实 施 中 继 和 中 间 人 （ M I T M ） 数 据 包 安 全 性 。 M S R P C 服 务 器 定 义 其 所 需 的 身 份 验 证 级 别 。 此 级 别 确 定 基 础 身 份 验 证 机 制 必 须 提 供 的 用 于 对 此 服 务 器 （ 接 口 ） 进 行 身 份 验 证 的 功 能 ： 图 2 .   M S R P C 身 份 验 证 级 别   R P C _ C _ A U T H N _ L E V E L _ C O N N E C T 的 身 份 验 证 级 别 在 初 始 请 求 （ 绑 定 请 求 ） 上 对 用 户 进 行 身 份 验 证 ， 但 不 对 传 输 的 命 令 进 行 任 何 加 密 或 签 名 。 允 许 此 身 份 验 证 级 别 的 接 口 会 使 自 己 容 易 受 到 N T L M 中 继 攻 击 。 由 于 这 一 固 有 的 弱 点 ， 人 们 希 望 用 于 服 务 器 注 册 的 M S R P C   A P I 默 认 隐 式 选 择 安 全 选 项 ， 并 拒 绝 身 份 验 证 级 别 低 于
R P C _ C _ A U T H N _ L E V E L _ P K T _ I N T E G R I T Y 的 客 户 端 。 但 是 ， 在 M S R P C 情 况 下 ， 它 是 每 个 接 口 本 身 ， 因 为 每 个 R P C 接 口 都 可 以 通 过 检 查 回 调 中 的 身 份 验 证 级 别 来 手 动 执 行 适 当 的 身 份 验 证 级 别 （ 例 如 ， R p c S e r v e r R e g i s t e r I f E x 函 数 （ r p c d c e . h ） 中 的 I f C a l l b a c k   –   W i n 3 2 应 用 程 序 ） 。   这 种 情 况 使 许 多 R P C 服 务 器 容 易 受 到 缺 乏 关 注 或 由 于 旧 设 置 的 攻 击 。 在 上 述 C o m p a s s   S e c u r i t y 的 博 客 中 ， 利 用 了 任 务 计 划 程 序 界 面 。   后 台 打 印 程 序 特 权 提 升 在 寻 找 不 需 要 任 何 形 式 的 数 据 包 安 全 性 的 易 受 攻 击 的 R P C 接 口 时 ， 我 们 发 现 了 一 个 有 趣 的 易 受 攻 击 的 接 口 ： I R e m o t e W i n s p o o l ， 它 是 用 于 远 程 打 印 机 后 台 处 理 程 序 管 理 的 R P C 接 口 。 在 进 行 这 项 研 究 时 ， 我 们 回 顾 了 一 个 先 前 的 研 究 ： P r i n t D e m o n ：   A l e x   I o n e s c u 和 Y a r d e n   S h a f i r 的 P r i n t   S p o o l e r 特 权 提 升 ， 持 久 性 和 隐 形 性 （ C V E - 2 0 2 0 - 1 0 4 8 及 更 高 版 本 ） 。 在 博 客 中 ， 他 们 展 示 了 如 何 利 用 打 印 机 假 脱 机 程 序 界 面 ， 即 使 启 动 用 户 没 有 足 够 的 权 限 来 执 行 此 类 文 件 操 作 ， 也 可 以 将 其 作 为 S Y S T E M 写 入 任 意 文 件 。 但 是 ， 我 们 的 情 况 是 不 同 的 。 由 于 我 们 使 用 的 是 N T L M 中 继 ， 因 此 利 用 涉 及 到 从 具 有 足 够 特 权 的 用 户 帐 户 中 使 用 N T L M 会 话 来 执 行 一 系 列 R P C 操 作 ， 以 产 生 所 需 的 效 果 。 将 所 有 这 些 拼 凑 在 一 起 以 进 行 有 效 的 利 用 会 产 生 以 下 序 列 ：   1 .   与 攻 击 者 控 制 的 中 继 计 算 机 建 立 N T L M 会 话 。 2 .   攻 击 者 在 所 需 目 标 上 绑 定 到 I R e m o t e W i n s p o o l 接 口 ， 然 后 选 择 R P C _ C _ A U T H N _ L E V E L _ C O N N E C T 的 身 份 验 证 级 别 。 