分析及防护：Win10 执行流保护绕过问题

最新推荐文章于 2022-05-18 17:41:47 发布
最新推荐文章于 2022-05-18 17:41:47 发布
阅读量4k 收藏 1
点赞数 1

Windows-10.jpg

原文地址：http://www.panshy.com/articles/201508/security-2512.html

Black Hat USA 2015正在进行，在微软安全响应中心公布的最新贡献榜单中，绿盟科技安全研究员张云海位列第6位，绿盟科技安全团队（NSFST）位列28位，绿盟科技 安全团队（NSFST）常年致力于发现并解决计算机以及网络系统中存在的各种安全缺陷。这篇《Windows 10执行流保护绕过问题及修复》是团队在此次大会上分享的主要内容

Content

  • 执行流保护（CFG)
  • CFG原理
  • 绕过问题
    • CustomHeap::Heap对象
    • 绕过CFG
  • 问题修复
    • HeapPageAllocator::ProtectPages函数
    • 修复机制

内容摘要

Black Hat USA 2015正在进行，在微软安全响应中心公布的最新贡献榜单中，绿盟科技安全研究员张云海位列第6位，绿盟科技安全团队（NSFST）位列28位，绿盟科技 安全团队（NSFST）常年致力于发现并解决计算机以及网络系统中存在的各种安全缺陷。这篇《Windows 10执行流保护绕过问题及修复》是团队在此次大会上分享的主要内容。

1.png

绿盟科技安全团队NSFST一直努力发现及修复计算机以及网络系统中存在的各种安全缺陷，如果您需要了解更多信息，请联系：

  • 绿盟科技微博
  • http://weibo.com/nsfocus
  • 绿盟科技微信号
  • 搜索公众号绿盟科技

执行流保护（CFG）

攻击者常常溢出覆盖或者直接篡改寄存器EIP的值，篡改间接调用的地址，进而控制了程序的执行流程。执行流保护（CFG，Control Flow Guard）是微软从Windows 8.1 update 3及Windows 10技术预览版开始，默认启用的一项缓解技术。这项技术通过在间接跳转前插入校验代码，检查目标地址的有效性，进而可以阻止执行流跳转到预期之外的地点， 最终及时并有效的进行异常处理，避免引发相关的安全问题。

这种思想及技术在业界有了较为成熟的应用，此次Windows 10将其引入，以便提高其安全性。但是绿盟科技安全团队（NSFST）在分析CFG的实现机制过程中，发现了CFG存在全面绕过的方法，随即向微软提报，并在随后的一段时间内，配合微软修复了这个问题。

CFG原理

在编译启用了CFG的模块时，编译器会分析出该模块中所有间接函数调用可达的目标地址，并将这一信息保存在Guard CF Function Table中。

2.png

同时，编译器还会在所有间接函数调用之前插入一段校验代码，以确保调用的目标地址是预期中的地址。这是未启用CFG的情况：

 

同时，编译器还会在所有间接函数调用之前插入一段校验代码，以确保调用的目标地址是预期中的地址。这是未启用CFG的情况：

3.png

这是启用CFG的情况：

4.png

操作系统在创建支持CFG的进程时，将CFG Bitmap映射到其地址空间中，并将其基址保存在ntdll!LdrSystemDllInitBlock+0x60中。

CFG Bitmap是记录了所有有效的间接函数调用目标地址的位图，出于效率方面的考虑，平均每1位对应8个地址（偶数位对应1个0x10对齐的地址，奇数位对应剩下的15个非0x10对齐的地址）。

提取目标地址对应位的过程如下：

  • 取目标地址的高24位作为索引i；
  • 将CFG Bitmap当作32位整数的数组，用索引i取出一个32位整数bits；
  • 取目标地址的第4至8位作为偏移量n；
  • 如果目标地址不是0x10对齐的，则设置n的最低位；
  • 取32位整数bits的第n位即为目标地址的对应位。

操作系统在加载支持CFG的模块时，根据其Guard CF Function Table来更新CFG Bitmap中该模块所对应的位。同时，将函数指针_guard_check_icall_fptr初始化为指向 ntdll!LdrpValidateUserCallTarget。

ntdll!LdrpValidateUserCallTarget从CFG Bitmap中取出目标地址所对应的位，根据该位是否设置来判断目标地址是否有效。若目标地址有效，则该函数返回进而执行间接函数调用；否则，该函数将抛出异常而终止当前进程。

