Анализ уязвимостей системы Microsoft Windows: возможная угроза безопасности экосистемы Web3

В прошлом месяце в обновлении безопасности Microsoft был обнаружен уязвимость повышения привилегий win32k, которая, похоже, существует только в ранних версиях операционной системы Windows. В этой статье будет проанализировано, как злоумышленники могут продолжать использовать эту уязвимость на фоне постоянных улучшений в сфере безопасности. Анализ проводился в среде Windows Server 2016.

Такие 0day уязвимости могут быть злоупотреблены после их обнаружения незаметно, что приводит к огромным разрушениям. С помощью этой уязвимости хакеры могут получить полный контроль над системой Windows. Последствия контроля включают кражу личной информации, сбои в системе и потерю данных, финансовые потери, внедрение вредоносного ПО и т.д. Небольшое воздействие может привести к краже приватных ключей и перемещению цифровых активов, в то время как более широкое воздействие может угрожать всей экосистеме Web3, работающей на основе инфраструктуры Web2.

Анализ патчей

Анализ патча показывает, что проблема, похоже, заключается в том, что счетчик ссылок на объект был обработан слишком много раз. Судя по ранним комментариям в исходном коде, предыдущий код блокировал только объект окна, не блокируя объект меню в окне, что могло привести к неправильной ссылке на объект меню.

Проверка уязвимости

Мы создали специальную многослойную вложенную структуру меню и установили некоторые специфические условия для активации уязвимости:

1. Идентификатор самого внутреннего меню должен быть типом системного меню
2. Внешнее меню также должно быть системным меню, но необходимо удалить определенные элементы системного меню.
3. Удалить ссылки на родительский уровень внутреннего меню
4. Добавьте дополнительные промежуточные меню, чтобы обеспечить успешное освобождение.

Удалите ссылки на ключевое меню, когда функция возвращает уровень пользователя, чтобы оно было успешно освобождено. В противном случае при обращении к этому объекту меню в последующих функциях ядра возникнут проблемы.

Использование уязвимости

Основные направления использования идеи:

1. Выполнение кода shellcode - этот способ может иметь множество ограничений в более новых версиях Windows
2. Использование примитивов чтения и записи для изменения адреса токена - этот метод обладает лучшей универсальностью.

Мы выбрали второй вариант, разделив весь процесс использования на два ключевых этапа:

1. Используйте уязвимость UAF для управления значением cbwndextra
2. Получение стабильных примитивов чтения и записи

Для реализации первой записи данных мы использовали объекты имен классов окон для занять освобожденную память объектов меню и нашли структуру адреса, в которую можно записать любые данные. В конце концов было выбрано записывать данные с помощью проверки флага в определенной функции.

Для достижения стабильной компоновки памяти мы спроектировали три последовательных окна одинакового размера, освободив средний объект и заняв место объектом окна. Мы точно определяем, соответствует ли расположение объектов ожиданиям, используя адреса дескрипторов ядра, утечущие в памяти кучи.

В области операций чтения и записи мы используем GetMenuBarInfo() для произвольного чтения и SetClassLongPtr() для произвольной записи. За исключением записи токенов, все другие операции записи используют объект класса первого окна.

Резюме

1. Уязвимость win32k может быть устранена в предварительной версии Windows 11
2. Процесс эксплуатации данного типа уязвимости относительно прост, он в основном зависит от утечки адреса дескриптора кучи на рабочем столе.
3. Обнаружение уязвимостей может зависеть от более полного контроля покрытия кода.
4. Обнаружение аномальных макетов памяти и операций чтения/записи данных помогает выявить такие уязвимости.