搜索

[7306] 2021-05-07_猫鼠游戏：Windows内核提权样本狩猎思路分享

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2021-05-07_猫鼠游戏：Windows内核提权样本狩猎思路分享 猫 鼠 游 戏 ： W i n d o w s 内 核 提 权 样 本 狩 猎 思 路 分 享 E 安 全   2 0 2 1 - 0 5 - 0 7 以 下 文 章 来 源 于 安 恒 威 胁 情 报 中 心   ， 作 者 猎 影 实 验 室 猫 鼠 游 戏 ： 猫 鼠 游 戏 ： W i n d o w s 内 核 提 权 样 本 狩 猎 思 路 分 享 内 核 提 权 样 本 狩 猎 思 路 分 享 b y   银 雁 冰 · 猎 影 实 验 室 0 1 背 景 背 景 随 着 W i n d o w s 平 台 的 几 大 主 流 浏 览 器 ( C h r o m e ,   E d g e ,   I E ) 和 文 字 处 理 软 件 ( O f f i c e ,   A d o b e   R e a d e r ) 相 继 引 入 沙 箱 机 制 ， W i n d o w s 内 核 提 权 漏 洞 的 需 求 也 随 之 上 升 。 在 这 个 背 景 下 ， 近 几 年 披 露 的 W i n d o w s 内 核 提 权 0 d a y 攻 击 事 件 也 居 于 高 位 。 下 表 展 示 了 2 0 1 7 年 - 2 0 2 1 年 ( 至 今 ) 全 球 范 围 内 披 露 的 W i n d o w s 内 核 提 权 在 野 0 d a y 编 号 及 对 应 的 披 露 厂 商 ， 从 表 中 可 以 直 观 地 感 受 到 上 述 现 象 。 安 恒 威 胁 情 报 中 心 安 恒 威 胁 情 报 中 心   . 安 恒 威 胁 情 报 中 心 专 注 于 威 胁 情 报 的 收 集 、 处 理 、 分 析 、 应 用 ， 定 期 提 供 高 质 量 的 威 胁 情 报 。
这 些 W i n d o w s 内 核 提 权 零 日 漏 洞 成 本 高 昂 ， 因 此 其 背 后 一 般 都 是 水 平 高 超 或 实 力 雄 厚 的 A P T 组 织 。 对 威 胁 情 报 部 门 来 说 ， 如 何 有 效 狩 猎 这 些 在 野 的 W i n d o w s 内 核 提 权 漏 洞 样 本 已 经 变 为 一 个 需 要 深 入 思 考 的 问 题 。 关 于 这 个 问 题 ， K a s p e r s k y 作 为 W i n d o w s 内 核 提 权 0 d a y 狩 猎 方 面 的 先 行 者 ， 已 经 公 开 分 享 过 一 些 他 们 在 这 方 面 的 经 验 ； C h e c k P o i n t 在 最 近 半 年 也 分 享 了 3 篇 关 于 内 核 提 权 样 本 狩 猎 的 研 究 文 章 ， 非 常 值 得 学 习 ( 对 这 些 资 料 的 引 用 将 会 列 举 在 本 文 的 最 后 ， 供 读 者 参 考 ) 。 本 文 将 分 享 安 恒 威 胁 情 报 中 心 猎 影 实 验 室 在 这 方 面 的 一 些 思 考 ， 讨 论 侧 重 点 为 内 存 破 坏 类 内 核 提 权 漏 洞 ， 这 一 块 我 们 尚 处 在 摸 索 阶 段 ， 不 足 之 处 敬 请 斧 正 。 0 2 内 存 破 坏 类 内 核 提 权 漏 洞 内 存 破 坏 类 内 核 提 权 漏 洞 内 存 破 坏 类 内 核 提 权 漏 洞 一 般 由 C / C + + 语 言 的 不 安 全 操 作 引 发 ， 最 为 常 见 的 是 w i n 3 2 k 组 件 中 由 于 C a l l b a c k 机 制 导 致 的 U A F 漏 洞 。 为 什 么 w i n 3 2 k 组 件 中 的 U A F 漏 洞 这 么 多 ？ 这 要 从 W i n d o w s   N T 的 设 计 历 史 说 起 。 在 W i n d o w s 操 作 系 统 设 计 初 期 ， w i n 3 2 k 子 系 统 是 在 用 户 态 的 ( 实 线 的 上 半 部 分 ) ， 如 下 ： 为 什 么 为 什 么 w i n 3 2 k 组 件 容 易 出 问 题 ？ 组 件 容 易 出 问 题 ？
