主頁 >  其他 > 安全漏洞一內核漏洞利用

安全漏洞一內核漏洞利用

2021-10-22 07:14:22 其他

漏洞描述

Windows 事件跟蹤 (ETW) 機制允許記錄內核或應用程式定義的事件以進行除錯， 開發人員能夠啟動和停止事件跟蹤會話，檢測應用程式以提供跟蹤事件，并通過呼叫 ETW 用戶模式 Windows API 集來使用跟蹤事件，

最終，這些將導致對內核 (ntoskrnl.exe) 的相應系統呼叫請求以執行功能，在ETW請求更新周期性捕獲狀態中，在特定條件下，存在一個use-after-free漏洞，攻擊者可以可控地分配一個0x30位元組的緩沖區，釋放它，然后重用這個緩沖區來執行任意代碼，該漏洞于2021年8月末紕漏詳情

漏洞詳情

使用NtTraceControl() 函式發送更新定期捕獲狀態的請求，函式代碼為 0x25（EtwFunctionUpdatePeriodicCaptureState） ，則會呼叫內核態函式EtwpUpdatePeriodicCaptureState，

第一次呼叫會申請一塊TimerContextInfo內核池，

第二次呼叫該函式在在內部可以通過傳入的引數（控制GUID），導致（呼叫回呼函式）釋放到掉內核物件TimerContextInfo，

第三次呼叫該函式將再次訪問TimerContextInfo，導致UAF

該漏洞在windows 10低版本中并不存在EtwpUpdatePeriodicCaptureState，本文以windows 10 20H2 x64系統進行Exploit的開發，

ed2k://|file|cn_windows_10_business_editions_version_20h2_updated_march_2021_x64_dvd_ca61aaaa.iso|6074574848|B6741C4E4B09337471B02DC95E953992|/

為了感謝廣大讀者伙伴的支持，準備了以下福利給到大家：

[一>獲取<一]

1、200多本網路安全系列電子書（該有的都有了）

2、全套工具包（最全中文版，想用哪個用哪個）

3、100份src原始碼技術檔案（專案學習不停，實踐得真知）

4、網路安全基礎入門、Linux、web安全、攻防方面的視頻（2021最新版）

6、 網路安全學習路線（告別不入流的學習）

7、ctf奪旗賽決議（題目決議實戰操作）
[一>獲取<一]

漏洞成因

第一次呼叫NtTraceControl函式并發送EtwFunctionUpdatePeriodicCaptureState代碼，則會呼叫內核函式EtwpUpdatePeriodicCaptureState，

? 該函式內部通過傳入的LogId獲取其對應的LoggerContext，通過控制Logid和GUID，滿足EtwpCheckNotificationAccess條件，則會將LoggerContext->PeriodicCaptureStateGuids.ProviderCount置為傳入的NumOfGuids，
? 并在后續申請大小為0x30的TimerContextInfo物件，并進行初始化，設定 TimerContextInfo->WorkItem.WorkerRoutine的回呼函式為SendCaptureStateNotificationsWorker，引數為TimerContextInfo物件
? 呼叫ExSetTimer，并將LoggerContext->PeriodicCaptureStateTimerState設定為 EtwpPeriodicTimerSet（TRUE），計時器例程為TimerContextInfo

image.png

第二次呼叫時，通過控制傳入的GUID，可以讓其走Free分支，在這個分支LoggerContext->PeriodicCaptureStateGuids.ProviderCount將會被設定為0

image.png

如果在第二次呼叫之后，sendCaptureStateNotificationsWorker回呼函式被執行，那么此時因為LoggerContext->PeriodicCaptureStateGuids.ProviderCount被重置為0，該函式只是簡單的將LoggerContext->PeriodicCaptureStateTimerState = EtwpPeriodicTimerUnset（False）

image.png

并在函式末尾釋放掉TimerContextInfo物件

image.png

然而再第三次呼叫，同樣選擇走Alloc_TimerContextInfo分支，在將LoggerContext->PeriodicCaptureStateGuids.ProviderCount置為傳入的NumOfGuids后，因為之前申請的LoggerContext->PeriodicCaptureStateTimer，已經被設定了，所以不會申請新的LoggerContext，只是將LoggerContext->PeriodicCaptureStateTimerState 設定為 EtwpPeriodicTimerSet，當系統呼叫SendCaptureStateNotificationsWorker、ExAllocateTimer函式時，傳入的引數TimerContextInfo已經被釋放，導致UAF

image.png

POC開發

在呼叫NtTraceControl，FunctionCode為EtwFunctionUpdatePeriodicCaptureState，InBuffer的結構體為

