2024年网络安全最全VMware Tools本地提权漏洞CVE-2024-31676分析与复现(1)

LsaLogonUser函数能够在不需要计算机账号密码的情况下，登录指定账号，登录成功后返回该账号的令牌（token），当然调用该函数的程序需要SeTcbPrivilege权限，该服务程序也拥有此权限。这似乎和提权漏洞密切相关，如果能够控制登录的账号，用管理员的账号登录，再创建指定进程，那么创建的进程将拥有管理员权限。

遗憾的是，该程序里并没有创建进程相关的函数调用。参考open-vm-
tools的开源代码以及逆向分析，发现该服务程序会将登录成功后的令牌复制给与自己通信的进程，如下图所示：

这似乎给提权又增加了一丝希望，那么剩下的问题是如何与这个服务程序进程通信，以及是否能控制LsaLogonUser函数的登录账号。

首先分析下如何与这个服务进程通信。可以从代码中看到，该程序中使用了管道“\.\pipe\vgauth-
service”进行通信，并且没有权限限制，开源代码中称之为公共通道（public channel），与之相反的还有私有通道（privatechannel）。任何程序均可连接这个公共通道，连接成功后可以发送数据到该服务进程，也可以收到该服务程序返回的数据，如下图所示：

那么接下来分析如何控制LsaLogonUser函数登录的计算机账号。分析后发现，这个计算机账号来自于请求的数据中，是可以控制的。这个请求的名字为ValidateSamlBToken，对应的处理函数为ServiceProtoValidateSamlBearerToken。

为了控制LsaLogonUser函数登录的计算机账号，需要控制发送的请求数据，也就需要知道请求的数据格式。从处理请求的函数一步步倒着分析，找到读取和解析请求的函数，如下图所示：

从字符串比较函数中可以看到请求中的合法关键字，进一步分析发现，这些关键字需要组合成XML格式的请求数据。比如需要调用处理函数ServiceProtoValidateSamlBearerToken，请求的数据格式如下：​

<?xml version="1.0" encoding="UTF-8" ?> <request> <sequenceNumber>【任意数字】</sequenceNumber> <requestName>ValidateSamlBToken</requestName> <samlToken>【samlToken数据】</samlToken> <userName>【计算机用户账号】<