但 从 W i n d o w s   N T 4 开 始 ， 这 部 分 代 码 被 移 到 了 内 核 态 ( 实 线 的 下 半 部 分 ) ， 内 核 态 新 增 了 一 个 w i n 3 2 k . s y s 模 块 ： 上 述 重 新 设 计 引 入 了 如 下 3 个 不 安 全 因 素 ： 0 1 新 的 系 统 调 用   ( 1 1 0 0 + s y s c a l l s ) 0 2 用 户 模 式 回 调   ( U s e r - m o d e   C a l l b a c k ) 0 3 用 户 态 和 内 核 态 之 间 的 共 享 数 据   ( S h a r e d   d a t a ) 重 新 设 计 后 ， 上 述 3 点 都 可 能 引 发 新 的 安 全 漏 洞 ， W i n d o w s 内 核 团 队 也 意 识 到 了 这 几 点 ， 所 以 针 对 性 地 进 行 了 加 固 ， 但 安 全 研 究 人 员 还 是 不 断 从 中 找 出 安 全 漏 洞 。 在 2 0 1 1 年 B l a c k h a t   U S A 大 会 上 ， T a r j e i   M a n d t 公 开 了 他 对 W i n 3 2 k   U s e r - M o d e   C a l l b a c k 机 制 的 研 究 成 果 ， 从 此 大 量 研 究 人 员 开 始 关 注 w i n 3 2 k 模 块 中 的 U s e r - M o d e   C a l l b a c k 攻 击 面 ， 并 发 现 了 许 多 新 的 w i n 3 2 k 模 块 U A F 漏 洞 。
0 3 如 何 狩 猎 内 核 提 权 利 用 样 本 如 何 狩 猎 内 核 提 权 利 用 样 本 有 过 漏 洞 研 究 基 础 的 同 学 都 知 道 ， 一 个 典 型 的 漏 洞 利 用 过 程 大 概 有 这 几 个 环 节 ： 我 们 可 以 从 上 述 每 一 个 阶 段 入 手 ， 分 别 思 考 一 下 每 一 阶 段 潜 在 的 一 些 狩 猎 点 。 触 发 漏 洞 阶 段 触 发 漏 洞 阶 段   触 发 漏 洞   堆 喷 射 ( 非 必 需 )   信 息 泄 露   构 造 读 写 原 语   代 码 执 行
静 态 层 面 ， 首 先 ， 我 们 可 以 检 查 P E 文 件 的 导 入 表 中 是 否 导 入 了 u s e r 3 2 . d l l 中 的 下 面 几 个 函 数 ， 因 为 大 部 分 w i n 3 2 k 漏 洞 利 用 都 需 要 创 建 窗 口 或 菜 单 ： C r e a t e W i n d o w E x A   /   C r e a t e W i n d o w E x W R e g i s t e r C l a s s E x A   /   R e g i s t e r C l a s s E x W D e s t r o y W i n d o w C r e a t e M e n u C r e a t e P o p u p M e n u 其 次 ， W i n 3 2 k   U s e r - M o d e   C a l l b a c k 漏 洞 一 定 存 在 H o o k 回 调 表 的 操 作 ， 这 是 一 个 可 疑 行 为 ( 6 4 位 样 本 会 存 在 和 下 面 很 像 的 一 个 代 码 片 段 ) ： m o v   r a x ,   g s : [ 6 0 h ] l e a   r a x ,   [ r a x + 5 8 h ] m o v   r a x ,   [ r a x ] r e t 动 态 层 面 ， 对 于 U A F 漏 洞 和 部 分 越 界 读 写 漏 洞 ， 可 以 通 过 开 启 D r i v e r   V i r i f i e r 进 行 检 测 ， U A F 漏 洞 样 本 在 开 启 D r i v e r   V i r i f i e r 的 环 境 中 会 触 发 蓝 屏 异 常 ， 判 定 0 d a y 最 简 单 的 标 准 就 是 ： 当 然 ， 有 一 些 内 存 破 坏 类 内 核 提 权 漏 洞 无 法 通 过 D r i v e r   V i r i f i e r 检 测 到 ， 一 个 典 型 例 子 就 是 我 们 捕 获 的 C V E - 2 0 2 1 - 1 7 3 2 。 堆 喷 射 阶 段 变 化 比 较 多 ， 可 以 创 建 多 个 W i n d o w s 或 多 个 B i t m a p s ， 例 如 C V E - 2 0 1 8 - 8 4 5 3 的 在 野 利 用 ； 也 可 以 创 建 多 个 加 速 表 ( C r e a t e A c c e l e r a t o r T a b l e ) ， 例 如 C V E - 2 0 1 7 - 8 4 6 5 的 开 源 利 用 代 码 ； 也 可 以 创 建 多 个 t a g C L S 结 构 ， 比 如 《 L P E v u l n e r a b i l i t i e s   e x p l o i t a t i o n   o n   W i n d o w s   1 0   A n n i v e r s a r y   U p d a t e 》 这 个 P P T 第 3 6 页 提 出 的 方 法 。 