3 .   攻 击 者 通 过 已 建 立 的 R P C 通 道 中 继 N T L M 身 份 验 证 。   4 .   执 行 一 系 列 类 似 于 P r i n t e r D e m o n 利 用 流 程 的 R P C 命 令 ：   R p c A s y n c I n s t a l l P r i n t e r D r i v e r F r o m P a c k a g e （ O p n u m   6 2 ） — 安 装 “ 通 用 / 文 本 ” 打 印 机 驱 动 程 序 R p c A s y n c O p e n P r i n t e r （ O p n u m   0 ） R p c A s y n c X c v D a t a （ O p n u m   3 3 ） — 添 加 端 口 R p c A s y n c A d d P r i n t e r （ O p n u m   1 ） — 使 用 上 述 驱 动 程 序 添 加 打 印 机 R p c A s y n c S t a r t D o c P r i n t e r （ O p n u m   1 0 ） — 开 始 一 个 新 文 档 R p c A s y n c W r i t e P r i n t e r （ O p n u m   1 2 ） — 写 入 新 文 档 我 们 已 经 实 施 了 该 攻 击 的 有 效 概 念 验 证 （ P O C ） ， 并 将 很 快 发 布 。 我 们 的 代 码 是 基 于 i m p a c k e t 与 罗 盘 安 全 性 （ 与 I R e m o t e W i n s p o o l 更 换 T S C H 接 口 ） 和 我 们 的 实 现 打 印 后 台 处 理 程 序 的 升 级 流 程 的 M S R P C 继 电 器 实 现 。  
图 3 .   C V E - 2 0 2 1 - 1 6 7 8 开 发 流 程 修 复 分 析 修 补 由 S y l v a i n   H e i n i g e r 标 识 的 原 始 问 题 时 ， M i c r o s o f t 在 T a s k   S c h e d u l e r 服 务 使 用 的 I f C a l l b a c k 中 添 加 了 适 当 的 检 查 ， 而 可 能 由 于 兼 容 性 问 题 而 未 对 R P C 运 行 时 进 行 任 何 较 大 的 更 改 。 在 提 交 了 同 一 类 问 题 的 第 二 个 实 例 后 ， 我 们 不 知 道 M i c r o s o f t 是 否 将 尝 试 其 他 有 针 对 性 的 修 复 或 更 大 的 更 改 。 我 们 对 S p o o l s v . e x e 中 的 I R e m o t e W i n s p o o l 的 实 现 进 行 了 反 向 工 程 ， 我 们 发 现 一 个 名 为 R p c M a n a g e r   : :   V e r i f y R p c V a l i d P r o t o c o l S e q u e n c e 的 共 享 函 数 用 于 一 些 不 同 的 R P C 接 口 ， 包 括 I R e m o t e W i n S p o o l 。 最 初 ， 此 功 能 可 以 验 证 I R e m o t e W i n s p o o l 是 否 使 用 了 n c a c n _ i p _ t c p 协 议 序 列 ， 从 而 确 保 仅 接 受 远 程 T C P   /   I P 客 户 端 （ 而 不 接 受 S M B 管 道 和 / 或 本 地 A L P C 客 户 端 ） 。 不 出 所 料 ， 没 有 对 身 份 验 证 安 全 级 别 进 行 检 查 。 补 丁 之 后 ， 将 新 的 I f C a l l b a c k 函 数 添 加 到 二 进 制 文 件 中 ， 我 们 在 下 面 显 示 了 伪 代 码 ：
图 4 . 修 补 后 的 I R e m o t e W i n s p o o l 中 使 用 的 新 的 R P C 验 证 流 程 我 们 可 以 在 这 里 看 到 ， 现 在 仅 通 过 验 证 安 全 级 别 就 扩 展 了 仅 用 于 验 证 协 议 序 列 的 调 用 ， 如 下 所 示 ：