5.png

绕过问题

通过上面的原理分析，我们发现CFG的实现中存在一个隐患，校验函数ntdll!LdrpValidateUserCallTarget是通过函数指针_guard_check_icall_fptr来调用的。

如果我们修改_guard_check_icall_fptr，将其指向一个合适的函数，就可以使任意目标地址通过校验，从而全面的绕过CFG。通常情况下，_guard_check_icall_fptr是只读的：

6.png

但如果利用jscript9中的CustomHeap::Heap对象将其变成可读写的，那么就会出现问题了。

CustomHeap::Heap对象

CustomHeap::Heap是jscript9中用于管理私有堆的类，其结构如下：

7.png

CustomHeap::Heap::FreeAll 为每个Bucket对象调用CustomHeap::Heap::FreeBucket。

8.png

CustomHeap::Heap::FreeBucket 遍历Bucket的双向链表，为每个节点的CustomHeap::Page 对象调用CustomHeap::Heap::EnsurePageReadWrite<1,4>。

9.png

CustomHeap::Heap::EnsurePageReadWrite<1,4> 用以下参数调用VirtualProtect：

  • lpAddress: CustomHeap::Page 对象的成员变量address
  • dwSize: 0x1000
  • flNewProtect: PAGE_READWRITE

10.png

将内存页面标记为PAGE_READWRITE， 这正是出现问题的关键地方。

绕过CFG

通过修改CustomHeap::Heap对象，我们可以将一个只读页面变成可读写的，从而可以改写函数指针_guard_check_icall_fptr的值。观察ntdll!LdrpValidateUserCallTarget在目标地址有效时执行的指令：

11.png

问题修复

绿盟科技安全团队（NSFST）发现这一问题后，立即向微软报告了相关情况。微软很快修复了这一问题，并在2015年3月发布了相关的补丁。在该补丁中，微软引入了一个新的函数HeapPageAllocator::ProtectPages。

HeapPageAllocator::ProtectPages函数

12.png

这个函数是VirtualProtect的一个封装，在调用VirtualProtect之前对参数进行校验，如下：

  • 检查lpAddress是否是0x1000对齐的；
  • 检查lpAddress是否大于Segment的基址；
  • 检查lpAddress加上dwSize是否小于Segment的基址加上Segment的大小；
  • 检查dwSize是否小于Region的大小；
  • 检查目标内存的访问权限是否等于指定的（通过参数）访问权限；

任何一个检查项未通过，都会调用CustomHeap_BadPageState_fatal_error抛出异常而终止进程。

修复机制

CustomHeap::Heap::EnsurePageReadWrite<1,4>改为调用HeapPageAllocator::ProtectPages而不再直接调用VirtualProtect。

13.png

这里参数中指定的访问权限是PAGE_EXECUTE，从而防止了利用CustomHeap::Heap将只读内存页面变成可读写内存页面。

参考文献

1 MJ0011. Windows 10 Control Flow Guard Internals

http://www.powerofcommunity.net/poc2014/mj0011.pdf

[2] Jack Tang. Exploring Control Flow Guard in Windows 10

http://sjc1-te-ftp.trendmicro.com/assets/wp/exploring-control-flow-guard-in-windows10.pdf

[3] Francisco Falcón. Exploiting CVE-2015-0311, Part II: Bypassing Control Flow Guard on Windows 8.1 Update 3

https://blog.coresecurity.com/2015/03/25/exploiting-cve-2015-0311-part-ii-bypassing-control-flow-guard-on-windows-8-1-update-3/

[4] Yuki Chen. The Birth of a Complete IE11 Exploit under the New Exploit Mitigations

https://www.syscan.org/index.php/download/get/aef11ba81927bf9aa02530bab85e303a/SyScan15%20Yuki%20Chen%20-%20The%20Birth%20of%20a%20Complete%20IE11%20Exploit%20Under%20the%20New%20Exploit%20Mitigations.pdf

 