信 息 泄 露 阶 段 信 息 泄 露 阶 段 关 于 W i n d o w s 内 核 信 息 泄 露 技 巧 ， G i t h u b 上 有 一 个 项 目 ( 项 目 地 址 列 举 在 文 末 ) 总 结 得 较 为 完 整 。 项 目 中 有 一 张 表 格 ， 该 表 格 详 细 列 出 了 W i n d o w s 内 核 信 息 泄 露 的 各 种 技 巧 ， 并 且 通 过 不 同 的 图 标 展 示 了 这 些 技 巧 在 各 版 本 W i n d o w s 操 作 系 统 中 的 可 用 性 。   全 补 丁 环 境 蓝 屏   =   0 d a y 堆 喷 射 阶 段 堆 喷 射 阶 段 ( 非 必 须 非 必 须 )
这 张 表 格 只 将 操 作 系 统 写 到 W i n d o w s   1 7 0 3 ( R e d s t o n e   2 ) ， 但 仅 根 据 表 格 内 信 息 我 们 也 可 发 现 ： 只 有 H M V a l i d a t e H a n d l e 这 一 技 巧 一 直 稳 定 存 在 ( 从 1 8 0 3 开 始 也 进 行 了 缓 解 ) 。   静 态 层 面 ， 我 们 可 以 通 过 查 找 H M V a l i d a t e H a n d l e 的 代 码 特 征 来 发 现 内 核 信 息 泄 露 的 线 索 。 以 下 是 一 段 查 找 H M V a l i d a t e H a n d l e 的 典 型 代 码 ， 如 果 在 静 态 分 析 时 遇 到 类 似 代 码 片 段 ， 就 应 值 得 留 意 ： P V O I D   f i n d _ H M V a l i d a t e H a n d l e ( P V O I D   p I s M e n u ) {         U L O N G   H M V a l i d a t e H a n d l e A d d r   =   0 ;         w h i l e   ( T R U E )         {                 i f   ( * ( B Y T E * ) p I s M e n u   = =   0 x E 8 )                 {                         H M V a l i d a t e H a n d l e A d d r   =   * ( D W O R D * ) ( ( U L O N G ) p I s M e n u   +   1 ) ;                         H M V a l i d a t e H a n d l e A d d r   + =   ( U L O N G ) p I s M e n u   +   0 x 0 5   -   0 x 1 0 0 0 0 0 0 0 0 ;                         r e t u r n   ( P V O I D ) H M V a l i d a t e H a n d l e A d d r ;                 }                 p I s M e n u   =   ( B Y T E * ) p I s M e n u   +   1 ;         }         r e t u r n   0 ; }
动 态 分 析 层 面 ， 由 于 H M V a l i d a t e H a n d l e 是 一 个 未 导 出 函 数 ， 系 统 在 正 常 调 用 这 个 函 数 时 ， 对 其 调 用 的 地 址 来 自 u s e r 3 2 . d l l 内 部 ； 但 当 这 个 函 数 被 用 于 信 息 泄 露 时 ， 对 其 调 用 的 地 址 位 于 漏 洞 利 用 模 块 ， 这 个 地 址 并 不 位 于 u s e r 3 2 . d l l 模 块 。 我 们 可 以 借 助 这 一 原 理 进 行 运 行 时 检 测 ： 将 来 自 u s e r 3 2 . d l l 外 的 对 H M V a l i d a t e H a n d l e 的 调 用 标 记 为 可 疑 行 为 并 记 录 。 