搜索

[9285] 2015-08-28_Blackhat专题：WSUS漏洞利用的理论与实践

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-17
2015-08-28_Blackhat专题：WSUS漏洞利用的理论与实践 B l a c k h a t 专 题 ： W S U S 漏 洞 利 用 的 理 论 与 实 践 F r e e B u f   2 0 1 5 - 0 8 - 2 8 P a u l   S t o n e 和 和 A l e x   C h a p m a n 在 在 B l a c k h a t 2 0 1 5 提 出 了 一 个 关 于 提 出 了 一 个 关 于 W i n d o w s   S e r v e r   U p d a t e   S e r v i c e   ( W S U S )   的 漏 洞 。 攻 击 者 可 以 的 漏 洞 。 攻 击 者 可 以 用 中 间 人 用 中 间 人 ( M a n   I n   T h e   M i d d l e ,   M I T M ) 攻 击 利 用 该 漏 洞 ， 让 用 户 下 载 并 且 安 装 伪 造 的 更 新 。 攻 击 利 用 该 漏 洞 ， 让 用 户 下 载 并 且 安 装 伪 造 的 更 新 。 众 所 周 知 ， 微 软 通 过 W i n d o w s 更 新 服 务   ( u p d a t e   s e r v i c e ) 给 用 户 提 供 更 新 。 客 户 端 周 期 性 的 运 行 w u a u c t l . e x e 与 更 新 服 务 器 通 信 ， 以 检 查 目 前 是 否 有 新 的 更 新 。 如 果 有 ， 便 下 载 安 装 这 些 更 新 。 在 企 业 环 境 下 ， 成 千 上 万 的 客 户 端 重 复 下 载 相 同 的 更 新 无 疑 会 对 带 宽 造 成 极 大 的 浪 费 。 而 且 管 理 员 也 很 难 对 更 新 安 装 进 行 有 效 的 控 制 。 W i n d o w s   S e r v e r   U p d a t e   S e r v i c e   ( W S U S )   很 好 的 解 决 了 这 个 问 题 。 W S U S 可 以 说 是 一 个 更 新 代 理 服 务 器 ： W S U S   服 务 器 从 服 务 器 从 I n t e r n e t 下 载 了 更 新 并 且 将 其 缓 存 在 本 地 ， 下 载 了 更 新 并 且 将 其 缓 存 在 本 地 ，   并 对 网 络 里 的 其 他 并 对 网 络 里 的 其 他 w i n d o w s 计 算 机 提 供 更 新 服 务 。 计 算 机 提 供 更 新 服 务 。 这 样 一 来 ， 网 络 里 的 其 他 w i n d o w s 计 算 机 就 要 从 这 个 W S U S 服 务 器 下 载 更 新 ， 而 不 是 从 I n t e r n e t 。 1 .   客 户 端 上 客 户 端 上 W S U S 的 连 接 设 置 的 连 接 设 置 在 注 册 表 中 ,   检 查 H K L M S o f t w a r e P o l i c i e s M i c r o s o f t W i n d o w s W i n d o w s U p d a t e A U 中 U s e W U S e r v e r 的 值 是 否 为 1   （ 1   为 启 用 ， 0 为 禁 用 ） 。 W S U S 的 具 体 连 接 设 置 保 存 在 H K E Y _ L O C A L _ M A C H I N E S o f t w a r e P o l i c i e s M i c r o s o f t W i n d o w s W i n d o w s U p d a t e W U S e r v e r 例
如 ， h t t p : / / w s u s - s e r v e r . c o m : 8 5 3 0 ， h t t p 是 下 层 连 接 协 议 ， w s u s - s e r v e r . c o m 是 W S U S 服 务 器 的 域 名 ， 8 5 3 0 是 端 口 号 。 当 然 ， 如 果 W S U S 服 务 器 支 持 的 话 ， 我 们 也 可 以 用 h t t p s 来 取 代 h t t p 。 但 是 微 软 的 默 认 设 置 是 h t t p 。 而 且 大 多 数 企 业 也 不 愿 意 负 担 高 额 的 证 书 费 用 来 支 持 h t t p s 。 2 .   W S U S   协 议 协 议 W S U S   用 封 装 在 H T T P 里 的 S O A P   X M L 消 息 来 通 讯 。 客 户 端 首 先 告 诉 更 新 服 务 器 自 己 已 经 安 装 了 哪 些 更 新 （ S y n c U p d a t e s ） 。 更 新 服 务 器 则 返 回 一 个 结 果 ( S y n c U p d a t e s R e s u l t ) ， 说 明 服 务 器 上 还 有 哪 些 新 的 更 新 可 以 提 供 给 客 户 端 。 客 户 端 进 一 步 询 问 新 的 更 新 的 具 体 信 息 ( G e t E x t e n d e d U p d a t e I n f o ) 。 最 后 更 新 服 务 器 把 具 体 信 息 告 知 客 户 端 ( G e t E x t e n d e d U p d a t e I n f o R e s u l t ) 。 如 图 所 示 ， 注 意 S y n c U p d a t e s   发 了 两 遍 ， 第 一 次 是 为 软 件 更 新 ， 第 二 次 是 为 硬 件 驱 动 更 新 。 根 据 上 图 ， 给 个 直 观 的 例 子 吧 ： 下 载 后 ， 客 户 端 会 检 查 一 下 该 更 新 的 哈 希 值 和 签 名 ， 如 果 一 切 正 常 ， 客 户 端 会 自 动 安 装 该 更 新 或 者 提 醒 用 户 手 动 安 装 。