image.png

EtwpCheckNotificationAccess繞過

POC開發的難點在于如何繞過EtwpCheckNotificationAccess的檢測，該函式會檢測GUID對應的SecurityDescriptor是否包含特定的權限

image.png

本次需要繞過的權限檢測為0x80(**TRACELOG_GUID_ENABLE**)

image.png

系統中的GUID，包含TRACELOG_GUID_ENABLE的有很多，但是有一點我們需要明確，我們現在的權限相對較低，不能使用組為SYSTEM、LOCAL SERVICE、Administrators等權限較高的組，可以選擇使用Everyone、Users等權限較低的用戶

image.png

經過篩選，有3個GUID可以滿足要求，如下,既是Authenticated Users 低權限組，又包含TRACELOG_GUID_ENABLE的ACCESS MASK權限

14f8138e-3b61-580b-544b-2609378ae460             Allow NT AUTHORITY\Authenticated Users        001204e1    WMIGUID_QUERY, TRACELOG_CREATE_REALTIME, TRACELOG_CREATE_ONDISK, TRACELOG_GUID_ENABLE, TRACELOG_ACCESS_REALTIME                                                    
541dae91-cc3c-5807-b064-c2561c16d7e8             Allow NT AUTHORITY\Authenticated Users        001204e1    WMIGUID_QUERY, TRACELOG_CREATE_REALTIME, TRACELOG_CREATE_ONDISK, TRACELOG_GUID_ENABLE, TRACELOG_ACCESS_REALTIME                                                    
cb2ff72d-d4e4-585d-33f9-f3a395c40be7             Allow NT AUTHORITY\Authenticated Users        001204e1    WMIGUID_QUERY, TRACELOG_CREATE_REALTIME, TRACELOG_CREATE_ONDISK, TRACELOG_GUID_ENABLE, TRACELOG_ACCESS_REALTIME

EtwpCheckNotificationAccess有兩個引數

第一個引數為 上述結構體中的Guids，我們可以通過上面3個GUID中的任意一個進行繞過

第二個引數為LoggerId對應的LoggerContext結構體的InstanceGuid（可以通過對EtwpAcquireLoggerContextByLoggerId函式的逆向得到）

image.png

EtwpLoggerContext中默認的GUID

windbg里面可以直觀的看到EtwpLoggerContext里面保存的是個型別為_WMI_LOGGER_CONTEXT的陣列

image.png

該結構體_WMI_LOGGER_CONTEXT，的0x124位置保存著InstanceGuid

image.png

通過以下命令，我們可以獲取該陣列內的所有InstanceGuid

.for(r $t1=0;$t1<0x40;r $t1=$t1+1;){r $t1 ;dt nt!_GUID poi(poi(poi( nt!PspHostSiloGlobals+360h)+1c8)+($t1*8))+124h)}

image.png

這些LoggerId對應的權限雖然有包含0x80權限的，但其所處的組權限較高，因此我們通過控制LoggerId獲取系統自身的InstanceGuid進行繞過可能不太理想

image.png

向EtwpLoggerContext注冊GUID

既然EtwpLoggerContext中不存在低權限，且又包含TRACELOG_GUID_ENABLE權限的GUID，那么我們是否可以注冊一個GUID到EtwpLoggerContext中呢?

發現確實可以注冊GUID到EtwpLoggerContext中，該代碼中，我們只需要將SessionGuid和ProviderGuid改為我們自己的GUID即可

image.png

注冊GUID的部分代碼如下，其中SessionHandle即為LoggerID

image.png

通過上述描述，我們可以通過注冊一個GUID到EtwpLoggerContext陣列中，然后通過該GUID的索引，構造ETW_UPDATE_PERIODIC_CAPTURE_STATE結構體，并前后發送三次請求即可造成BSOD

image.png

Exploit開發

占位TimerContextInfo物件

在POC開發中已經得知是第二次呼叫NtTraceControl之后，TimerContextInfo物件被釋放，因此我們要在第二次呼叫之后進行占位，其大小為0x30位元組（不包含Pool Header），型別為NonPagedPoolNx，通過對TimerContextInfo的逆向，該結構體大概如下

image.png

通過逆向在IopVerifierExAllocatePoolWithQuota的呼叫中會申請型別為NonPagedPoolNx的Pool，其上層呼叫如NtSetInformationFile、NtSetEaFile等函式都可以實作控制申請pool的大小，并寫入內容，但是卻存在一個問題，就是這類poolTag為IO的池，都會在IO結束時被釋放，雖然被釋放了，但是當前內核池的內容并沒有立即被占用，內容還在，因此利用的成功率并不是百分之百，