这 方 面 已 经 有 国 外 的 研 究 员 做 了 样 例 ， 一 并 列 举 在 文 末 。 在 W i n d o w s 内 核 利 用 的 历 史 中 ， 相 继 有 操 作 t a g W N D ， B i t m a p ， P a l e t t e ， M e n u 等 相 关 结 构 体 的 A P I 登 场 ， 发 展 到 现 在 ， 已 经 公 开 且 还 没 有 被 完 全 缓 解 的 任 意 地 址 读 写 原 语 辅 助 函 数 已 经 只 剩 S e t W i n d o w L o n g * 系 列 函 数 和 M e n u 相 关 函 数 ， 所 以 查 看 导 入 表 中 是 否 有 u s e r 3 2 . d l l 中 的 下 面 几 个 函 数 是 一 种 思 路 ： S e t W i n d o w L o n g A   /   S e t W i n d o w L o n g W S e t W i n d o w L o n g P t r A   /   S e t W i n d o w L o n g P t r W G e t M e n u I t e m R e c t   /   S e t M e n u I t e m I n f o G e t M e n u B a r I n f o ( C V E - 2 0 2 1 - 1 7 3 2 在 野 利 用 中 首 次 发 现 在 野 利 用 中 首 次 发 现 ) 除 了 上 述 A P I ， 早 期 版 本 的 一 些 利 用 代 码 还 可 以 包 括 下 面 这 些 导 入 函 数 ： ▲ G e t B i t m a p B i t s   /   S e t B i t m a p B i t s   /   C r e a t e C o m p a t i b l e B i t m a p   /   C r e a t e B i t m a p I n d i r e c t   /   C r e a t e D i s c a r d a b l e B i t m a p   /   C r e a t e D I B i t m a ▲ G e t P a l e t t e E n t r i e s   /   S e t P a l e t t e E n t r i e s ▲ S e t W i n d o w T e x t A   /   S e t W i n d o w T e x t W   /   I n t e r n a l G e t W i n d o w T e x t ▲ N t U s e r D e f S e t T e x t 代 码 执 行 阶 段 代 码 执 行 阶 段 对 于 W i n d o w s 内 核 提 权 漏 洞 而 言 ， 其 主 要 目 的 是 为 了 提 升 权 限 ， 而 提 升 权 限 的 主 要 手 法 就 是 进 行 T o k e n 替 换 ， 因 此 可 以 通 过 以 下 几 个 特 征 点 进 行 检 查 ： 在 实 现 任 意 地 址 读 写 原 语 后 ， 是 否 有 借 助 泄 露 的 内 核 地 址 进 行 结 构 查 找 的 操 作 ， 例 如 遍 历 E P R O C E S S 链 在 合 适 的 时 间 点 ( 如 当 前 进 程 退 出 前 ) 检 查 当 前 的 进 程 的 T o k e n 是 否 已 被 替 换 为 其 他 高 权 限 进 程 ( 例 如 S y s t e m 进 程 ) 的 T o k e n ， 或 者 查 看 当 前 进 程 创 建 的 子 进 程 的 T o k e n 是 否 为 S y s t e m 权 限 构 造 读 写 原 语 阶 段 构 造 读 写 原 语 阶 段
0 4 W i n d o w s 内 核 漏 洞 利 用 攻 防 史 内 核 漏 洞 利 用 攻 防 史 W i n d o w s 内 核 团 队 和 漏 洞 缓 解 团 队 一 直 致 力 于 减 少 W i n d o w s 内 核 的 漏 洞 & 利 用 攻 击 面 ， 简 单 了 解 W i n d o w s 系 统 中 的 内 核 安 全 攻 防 时 间 线 有 助 于 我 们 对 W i n d o w s 内 核 利 用 历 史 的 了 解 和 对 W i n d o w s 内 核 利 用 趋 势 的 预 测 ， 这 些 对 狩 猎 都 有 帮 助 。 W i n d o w s   7 ○ K A S L R ■ 需 要 额 外 的 内 核 信 息 泄 露 来 绕 过 K A S L R ■ 绕 过 方 式 ： h t t p s : / / g i t h u b . c o m / s a m - b / w i n d o w s _ k e r n e l _ a d d r e s s _ l e a k s W i n d o w s   8 . 