3 .   风 险 风 险 W S U S 服 务 器 默 认 只 支 持 h t t p 。 我 们 知 道 h t t p 本 身 并 不 安 全 ， 无 法 保 证 消 息 的 机 密 性 ， 完 整 性 ，   也 无 法 让 客 户 端 对 服 务 器 进 行 认 证 。 所 以 攻 击 者 可 以 用 中 间 人 ( M a n   I n   T h e   M i d d l e ,   M I T M ) 来 劫 持 W S U S 通 信 ， 插 入 伪 造 的 更 新 信 息 来 欺 骗 客 户 端 。 很 多 方 法 可 以 进 行 中 间 人 攻 击 ， 比 如 利 用 a r p 欺 骗 ， 这 里 不 进 行 深 入 讨 论 。 本 文 侧 重 于 如 何 伪 造 W S U S 消 息 。 攻 击 者 可 以 在 S y n c U p d a t e s R e s u l t 插 入 伪 造 的 更 新 I D ， 然 后 在 G e t E x t e n d e d U p d a t e I n f o R e s u l t   中 继 续 提 供 伪 造 的 U R L 等 ， 欺 骗 客 户 端 下 载 并 安 装 ， 如 下 图 所 示 一 个 攻 击 的 例 子 如 下 ： 在 这 种 情 况 下 ， 客 户 端 就 会 从 h t t p : / / w s u s . e v i l . c o m / u p d a t e /   下 载 e v i l . e x e 。 请 注 意 ， 这 里 还 有 一 层 保 护 机 制 :   所 有 下 载 的 软 件 更 新 都 必 须 有 微 软 签 名 。 如 果 签 名 验 证 不 成 功 ， 那 么 该 下 载 的 更 新 会 被 立 即 删 除 。 我 们 知 道 微 软 的 签 名 还 是 很 难 伪 造 的 ， 那 是 不 是 就 没 有 办 法 了 呢 ？ 其 实 我 们 没 有 必 要 伪 造 签 名 ， 想 想 那 些 已 经 被 微 软 签 名 的 软 件 ， 特 别 是 s y s i n t e r n a l s 的 工 具 ， 很 多 都 可 以 用 来 做 坏 事 的 ， 比 如 说 p s e x e c   和 b g i n f o ， 都 是 有 微 软 签 名 的 程 序 。 （ 第 一 个 想 到 的 是 c m d . e x e ， 但 是 c m d . e x e 其 实 并 没 有 被 微 软 签 名 ）
这 样 ， 攻 击 者 就 可 以 把 p s e x e c 或 者 b g i n f o 伪 装 成 更 新 ， 配 以 构 造 的 安 装 脚 本 ， 推 送 到 客 户 端 得 以 安 装 运 行 。 4 .   P r o o f   O f   C o n c e p t   ( P O C ) P a u l   S t o n e 和 A l e x   C h a p m a n 提 供 的 P O C 似 乎 有 一 些 b u g , 至 少 我 没 有 测 试 成 功 。 在 这 里 我 提 供 一 个 本 人 修 改 过 的 P O C 。 这 个 P O C 的 目 的 是 把 b g i n f o 伪 装 成 一 个 更 新 ， 推 送 给 客 户 端 ， 使 其 下 载 安 装 。 我 在 本 地 用 b u r p   s u i t e 劫 持 并 修 改 W S U S 消 息 ： 1 ． 把 以 下 消 息 插 入 到 第 一 个 S y n c U p d a t e s R e s u l t   消 息 中 ， < T r u n c a t e d > f a l s e < / T r u n c a t e d >   的 前 面 ； 2 ． 第 二 个 S y n c U p d a t e s R e s u l t   消 息 是 关 于 硬 件 驱 动 的 ， 不 用 修 改 ， 直 接 放 过 ； 3 ． 删 除 G e t E x t e n d e d U p d a t e I n f o   消 息 中 的 < i n t > 1 9 9 9 9 9 9 2 < / i n t >   < i n t > 1 9 9 9 9 9 9 3 < / i n t > ， 然 后 放 过 ； 4 ． 在 G e t E x t e n d e d U p d a t e I n f o R e s u l t   消 息 中 的 < U p d a t e s > … < / U p d a t e s > 中 加 上 ；
U r l   标 签 中 的 标 签 中 的 y o u r u r l   填 你 自 己 的 主 机 名 。 填 你 自 己 的 主 机 名 。 打 完 收 工 ， 发 现 伪 造 的 更 新 信 息 已 经 被 客 户 端 接 受 了 。 查 看 一 下 这 个 更 新 的 具 体 信 息 。
发 现 b g i n f o . e x e 已 经 被 下 载 到 了 本 地 。 试 着 安 装 一 下 ， 成 功 ！ * F r e e B u f 特 约 作 者 ： n i c k c h a n g   ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理