图 5 . 修 补 程 序 强 制 使 用 R P C _ C _ A U T H N _ L E V E L _ P K T _ P R I V A C Y 或 更 高 版 本 后 的 安 全 级 别 验 证 这 是 另 一 种 战 术 修 复 ， 与 I T a s k S c h e d u l e r 接 口 的 修 复 类 似 ， 在 该 修 复 中 ， 现 在 对 照 R P C _ C _ A U T H N _ L E V E L _ P K T _ P R I V A C Y 检 查 客 户 端 的 身 份 验 证 级 别 ， 如 果 未 设 置 ， 则 使 用 R P C _ S _ A C C E S S _ D E N I E D 拒 绝 呼 叫 。 但 是 ， 有 趣 的 是 ， 我 们 注 意 到 仅 在 设 置 了 注 册 表 值 的 情 况 下 才 采 用 此 代 码 路 径 ， 即 使 在 应 用 补 丁 程 序 后 也 似 乎 未 启 用 该 值 。   如 图 5 中 的 代 码 所 示 ， 必 须 在 H K E Y _ L O C A L _ M A C H I N E     S Y S T E M     C u r r e n t C o n t r o l S e t     C o n t r o l     P r i n t 密 钥 中 将 R E G _ D W O R D 值 R p c A u t h n L e v e l P r i v a c y E n a b l e d 设 置 为 1 ， 否 则 将 不 执 行 此 附 加 检 查 ， 并 且 系 统 仍 然 容 易 受 到 攻 击 。 现 在 已 经 发 布 了 补 丁 程 序 ， M i c r o s o f t 在 以 下 支 持 文 章 中 对 此 行 为 进 行 了 说 明 ， 该 文 章 确 认 默 认 情 况 下 ， R P C 打 印 机 绑 定 仍 将 允 许 存 在 漏 洞 的 连 接 。 在 六 月 的 更 新 中 ， 将 发 布 第 二 个 补 丁 ， 使 安 全 注 册 表 设 置 成 为 默 认 设 置 。 如 何 保 护 我 的 网 络 ？ 我 们 建 议 采 取 一 些 步 骤 来 保 护 您 的 网 络 免 受 此 漏 洞 和 其 他 类 似 的 N T L M 中 继 攻 击 ：
1 .   补 丁 程 序 补 丁 程 序 ： ： 与 往 常 一 样 ， 您 应 尽 快 应 用 M S 补 丁 程 序 以 缓 解 发 现 的 攻 击 。 请 注 意 ， 仅 打 补 丁 是 不 够 的 。 除 非 您 根 据 M i c r o s o f t 指 南 更 改 注 册 表 设 置 ， 否 则 您 仍 然 容 易 受 到 此 攻 击 。   2 .   配 置 安 全 的 配 置 安 全 的 N T L M 设 置 设 置 ： ： 默 认 情 况 下 ， 某 些 N T L M 中 继 缓 解 措 施 未 启 用 ， 从 而 使 网 络 不 安 全 。 最 值 得 注 意 的 是 S M B 签 名 ， L D A P 签 名 和 L D A P S 通 道 绑 定 。 查 看 这 些 安 全 设 置 ， 并 确 保 您 的 网 络 受 到 完 全 保 护 。 3 .   跟 踪 跟 踪 N T L M 的 使 用 的 使 用 ： ： 最 终 ， 在 作 者 看 来 ， 任 何 组 织 的 目 标 都 应 该 是 完 全 停 止 使 用 N T L M 。 该 建 议 基 于 我 们 过 去 发 现 并 在 博 客 中 发 布 的 各 种 N T L M 安 全 问 题 。   4 .   检 测 检 测 N T L M 中 继 攻 击 中 继 攻 击 ： ： 保 护 和 删 除 网 络 中 的 N T L M 是 一 个 漫 长 而 复 杂 的 I T 项 目 。 只 要 您 的 网 络 不 完 全 安 全 ， 我 们 建 议 您 使 用 安 全 产 品 来 帮 助 检 测 N T L M 异 常 和 N T L M 中 继 攻 击 。   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理