1 ○ S M E P   ( S u p e r v i s o r   M o d e   E x e c u t i o n   P r e v e n t i o n ) ■ 需 要 处 理 器 支 持 ( 2 0 1 1 年 引 入 ) ，   C R 4 寄 存 器 的 第 2 0 位 作 为 开 关 ■ 当 C P U 处 于 R i n g 0 模 式 时 ， 如 果 执 行 了 R i n g 3 的 代 码 ， 就 会 触 发 页 错 误 ■ 绕 过 方 式 ： C V E - 2 0 1 5 - 2 3 6 0   D u q u   2 . 0 在 野 利 用 样 本 ○ 禁 止 使 用 禁 止 使 用 0 地 址 页 地 址 页 ■ 之 前 的 内 核 空 指 针 引 用 漏 洞 利 用 方 式 ： 申 请 0 地 址 ， 借 助 0 地 址 进 行 任 意 地 址 读 写 ■ 之 后 的 内 核 空 指 针 引 用 漏 洞 利 用 ： 0 地 址 页 无 法 申 请 ， 无 法 完 成 利 用 ， 例 如 C V E - 2 0 1 8 - 8 1 2 0 不 能 在 W i n d o w s   8 及 以 上 版 本 进 行 利 用 W i n d o w s   1 0   1 6 0 7   ( R e d s t o n e 1 ○ 提 升 提 升 B y p a s s   K A S L R 的 难 度 的 难 度 ■ 将 G D I _ C E L L 结 构 的 p K e r n e l A d d r e s s 成 员 置 为 空 ， 通 过 G d i S h a r e d H a n d l e T a b l e 进 行 内 核 信 息 泄 露 的 方 式 被 缓 解 ○ 缓 解 通 过 缓 解 通 过 S e t W i n d o w T e x t 操 纵 操 纵 t a g W N D . s t r N a m e 进 行 任 意 内 核 地 址 读 写 的 利 用 方 式 进 行 任 意 内 核 地 址 读 写 的 利 用 方 式 ■ 限 制 t a g W N D . s t r N a m e 指 针 只 能 指 向 桌 面 堆   ( 缓 解 C V E - 2 0 1 5 - 2 3 6 0 和 C V E - 2 0 1 6 - 7 2 5 5 这 两 个 漏 洞 的 在 野 利 用 方 式 ) ○ 将 字 体 解 析 模 块 拆 为 独 立 组 件 ， 并 将 其 权 限 限 制 为 将 字 体 解 析 模 块 拆 为 独 立 组 件 ， 并 将 其 权 限 限 制 为 A p p C o n t a i n e r ■ 缓 解 w i n 3 2 k 字 体 解 析 类 提 权 漏 洞 ， 限 制 这 类 漏 洞 利 用 过 程 中 的 文 件 读 写 ( 缓 解 C V E - 2 0 1 6 - 7 2 5 6 和 C V E - 2 0 2 0 - 0 9 3 8 这 些 字 体 漏 洞 的 在 W i n d o w s   1 0 上 的 利 用 ) W i n d o w s   1 0   1 7 0 3   ( R e d s t o n e 2 ) ○ 提 升 提 升 B y p a s s   K A S L R 的 难 度 的 难 度 ■ 缓 解 通 过 g S h a r e d I n f o 进 行 p v S c a n 0 内 核 指 针 信 息 泄 露 的 方 式 ■ 缓 解 通 过 桌 面 堆 进 行 内 核 信 息 泄 露 的 方 式 ： W i n 3 2 C l i e n t I n f o 结 构 体 内 的 u l C l i e n t D e l t a 指 针 被 移 除 ， 无 法 再 通 过 u l C l i e n t D e l t a 进 行 内 核 信 息 泄 露 ○ 缓 解 借 助 缓 解 借 助 t a g W N D 构 造 任 意 地 址 读 写 原 语 的 方 式 构 造 任 意 地 址 读 写 原 语 的 方 式 ■ S e t W i n d o w L o n g P t r 操 作 的 E x t r a B y t e s 内 存 指 针 被 移 到 用 户 态 ， 无 法 再 借 助 它 对 t a g W N D . s t r N a m e 进 行 修 改 ○ 缓 解 借 助 缓 解 借 助 B i t m a p 进 行 利 用 的 方 式 进 行 利 用 的 方 式 ■ B i t m a p 对 象 头 部 大 小 增 加 了 8 字 节
