BlueKeep 漏洞利用分析

最新推荐文章于 2023-03-27 22:09:37 发布

VIP文章晓得哥

最新推荐文章于 2023-03-27 22:09:37 发布

阅读量1.2k

点赞数

分类专栏：漏洞文章标签：漏洞分析信道

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.csdn.net/weixin_44058342/article/details/101056282

版权

作者：SungLin@知道创宇404实验室
时间：2019年9月18日
原文链接：https://paper.seebug.org/1035/

0x00 信道的创建、连接与释放

通道的数据包定义在MCS Connect Inittial PDU with GCC Conference Create Request中，在rdp连接过程如下图所示：

在这里插入图片描述

信道创建数据包格式如下：

在这里插入图片描述

在MCS Connect Inittial中属于Client Network Data数据段，MS_T120将会在连接一开始的时候通过函数termdd!_IcaRegisterVcBin创建一个虚拟通道id是0x1f大小为0x18的结构体，之后就调用termdd!IcaCreateChannel开始创建大小为0x8c的信道结构体之后将会与虚拟通道id是0x1f绑定，也就是这个结构体将会被我们利用

在这里插入图片描述

信道的定义字段主要是名字加上配置，配置主要包括了优先级等

在这里插入图片描述

在server对MCS Connect Inittial应答包，将会依次给出对应虚拟通道的id值：

在这里插入图片描述

在rdp内核中依次注册的值对应应该是0、1、2、3, MS_T120信道将会通过我们发送的用户虚拟id为3的值再一次绑定，首先通过termdd!_IcaFindVcBind找到了刚开始注册的虚拟通道id是0x1f，如下所示：

在这里插入图片描述

但是在termdd!_IcaBindChannel时，却将我们自定义的id值为3与信道结构体再一次绑定在一起了,此信道结构体就是MS_T120

在这里插入图片描述

同时我们自己的用户id将内部绑定的0x1f给覆盖了

在这里插入图片描述

我们往信道MS_T120发送数据主动释放其分配的结构体，其传入虚拟通道id值为3通过函数termdd!IcaFindChannel在channeltable中查找返回对应的信道结构体：

在这里插入图片描述

下图为返回的MS_T120信道结构体，其中0xf77b4300为此信道可调用的函数指针数组：

最低0.47元/天解锁文章

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
BlueKeep 漏洞利用分析

作者：SungLin@知道创宇404实验室时间：2019年9月18日原文链接：https://paper.seebug.org/1035/0x00 信道的创建、连接与释放通道的数据包定义在MCS Connect Inittial PDU with GCC Conference Create Request中，在rdp连接过程如下图所示：信道创建数据包格式如下：在MCS Connec...
复制链接

扫一扫

专栏目录

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。