一政
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Windows 10 隐私保护及病毒和威胁防护
01-09
1.Windows 10 隐私保护及病毒和威胁防护
利用Windows RPC绕过CFG防护机制
weixin_54787877的博客
05-28 648
概述 控制流保护(CFG)是微软在Windows 8.1 update 3和Windows 10中启用的一种抵御内存泄露攻击的新机制，用于阻止针对可执行文件间接调用的恶意利用。研究人员在分析CVE-2021-26411漏洞样本时，发现了一种使用WindowsPRC(远程调用)绕过CFG防护机制的新方法。 CVE-2021-26411漏洞回顾 CVE-2021-26411是Blink渲染引擎的UAF漏洞。removeAttributeNode()触发属性对象nodeValue的valueOf回调，回调期间手动
无符号驱动 加载时找入口点
qq_41490873的博客
04-07 331
dt _DRIVER_OBJECT nt!_DRIVER_OBJECT +0x000 Type : Int2B +0x002 Size : Int2B +0x008 DeviceObject : Ptr64 _DEVICE_OBJECT +0x010 Flags : Uint4B +0x018 DriverStart : Ptr64 Void +0x020 DriverSize .
Windows DWrite 组件 RCE 漏洞 (CVE-2021-24093) 分析
smellycat000的专栏
06-24 645
聚焦源代码安全，网罗国内外最新资讯！概述Windows图形组件DWrite库存在数组越界写漏洞 (CVE-2021-24093)，可导致远程代码执行。当DWrite库解析恶意构造的字体文...
关于CFG的研究
sxr__nc的博客
04-03 1332
关于CFG的研究 CFG（Control Flow Guard）控制流防护，是微软在Windows8.0以及Windows10上推出的新的防护机制 防护点在于，防护间接调用，防止在程序间接调用函数的时候，使用恶意代码进行替换，导致执行恶意程序。CFG的实现机制在于每当存在间接调用的函数的时候，就会先去判断一下间接调用的地址处是不是一个有效的函数的起始地址。主要关注缓解间接调用和调用不可靠目标的问题(在没有CFG支持的Windows中，这个函数不做任何事。在Windows 10中，有了CFG的支持，它指向nt
CFG保护机制校验逻辑分析
Sven的忘却日记
09-24 1221
CFG是微软推出的漏洞利用缓解基址，从Windows 8.1开始引入，并且需要编译器的支持，编译器的版本为Virtual Studio 2015 Updated 2版本以上。 在开启了CFG支持以后，编译生成exe程序中，所有间接调用前面都会插入一个_guard_check_icall的检查函数，如果系统不支持CFG机制，则该函数不会生效。 如： eax,[esi] ecx, eax call _...
堆溢出崩溃分析Critical error detected c0000374
顺其自然~专栏
05-18 3123
(Owed by: 春夜喜雨 http://blog.csdn.net/chunyexiyu) 参考：https://blog.csdn.net/q610098308/article/details/94630682 参考：https://blog.csdn.net/weitaming1/article/details/84023789 参考：https://stackoverflow.com/questions/23471161/critical-error-detected-c0000374-c-d..
离心泵汽蚀原因分析及防护措施.rar
最新发布
01-13
离心泵汽蚀原因分析及防护措施
Windows 10 隐私保护及病毒和威胁防护.exe
01-03
这工具基本是优化win10，并且保护隐私用 如果你想用WD，但又找不到，或者是找到了，但无法启用，或任务栏的WD图标没有了，那这个就可以帮你解决这些问题，绝对好用！
对智能卡微控制器的动态分析防护：电源监控
11-14
如果没有此电 压监控器，当芯片工作在其规定的供电电压范围之外时，就会出现例如程序计数器变得不稳定的情况，从而 导致程序中的不受控制的跳转或者干脆就是处理错误，这一故障状态可利用差分故障分析DFA ...
riched20.dll
12-02
在Ubuntu系统下，需要安装Windows下的软件，在Ubuntu中安装Wine，在Wine中安装钉钉，微信等应用的时候，会发现输入框显示不了光标和输入的文字，那么就需要riched20.dll这个库来替换，在win7 或 xp (32位的) 找到c:/windows/system32/riched20.dll，特此上传方便大家替换
面向循环的编程：一种新的代码重用攻击以绕过现代防御
03-12
面向循环的编程：一种新的代码重用攻击以绕过现代防御
对智能卡微控制器的动态分析防护：搅乱总线
11-14
许多智能卡微控制器中，驱动存储器的内部总线（不是外部访问的）都被搅乱了，意即这些单独的总线引线并不是按照增加或减少的顺序一个接着一个排列的。相反，相互之间是随机排列的并且“交换”了几遍，或者甚至于排列...
新版本的CbsCoreInitialize 函数可读性更强