W i n d o w s   1 0   1 7 0 9   ( R e d s t o n e 3 ) ○ W i n 3 2 k   T y p e   I s o l a t i o n   f o r   B i t m a p ： 将 ： 将 B i t m a p   h e a d e r 与 与 B i t m a p   d a t a 分 开 分 开 ■ 进 一 步 缓 解 借 助 B i t m a p 对 象 构 造 任 意 地 址 读 写 原 语 的 方 式 ○ 绕 过 方 式 ： 借 助 绕 过 方 式 ： 借 助 P a l e t t e 对 象 构 造 任 意 地 址 读 写 原 语 ， 参 考 《 对 象 构 造 任 意 地 址 读 写 原 语 ， 参 考 《 D e m y s t i f y i n g   W i n d o w s   K e r n e l   E x p l o i t a t i o n b y   A b u s i n g   G D I   O b j e c t s 》 》 W i n d o w s   1 0   1 8 0 3   ( R e d s t o n e 4 ) ○ W i n 3 2 k   T y p e   I s o l a t i o n   f o r   P a l e t t e ■ 缓 解 借 助 P a l e t t e 对 象 构 造 任 意 地 址 读 写 原 语 的 方 式 ■ 绕 过 T y p e   I s o l a t i o n 缓 解 措 施 的 提 权 样 本 ： C V E - 2 0 1 8 - 8 4 5 3 在 野 利 用 样 本 ， 具 体 细 节 参 考 《 O v e r v i e w   o f   t h e   l a t e s t   W i n d o w s   O S   k e r n e l   e x p l o i t s   f o u n d   i n   t h e   w i l d 》 ○ 缓 解 通 过 缓 解 通 过 H M V a l i d a t e H a n d l e 进 行 内 核 信 息 泄 露 的 方 式 进 行 内 核 信 息 泄 露 的 方 式 ■ 通 过 H M V a l i d a t e H a n d l e 泄 露 的 内 核 t a g W N D 副 本 中 ， 相 关 指 针 值 不 复 存 在 W i n d o w s   1 0   1 8 0 9   ( R e d s t o n e 5 ) ○ 继 续 提 升 继 续 提 升 B y p a s s   K A S L R 的 难 度 的 难 度 ■ 创 建 多 个 桌 面 堆 ， 对 相 关 A P I 进 行 大 幅 修 改 ■ 绕 过 方 式 ： 用 一 种 新 的 方 式 泄 漏 并 计 算 包 含 内 核 模 式 指 针 的 对 象 的 绝 对 地 址 ， 可 参 考 《 D E V E L O P M E N T   O F   A   N E W   W I N D O W S   1 0   K A S L R   B Y P A S S   ( I N   O N E   W I N D B G   C O M M A N D ) 》 这 篇 文 章 W i n d o w s   1 0 1 9 0 3 ○ 进 一 步 缓 解 内 核 漏 洞 利 用 的 攻 击 面 进 一 步 缓 解 内 核 漏 洞 利 用 的 攻 击 面 ■ 绕 过 方 式 ： C V E - 2 0 2 1 - 1 7 3 2 在 野 利 用 样 本 ， 借 助 s p m e n u 进 行 内 核 信 息 泄 露 ， 借 助 G e t M e n u B a r I n f o / S e t W i n d o w L o n g 函 数 实 现 任 意 地 址 读 写 ， 可 在 最 新 版 W i n d o w s   2 0 H 2 系 统 上 完 成 利 用 0 5 主 流 浏 览 器 与 主 流 浏 览 器 与 w i n 3 2 k 漏 洞 的 攻 防 史 漏 洞 的 攻 防 史 C h r o m e / E d g e ( C h r o m i u m - b a s e d ) ○ W i n 3 2 k   L o c k d o w n ■ C h r o m e 于 2 0 1 6 年 首 先 引 入 ， 在 C h r o m e + W i n d o w s   8 . 