CVE-2020-23938:安博士杀毒软件TfFRegNt.SYS驱动 DOS漏洞分析

阅读量    80709 | 评论 2

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

作者: 极光无限维阵漏洞研究员 — lawhack

摘要

漏洞类型:内核内存越界读

漏洞危害:BSOD

漏洞成因:未能对传入的参数进行有效验证,对读取内存的边界值控制不严格,导致超过了原有内存的2字节进行越界读取。

挖掘方式:代码审计

漏洞编号:CVE-2020-23938

漏洞定位:在安博士的Ahnlab V3 Lite(4.0.8.3)产品中,其中的文件过滤驱动服务为AntiStealth_V3LITE40F(4.11.0.1),对应的驱动文件名称为TfFRegNt.SYS。

漏洞触发函数:sub_4091FE

 

漏洞分析

1、漏洞相关概述

在进行代码分析前,我们首先需要对漏洞相关信息进行确认,下文将为大家分为四个步骤进行详解。

第一步,首先我们需要查看该驱动的服务属性:

第二步,确认访问用户层对内核层驱动时需要的符号链接:

第三步,查看安全属性:

如上图所示,我们发现必须通过管理员权限才能对该驱动进行读写。

第四步,我们还需要查看该驱动的设备属性:

可以看出,该驱动运用的是BUFFERED_IO的缓冲读写方式,这意味着用户的输入会被拷贝到内核的内存空间中。

2、代码分析

我们利用ida打开TfFRegNt.SYS,查找它处理IOCTL函数的地址,首先跟踪到处理分发函数的地方,如下图所示:

然后在sub_4087B2中对函数类型进行判断:

最终我们可以得到用户的IOCTL处理函数为sub_4095A0,代码如下:

接下来经过前面的校验后,我们进入sub_4091FE函数:

在该函数中,我们将会触发越界访问:

可以看出,触发漏洞的IOCTL code为0x82000028,在处理该请求时,大家可以尝试将传入的systembuf[1]+8作为索引,来读取从用户层地址映射的内核地址数据,而此处的值是用户层可以控制的,因此通过精心构造的参数可以导致产生读取越界。如果越界读的地址并没有经过初始化,则会触发page_fault_in_nonpaged_area异常导致kernel bug check,最终导致系统crash蓝屏。

3、 漏洞调试

当我们搭建好双机调试环境后,就可以开始试着调试下整个漏洞的触发过程,首先在0x95a0函数偏移下断点:

接着运行poc程序,windbg中断,查看调用堆栈:

由此我们可以确认这是由poc程序发起的io请求。

接下来该程序会对IRP进行解析,我们能得到current_stack_location的数据,之后进一步获取io的请求code,进行对比并执行对应的处理。该函数的第二个参数即为的当前的IRP指针:

然后我们查看用户数据在内核内存上的映射,如下所示:

相应的内存属性也需要确认:

此时该内存块的首地址和尾地址分别为0xc3600000、0xd3600000。

下面是我对该内存地址数据的判断:

运行时的数据如下:

我们可以看到经过计算后访问的地址是0xd3600000,这是上个内存块的尾地址,但该地址尚未分配,所以会导致kernel bug check,最终导致内核崩溃。

 

漏洞修复建议

事实上,我们在访问内存之前,驱动对该处的参数就已经做过了检查,但是检查的并不是很严格:

在第三处判断中应该判断前两个参数的和是否大于等于输入长度,如果是则返回0,代表参数不正确。前两个参数之和是字符串的最大索引长度,因为字符串的索引是从0开始的,所以必然要小于字符串长度。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多