image.png

本次占位筆者用的是NtSetEaFile函式，該函式內部檢測DEVICE_OBJECT的Flags是否包含4（DO_BUFFERED_IO），因此第一個引數的句柄我給的是PEAuth的檔案句柄，該devobj的Flags為0x44，

image.png

偽造Fake_WorkItem

NtSetEaFile函式內部，會通過其第三個引數為pbuffer（Fake_WorkItem）、其第四個函式申請指定的大小的pool，該函式將把會pbuffer的內容放到新申請的內核的地址空間，

只要占位成功，通過控制WorkItem.WorkerRoutine為我們的處理函式，WorkItem.Parameter為引數，即有可能實作對任意地址的破壞或者是讀寫，通常我們將這類處理函式稱之為Gadget，之前有用過SeSetAccessStateGenericMapping，該函式有2個引數，本次需要有一個引數的函式RtlSetAllBits，其引數為PRTL_BITMAP型別，該函式內部我們可以看到，可以通過控制BitMapHeader->SizeOfBitMap大小，實作對BitMapHeader->Buffer進行0xff的填充的大小

image.png

因此Fake_WorkItem需要滿足以下3個條件，（通過控制pbuffer即可）

? FakeContextInfo->WorkItem.List.Flink = 0(這樣當前的 WorkItem 將被驗證，并放到佇列)
? FakeContextInfo->WorkItem.WorkerRoutine = RtlSetAllBits()
?FakeContextInfo->WorkItem.Parameter = RTL_BITMAP FakeBitMapHeader

image.png

偽造Fake_RtlBitMapAddr

參考附錄4，我們可以通過TheadName，來泄露其內核地址空間，通過呼叫RtlSetAllBits函式可以實作對Fake_RtlBitMapAddr中BitMapHeader->Buffer實作0xff的設定，設定的大小為0x16個位元組，我們可以通過設定token的0x40位置的Privileges，給自身行程添加SE_DEBUG_PRIVILEGE權限，

因此構造的Fake_RtlBitMapAddr需要滿足以下兩個條件

? BitMapHeader->SizeOfBitMap==0x80(可以設定0x16個位元組的0xff)
? BitMapHeader->Buffer==token.Privileges

image.png

提權

通過Fake_WorkItem，可以成功的呼叫到RtlSetAllBits函式，又通過Fake_RtlBitMapAddr成功的將token.Privileges.Present以及Enabled都設定為了0xffffffffffffffff

image.png

因為有了SE_DEBUG_PRIVILEGE 權限，剩下就是是注入winlogo.exe行程即可，

image.png

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/330109.html

標籤：其他

上一篇：使用粘滯鍵在Windows中留后門

下一篇：上傳檔案的漏洞復現與修復

標籤雲
其他(157675) Python(38076) JavaScript(25376) Java(17977) C(15215) 區塊鏈(8255) C＃(7972) AI(7469) 爪哇(7425) MySQL(7132) html(6777) 基礎類(6313) sql(6102) 熊猫(6058) PHP(5869) 数组(5741) R(5409) Linux(5327) 反应(5209) 腳本語言(PerlPython)(5129) 非技術區(4971) Android(4554) 数据框(4311) css(4259) 节点.js(4032) C語言(3288) json(3245) 列表(3129) 扑(3119) C++語言(3117) 安卓(2998) 打字稿(2995) VBA(2789) Java相關(2746) 疑難問題(2699) 细绳(2522) 單片機工控(2479) iOS(2429) ASP.NET(2402) MongoDB(2323) 麻木的(2285) 正则表达式(2254) 字典(2211) 循环(2198) 迅速(2185) 擅长(2169) 镖(2155) 功能(1967) .NET技术(1958) Web開發(1951) python-3.x(1918) HtmlCss(1915) 弹簧靴(1913) C++(1909) xml(1889) PostgreSQL(1872) .NETCore(1853) 谷歌表格(1846) Unity3D(1843) for循环(1842)

熱門瀏覽
  • 網閘典型架構簡述

    網閘架構一般分為兩種：三主機的三系統架構網閘和雙主機的2+1架構網閘。 三主機架構分別為內端機、外端機和仲裁機。三機無論從軟體和硬體上均各自獨立。首先從硬體上來看，三機都用各自獨立的主板、記憶體及存盤設備。從軟體上來看，三機有各自獨立的作業系統。這樣能達到完全的三機獨立。對于“2+1”系統，“2”分為 ......