1 及 以 上 环 境 中 禁 止 调 用 w i n 3 2 k 模 块 的 A P I ■ 绕 过 方 式 ： 采 用 w i n 3 2 k 模 块 以 外 的 内 核 漏 洞 ， 例 如 C V E - 2 0 1 8 - 8 6 1 1 和 C V E - 2 0 2 0 - 1 7 0 8 7 这 类 在 野 利 用 样 本 E d g e ( C h a k r a ) ○ W i n 3 2 k   S y s t e m   C a l l   F i l t e r ■ W i n d o w s   8 . 1 开 始 支 持 ■ 限 制 对 部 分 w i n 3 2 k   A P I 进 行 调 用 ： 在 R S 3 中 E d g e 可 以 调 用 3 4 9 个 w i n 3 2 k   A P I ； 而 在 R S 4 中 ， E d g e 能 调 用 的 w i n 3 2 k   A P I 数 量 减 少 为 7 8 个 ， 所 有 G D I 对 象 都 无 法 在 E d g e 中 创 建 ■ 绕 过 方 式 ： 使 用 那 些 没 有 被 过 滤 的 w i n 3 2 k   A P I 的 漏 洞 ， 例 如 D i r e c t X 漏 洞 ， 可 以 参 考 《 S u b v e r t i n g   D i r e c t   X   K e r n e l   F o r   G a i n i n g   R e m o t e   S y s t e m 》
0 6 W i n d o w s 内 核 提 权 漏 洞 趋 势 预 测 内 核 提 权 漏 洞 趋 势 预 测 1 .   W i n d o w s   1 0 上 的 内 核 漏 洞 挖 掘 难 度 也 许 变 化 不 大 ， 但 利 用 难 度 已 经 变 得 非 常 大 2 .   主 流 浏 览 器 / 文 档 处 理 软 件 相 继 引 入 S a n d b o x 机 制 ， A P T 组 织 对 沙 箱 逃 逸 / 提 权 漏 洞 的 需 求 会 越 来 越 大 3 .   传 统 的 w i n 3 2 k 组 件 内 核 提 权 漏 洞 逐 渐 被 主 流 浏 览 器 拒 之 门 外 4 .   非 w i n 3 2 k 模 块 内 核 提 权 漏 洞 的 需 求 在 A P T 市 场 上 会 继 续 增 加 ， 但 成 本 会 越 来 越 高 ， 类 似 C V E - 2 0 1 8 - 8 6 1 1 这 种 高 度 复 杂 漏 洞 利 用 接 下 来 还 会 出 现 5 .   逻 辑 类 提 权 漏 洞 的 数 量 会 稍 有 增 加 ( 作 为 内 存 破 坏 类 漏 洞 的 替 代 品 ) 6 .   浏 览 器 自 身 组 件 的 沙 箱 逃 逸 漏 洞 数 量 也 会 增 加 ， 这 类 漏 洞 是 浏 览 器 自 己 的 漏 洞 ， 但 也 可 以 实 现 沙 箱 逃 ， 可 以 从 L o w 提 权 到 M e d i u m ， 比 如 C h r o m e   M o j o 组 件 的 沙 箱 逃 逸 漏 洞 和 W i n d o w s 打 印 机 提 权 漏 洞 0 7 参 考 链 接 参 考 链 接 0 d a y   " I n   t h e   W i l d "   ( b y   G o o g l e   P r o j e c t   Z e r o ) h t t p s : / / d o c s . g o o g l e . c o m / s p r e a d s h e e t s / d / 1 l k N J 0 u Q w b e C 1 Z T R r x d t u P L C I l 7 m l U r e o K f S I g a j n S y Y / v i e w # g i d = 1 1 2 3 2 9 2 6 2 5   H u n t i n g   f o r   P r i v i l e g e   E s c a l a t i o n   i n   W i n d o w s   E n v i r o n m e n t   ( b y   K a s p e r s k y ) h t t p s : / / s p e a k e r d e c k . c o m / h e i r h a b a r o v / h u n t i n g - f o r - p r i v i l e g e - e s c a l a t i o n - i n - w i n d o w s - e n v i r o n m e n t   T h r e e   W i n d o w s   z e r o - d a y s   i n   t h r e e   m o n t h s :   