心想事成
03-10 736
新版本的CbsCoreInitialize 函数可读性更强     这是 10.0.14393.0 版本。 //----- (10087380)-------------------------------------------------------- int __stdcall CbsCoreInitialize( structIMalloc *a1,
组件名的生成终于解决了
心想事成
11-14 1075
组件名的生成终于解决了   这个问题的解决，也标志着这一类问题的解决。 大体的过程是这样的： 找到初始化接口的程序，在虚函数表中找到所需要的函数入口，分别执行，就能得到所要的结果了。   // 运行 RtlGetSystem得到 IRtlSystemIsolationLayerTearoff接口的地址，不需要输入参数 IRtlSystemIsolationLayerTearoff 
卸载riched20导致崩溃
weixin_43787608的博客
12-18 327
0x00 在公司的crash平台上发现每天都存在调用ClipBoard函数时发生崩溃。 函数最终崩溃在 ole32! RemoveClipboardDataObject 中。简易流程如下： pData = (IDataObject *)GetPropW(hClipWnd, L"ClipboardDataObjectInterface"); __guard_check_icall_fptr(pDa...
关于 Malloc
心想事成
09-25 823
关于 Malloc//----- (00000001800175FC) ---------------------------------------------------- BUCL::Com::CCoTaskAutoString *__fastcall BUCL::Com::CCoTaskAutoString::CCoTaskAutoString(BUCL::Com::CCoTaskAutoS
CoTaskMemAlloc
心想事成
10-09 683
CoTaskMemAlloc//----- (1011EF30) -------------------------------------------------------- void *__stdcall Windows::COM::CoTaskMemAlloc(Windows::COM *this, unsigned __int32 a2) { void *result; // eax@
Windows x64内核学习笔记（六）—— LFENCE&CFG
qq_41988448的博客
03-09 1370
Windows x64内核学习笔记（六）—— 硬件漏洞补丁&CFG预测执行实验一：理解预测执行幽灵漏洞LFENCECFG_guard_dispatch_icall参考资料 预测执行 众所周知，CPU的运行速度是非常快的，每秒能执行百千万条指令，而指令是从哪里来的呢，当然是从内存中读取的。由于内存的运行效率低于CPU，就导致了一个问题，即CPU访问内存的速度远大于内存访问CPU的速度。 那么，应该怎么做，才能将CPU的性能尽可能利用起来呢？ CPU处理一条指令大致可以分为四个阶段：读取指令、翻译指令
isd ips防护原理及绕过思路
09-18
ISD（Intrusion Detection System，入侵检测系统）和IPS（Intrusion Prevention System，入侵防御系统）是网络安全中常用的防护工具。它们的工作原理和绕过思路如下： ISD的工作原理是通过监测网络流量和系统日志，分析和检测网络中的入侵行为。它可以识别恶意代码、网络扫描、未经授权的访问等异常活动，并及时发出警报。 IPS的工作原理基于ISD的基础上，增加了防御功能。它通过实时监测网络流量和应用程序，检测和阻止潜在的入侵行为。当检测到入侵行为时，IPS可以自动应用相关的规则和策略，阻止或限制入侵者的活动，并向系统管理员发送警报。 然而，ISD和IPS并非绝对安全，存在绕过的可能性： 1. 加密和隐匿技术：入侵者可以使用加密和隐匿技术隐藏自己的活动，在网络中无法被ISD和IPS检测到。 2. 复杂强大的攻击：某些高级入侵技术可能能够通过绕过ISD和IPS的特征检测，以避免被发现和阻止。 3. 零日漏洞：ISD和IPS可能无法及时更新以对抗新发现的零日漏洞，使得入侵者有机会利用这些漏洞进行攻击，而ISD和IPS无法识别和防御。 4. 社会工程学攻击：入侵者可以通过社交工程技术欺骗用户或管理员，使其绕过ISD和IPS的防护措施。 为了更有效地应对这些绕过思路，可以采取以下策略： 1. 实时更新和升级：及时更新ISD和IPS的规则和特征库，以识别和防御新的威胁。 2. 组合多种防御措施：使用多种不同的防护工具，并将ISD和IPS与其他安全设备（如防火墙）结合使用，以增加整体的防御能力。 3. 加强网络安全意识教育：提高用户和管理员对网络安全的认识和警惕性，减少社会工程学攻击的成功率。 4. 建立响应机制：及时发现入侵行为后，快速响应和处置，以减少损失。 总之，ISD和IPS是重要的网络安全防护工具，但不能保证百分之百的安全，必须配合其他防御措施和加强安全意识教育，才能更好地保护网络安全。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值