    uj5u.com 2020-09-10 02:00:44 more
  • 如何從xshell上傳檔案到centos linux虛擬機里

    如何從xshell上傳檔案到centos linux虛擬機里及：虛擬機CentOs下執行 yum -y install lrzsz命令，出現錯誤：鏡像無法找到軟體包 前言 一、安裝lrzsz步驟 二、上傳檔案 三、遇到的問題及解決方案 總結 前言 提示：其實很簡單，往虛擬機上安裝一個上傳檔案的工具 ......

    uj5u.com 2020-09-10 02:00:47 more
  • 一、SQLMAP入門

    一、SQLMAP入門 1、判斷是否存在注入 sqlmap.py -u 網址/id=1 id=1不可缺少。當注入點后面的引數大于兩個時。需要加雙引號， sqlmap.py -u "網址/id=1&uid=1" 2、判斷文本中的請求是否存在注入 從文本中加載http請求，SQLMAP可以從一個文本檔案中 ......

    uj5u.com 2020-09-10 02:00:50 more
  • Metasploit 簡單使用教程

    metasploit 簡單使用教程 浩先生， 2020-08-28 16:18:25 分類專欄： kail 網路安全 linux 文章標簽： linux資訊安全 編輯 著作權 metasploit 使用教程 前言 一、Metasploit是什么？ 二、準備作業 三、具體步驟 前言 Msfconsole ......

    uj5u.com 2020-09-10 02:00:53 more
  • 游戲逆向之驅動層與用戶層通訊

    驅動層代碼： #pragma once #include <ntifs.h> #define add_code CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS) /* 更多游戲逆向視頻www.yxfzedu.com ......

    uj5u.com 2020-09-10 02:00:56 more
  • 北斗電力時鐘（北斗授時服務器）讓網路資料更精準

    北斗電力時鐘（北斗授時服務器）讓網路資料更精準 北斗電力時鐘（北斗授時服務器）讓網路資料更精準 京準電子科技官微——ahjzsz 近幾年，資訊技術的得了快速發展，互聯網在逐漸普及，其在人們生活和生產中都得到了廣泛應用，并且取得了不錯的應用效果。計算機網路資訊在電力系統中的應用，一方面使電力系統的運行 ......

    uj5u.com 2020-09-10 02:01:03 more
  • 【CTF】CTFHub 技能樹 彩蛋 writeup

    ?碎碎念 CTFHub：https://www.ctfhub.com/ 筆者入門CTF時時剛開始刷的是bugku的舊平臺，后來才有了CTFHub。 感覺不論是網頁UI設計，還是題目質量，賽事跟蹤，工具軟體都做得很不錯。 而且因為獨到的金幣制度的確讓人有一種想去刷題賺金幣的感覺。 個人還是非常喜歡這個 ......

    uj5u.com 2020-09-10 02:04:05 more
  • 02windows基礎操作

    我學到了一下幾點 Windows系統目錄結構與滲透的作用 常見Windows的服務詳解 Windows埠詳解 常用的Windows注冊表詳解 hacker DOS命令詳解（net user / type /md /rd/ dir /cd /net use copy、批處理 等） 利用dos命令制作 ......

    uj5u.com 2020-09-10 02:04:18 more
  • 03.Linux基礎操作

    我學到了以下幾點 01Linux系統介紹02系統安裝，密碼啊破解03Linux常用命令04LAMP 01LINUX windows： win03 8 12 16 19 配置不繁瑣 Linux：redhat,centos(紅帽社區版)，Ubuntu server,suse unix:金融機構，證券，銀 ......

    uj5u.com 2020-09-10 02:04:30 more
  • 05HTML

    01HTML介紹 02頭部標簽講解03基礎標簽講解04表單標簽講解 HTML前段語言 js1.了解代碼2.根據代碼 懂得挖掘漏洞 （POST注入/XSS漏洞上傳）3.黑帽seo 白帽seo 客戶網站被黑帽植入劫持代碼如何處理4.熟悉html表單 <html><head><title>TDK標題，描述 ......

    uj5u.com 2020-09-10 02:04:36 more
最新发布
  • 2023年最新微信小程式抓包教程

    01 開門見山 隔一個月發一篇文章，不過分。 首先回顧一下《微信系結手機號資料庫被脫庫事件》，我也是第一時間得知了這個訊息，然后跟蹤了整件事情的經過。下面是這起事件的相關截圖以及近日流出的一萬條資料樣本： 個人認為這件事也沒什么，還不如關注一下之前45億快遞資料查詢渠道疑似在近日復活的訊息。 訊息是 ......