h o w   w e   f o u n d   t h e m   i n   t h e   w i l d   ( b y   K a s p e r s k y ) h t t p s : / / w w w . b r i g h t t a l k . c o m / w e b c a s t / 1 5 5 9 1 / 3 4 8 7 0 4 / t h r e e - w i n d o w s - z e r o - d a y s - i n - t h r e e - m o n t h s - h o w - w e - f o u n d - t h e m - i n - t h e - w i l d   O v e r v i e w   o f   t h e   l a t e s t   W i n d o w s   O S   k e r n e l   e x p l o i t s   f o u n d   i n   t h e   w i l d   ( b y   K a s p e r s k y ) h t t p s : / / g i t h u b . c o m / o c t 0 x o r / p r e s e n t a t i o n s / b l o b / m a s t e r / 2 0 1 9 - 0 2 - O v e r v i e w % 2 0 o f % 2 0 t h e % 2 0 l a t e s t % 2 0 W i n d o w s % 2 0 O S % 2 0 k e r n e l % 2 0 e x p l o i t s % 2 0 f o u n d % 2 0 i n % 2 0 t h e % 2 0 w i l d . p d f   R e t r o s p e c t i v e   o n   t h e   l a t e s t   z e r o - d a y s   f o u n d   i n   t h e   w i l d   ( b y   K a s p e r s k y ) h t t p s : / / g i t h u b . c o m / o c t 0 x o r / p r e s e n t a t i o n s / b l o b / m a s t e r / 2 0 2 0 - 0 1 - R e t r o s p e c t i v e % 2 0 o n % 2 0 t h e % 2 0 l a t e s t % 2 0 z e r o - d a y s % 2 0 f o u n d % 2 0 i n % 2 0 t h e % 2 0 w i l d . p d f   G r a p h o l o g y   o f   a n   E x p l o i t   -   H u n t i n g   f o r   e x p l o i t s   b y   l o o k i n g   f o r   t h e   a u t h o r ' s   f i n g e r p r i n t s   ( b y   C h e c k P o i n t ) h t t p s : / / r e s e a r c h . c h e c k p o i n t . c o m / 2 0 2 0 / g r a p h o l o g y - o f - a n - e x p l o i t - v o l o d y a /   E x p l o i t   D e v e l o p e r   S p o t l i g h t :   T h e   S t o r y   o f   P l a y B i t   ( b y   C h e c k P o i n t ) h t t p s : / / r e s e a r c h . c h e c k p o i n t . c o m / 2 0 2 0 / g r a p h o l o g y - o f - a n - e x p l o i t - p l a y b i t /   T h e   S t o r y   o f   J i a n   -   H o w   A P T 3 1   S t o l e   a n d   U s e d   a n   U n k n o w n   E q u a t i o n   G r o u p   0 - D a y   ( b y   C h e c k P o i n t )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理