怎么绕过短息验证_Windows 10 x64上令牌窃取有效载荷问题，并绕过SMEP（下）

Windows 10 x64上令牌窃取有效载荷问题，并绕过SMEP(上)

SMEP

什么是SMEP？ SMEP或Supervisor模式执行保护是最早在Windows 8(在Windows上下文中)中实现的保护。当我们谈论为内核漏洞利用执行代码时，最常见的技术是在用户模式下分配shellcode并从内核调用它。这意味着将在内核上下文中调用用户模式代码，从而为我们提供获得系统特权的适用权限。

SMEP是一种预防措施，不允许我们从环0开始执行存储在环3页面中的代码，通常从更高的环执行代码。这意味着我们无法从内核模式执行用户模式代码。为了绕过SMEP，让我们了解其实现方式。

SMEP策略通过CR4寄存器执行，根据英特尔的说法，CR4寄存器是控制寄存器。该寄存器中的每一位负责在系统上启用的各种功能。 CR4寄存器的第20位负责启用SMEP，如果CR4寄存器的第20位被设置为1，那么就启用了SMEP。当位被设置为0时，SMEP被禁用。让我们来看看Windows上的CR4寄存器，其中SMEP以正常的十六进制格式和二进制格式启用，因此我们可以真正看到第20位的位置。

r cr4

CR4寄存器的十六进制值为0x00000000001506f8，让我们以二进制形式查看它，以便我们可以看到第20位在哪里。

.formats cr4

如你所见，第20位在上图中(从右数起) 。让我们再次使用.formats命令来查看CR4寄存器中的值是什么，以便绕过SMEP。

从上面的图中可以看出，当CR4寄存器的第20位被翻转时，十六进制的值是0x00000000000506f8。

在介绍如何使用上述信息通过ROP绕过SMEP之前，让我们进一步讨论一下SMEP实现和其他潜在绕过的问题。

SMEP还可以通过内存页的页表条目(PTE)以“标志”的形式实现，回想一下，页表包含有关物理内存映射到虚拟内存的信息。内存页的PTE具有与之关联的各种标志，其中两个标志是U，表示用户模式，或者S，表示管理模式(内核模式)。当所述内存被内存管理单元(MMU)访问时，将检查此标志。在继续之前，让我们先讨论一下CPU模式。环3负责用户模式的应用程序代码，环0负责操作系统级代码(内核模式)。CPU可以根据执行的内容转换当前的特权级别(CPL)。不过，我不会深入讨论在CPU更改CPL时发生的syscalls、sysrets或其他各种例程的底层细节。另外这也不是一篇关于分页如何工作的内容，如果你有兴趣了解更多信息，我强烈建议你阅读Enrico Martignetti的《What Makes It Page: the Windows 7 (x64) Virtual Memory Manager》一书。虽然这是有关Windows 7环境的，但我相信这些概念在今天仍然适用。我给出这个背景信息，因为SMEP绕过可能会滥用这个功能。

为什么提起这个？尽管我们将介绍如何通过ROP进行SMEP绕过，但还有另一种情况需要考虑。假设我们有一个任意的读写原语。撇开PTE暂时随机的事实。如果你有一个读取原语来了解Shellcode内存页的PTE在哪里，该怎么办？绕过SMEP的另一种潜在的方法是不禁用SMEP。我们可能会使用读取原语来定位用户模式的shellcode页面，然后使用写入原语来覆盖我们的shellcode的PTE，并将U(用户模式)标志翻转为S(主管模式)标志！这样，尽管该特定地址是“用户模式地址”，但在执行该特定地址时，由于该页面的权限现在是内核模式页面的权限，因此它仍被执行。

虽然页面表条目现在是随机的，但是来自进攻性安全组织的Morten Schenk在这篇文章中谈到了对页表项进行非随机化处理。

简单来说，其步骤如下：

1. 获得读/写原始；

2. 泄漏ntoskrnl.exe(内核基)；

3. 定位MiGetPteAddress()(可以动态完成，而不是静态偏移)；

4. 使用PTE base获取任何内存页的PTE；

5. 更改位(是否正在将shellcode复制到页面并翻转NX位或翻转用户模式页面的U/S位)。

同样，在我对Windows中的内存分页做了更多的研究之前，我不会讨论这种绕过SMEP的方法。有关我对今后其他SMEP绕过技术的想法，请参阅此文的结尾。

绕过SMEP

让我们使用一个溢出来介绍如何用ROP绕过SMEP，ROP假设我们可以控制堆栈(当每个ROP小工具返回到堆栈时)。由于启用了SMEP，我们的ROP小工具将需要来自内核模式页面。因为我们在这里假设了中等完整性，所以我们可以调用EnumDeviceDrivers()来获得内核基，它可以绕过KASLR。

基本上，以下就是ROP链是工作的整个过程。

让我们去寻找这些ROP小工具吧，注意，ROP小工具的所有偏移量将根据操作系统、补丁级别等而变化。请记住，这些ROP小工具需要是内核模式地址。我们将使用rp++枚举ntoskrnl.exe中的rop小工具。如果你看一下我关于ROP的文章，你就会知道如何使用这个工具。

让我们找出一种方法来控制CR4寄存器的内容，虽然我们可能无法直接操作寄存器