    uj5u.com 2023-04-20 08:48:24 more
  • web3 產品介紹：metamask 錢包 使用最多的瀏覽器插件錢包

    Metamask錢包是一種基于區塊鏈技術的數字貨幣錢包，它允許用戶在安全、便捷的環境下管理自己的加密資產。Metamask錢包是以太坊生態系統中最流行的錢包之一，它具有易于使用、安全性高和功能強大等優點。 本文將詳細介紹Metamask錢包的功能和使用方法。 一、 Metamask錢包的功能 數字資 ......

    uj5u.com 2023-04-20 08:47:46 more
  • vulnhub_Earth

    前言 靶機地址->>>vulnhub_Earth 攻擊機ip：192.168.20.121 靶機ip：192.168.20.122 參考文章 https://www.cnblogs.com/Jing-X/archive/2022/04/03/16097695.html https://www.cnb ......

    uj5u.com 2023-04-20 07:46:20 more
  • 從4k到42k，軟體測驗工程師的漲薪史，給我看哭了

    清明節一過，盲猜大家已經無心上班，在數著日子準備過五一，但一想到銀行卡里的余額……瞬間心情就不美麗了。最近，2023年高校畢業生就業調查顯示，本科畢業月平均起薪為5825元。調查一出，便有很多同學表示自己又被平均了。看著這一資料，不免讓人想到前不久中國青年報的一項調查：近六成大學生認為畢業10年內會 ......

    uj5u.com 2023-04-20 07:44:00 more
  • 最新版本 Stable Diffusion 開源 AI 繪畫工具之中文自動提詞篇

    🎈 標簽生成器 由于輸入正向提示詞 prompt 和反向提示詞 negative prompt 都是使用英文，所以對學習母語的我們非常不友好 使用網址：https://tinygeeker.github.io/p/ai-prompt-generator 這個網址是為了讓大家在使用 AI 繪畫的時候 ......

    uj5u.com 2023-04-20 07:43:36 more
  • 漫談前端自動化測驗演進之路及測驗工具分析

    隨著前端技術的不斷發展和應用程式的日益復雜，前端自動化測驗也在不斷演進。隨著 Web 應用程式變得越來越復雜，自動化測驗的需求也越來越高。如今，自動化測驗已經成為 Web 應用程式開發程序中不可或缺的一部分，它們可以幫助開發人員更快地發現和修復錯誤，提高應用程式的性能和可靠性。 ......

    uj5u.com 2023-04-20 07:43:16 more
  • CANN開發實踐：4個DVPP記憶體問題的典型案例解讀

    摘要：由于DVPP媒體資料處理功能對存放輸入、輸出資料的記憶體有更高的要求（例如，記憶體首地址128位元組對齊），因此需呼叫專用的記憶體申請介面，那么本期就分享幾個關于DVPP記憶體問題的典型案例，并給出原因分析及解決方法。 本文分享自華為云社區《FAQ_DVPP記憶體問題案例》，作者：昇騰CANN。 DVPP ......

    uj5u.com 2023-04-20 07:43:03 more
  • msf學習

    msf學習 以kali自帶的msf為例 一、msf核心模塊與功能 msf模塊都放在/usr/share/metasploit-framework/modules目錄下 1、auxiliary 輔助模塊，輔助滲透（埠掃描、登錄密碼爆破、漏洞驗證等） 2、encoders 編碼器模塊，主要包含各種編碼 ......

    uj5u.com 2023-04-20 07:42:59 more
  • Halcon軟體安裝與界面簡介

    1. 下載Halcon17版本到到本地 2. 雙擊安裝包后 3. 步驟如下 1.2 Halcon軟體安裝 界面分為四大塊 1. Halcon的五個助手 1) 影像采集助手：與相機連接，設定相機引數，采集影像 2) 標定助手：九點標定或是其它的標定，生成標定檔案及內參外參，可以將像素單位轉換為長度單位 ......

    uj5u.com 2023-04-20 07:42:17 more
  • 在MacOS下使用Unity3D開發游戲

    第一次發博客，先發一下我的游戲開發環境吧。 去年2月份買了一臺MacBookPro2021 M1pro(以下簡稱mbp)，這一年來一直在用mbp開發游戲。我大致分享一下我的開發工具以及使用體驗。 1、Unity 官網鏈接： https://unity.cn/releases 我一般使用的Apple ......

    uj5u.com 2023-04-20 07:40:19 more

Copyright © 2010-2020 有解無憂