华域联盟 安全资讯 Microsoft CVE-2021-40449漏洞分析与利用

Microsoft CVE-2021-40449漏洞分析与利用

 

作者:维阵漏洞研究员—hk

概念说明

1、UAF漏洞

UAF漏洞全称是use after free,free是指函数是在堆上动态分配空间后不再使用该数据从而被回收。但是由于程序员的一些不适当的操作,会导致攻击者能够操控已经被释放的区域,从而执行一些byte codes。

利用uaf漏洞主要是注意几点:
1)在free()函数被调用回收buffer之后,指向该地址的指针是否被重置。
2)后续是否存在malloc()函数可以将新申请分配的空间分配到之前被free()回收的buffer区域。
3)利用没有被重置的指针进行攻击

2、数据结构

我们先了解一下相关结构体的定义,参考自NT4.0的源码dcobj.hxx#L97、dcobj.hxx#L236、dcobj.hxx#L1282、dcobj.hxx#L1686,另外HDC犹如其名,handle to device context,图形设备信息对象的句柄。

3、C++ namespace(命名空间)关键字

在C++中,您可能会写一个名为xyz()的函数,在另一个可用的库中也存在一个相同的函数xyz()。这样,编译器就无法判断您所使用的是哪一个 xyz()函数。因此,引入了命名空间这个概念,专门用于解决上面的问题,它可作为附加信息来区分不同库中相同名称的函数、类、变量等。使用了命名空间即定义了上下文。本质上,命名空间就是定义了一个范围。

定义命名空间:
namespace namespace_name {
// 代码声明
}

引用命名空间中的变量:
name::code; // code 可以是变量或函数

 

漏洞背景

2021年10月12日,卡巴斯基博客公开披露了在8月下旬捕获到的Windows内核提权0day漏洞的相关信息。该漏洞与Windows窗口管理和图形化设备接口相关(Win32kfull.sys)。通过该漏洞可以让普通权限用户提权到system权限。

 

漏洞现状

以下版本均受影响。卡巴斯基已经发现在野利用,且官方已发布补丁,请及时安装相关补丁。
Windows Server, version2004/20H2(Server Core Installation)
Windows 10 Version1607/1809/1909/2004/20H2/21H1
Windows 7 for 32/64-bit Systems Service Pack 1
Windows Server 2008/2012/2016/2019/2022
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows 8.1 for 32/64-bit systems
Windows RT 8.1

 

漏洞成因

win32kfull的NtGdiResetDC()函数中存在一个use after free漏洞,攻击者可以利用该漏洞将权限提升到NT AUTHORITY\SYSTEM的权限。

由于此函数调用hdcOpenDCW(),该函数执行用户模式回调,因此存在该缺陷。在此回调期间,攻击者可以使用与之前相同的句柄再次调用NtGdiResetDC()函数,这将导致该句柄引用的PDC对象被释放。

关于对象被释放这一点,在微软官方的文章中提到:“调用CreateDC的线程拥有创建的HDC。当这个线程被销毁时,HDC不再有效。因此,如果您创建HDC并将其传递给另一个线程,然后退出第一个线程,第二个线程将无法使用HDC。”

然后,攻击者可以用自己的对象替换句柄引用的内存,然后将执行传递回原始NtGdiResetDC()调用,该调用现在将在没有适当验证的情况下使用攻击者的对象。这可以允许攻击者操纵内核的状态,并结合其他利用技术,以NT AUTHORITY\SYSTEM的身份获得代码执行。

在win32kfull!NtGdiResetDC中调用了win32kfull!GreResetDCInternal:

在win32kfull!GreResetDCInternal中调用了用户态的win32kbase!hdcOpenDCW:

在win32kfull!GreResetDCInternal的85行,v11+0xAB8可以设置为我们想要执行的函数,同时v11+0x708和(new_dcobj[0] + 6) + 0x708i64两个入参的值可以在用户态函数中被修改。内核函数接受两个用户态的参数,因此可以利用此漏洞造成任意地址读写。

 

漏洞利用

根据卡巴斯基的揭露,在执行ResetDC的回调函数时,对相同的句柄再次调用ResetDC,即可触发漏洞。利用此漏洞需要使用GDI palette对象和一个内核函数达到任意地址读写。可以利用NtQuerySystemInformation和EnumDeviceDrivers去泄露内核模块地址,最终可以进行权限提升。为了便于理解,下文将结合exp的内容进行说明。

步骤0、获取exp自身的token对象地址

准备后续提权所需的信息。先获取exp自身的token、特权信息在内核中的地址等信息。

获取exp自身的token方法如下:

进而筛选出PoolFlag=“ThNm”的堆。

安装Windows WDK后会自动生成一个pooltag.txt。pooltag.txt里有poolflag相对应的内容。如下图所示,不同的poolfalg标志代表了不同的数据类型。

步骤1、hook对应的函数

在下图736行中,调用SetupUsermodeCallbackHook()函数来hook可用打印机驱动的回调表。

hook步骤:
1、枚举可用打印机并获取驱动信息。
2、遍历每个驱动,如果找到目标函数则修改回调表。

步骤2、创建一个全局的DC对象并保存其句柄

步骤3、调用ResetDC函数

调用ResetDC函数,并向其传递全局DC的句柄。ResetDC函数执行系统调用NtDgiResetDC及其内部函数GreResetDCInternal并取得传入的HDC所对应的PDC对象,然后会调用hdcOpenDCW函数。

步骤4、执行hook函数

️malloc()函数存在一个特性是会将新申请分配的空间分配到之前被free()回收的buffer区域。

️free()函数不会处理申请的内存空间的内容。所以数据会被保留下来。

调用ResetDC函数后会执行回调函数,由于已经hook对应的回调函数,所以代码流程进入HOOK函数。

如上图所示191行,再次执行ResetDC函数并传入全局的HDC值,由于第188行已经把globals::should_trigger设为true,所以会按照正常的流程执行。

此时在GreResetDCInternal函数内会对该值对应的PDC对象进行释放,造成该对象结构的错误。

步骤5、第二次ResetDC调用完成

完成调用后继续运行到下图所示的70行。

对应的汇编代码如下:

_guard_dispatch_icall_nop的操作是jmp rax:

向上查看,可以看到rax=*(rbx+0xAD0):

而RBX寄存器的值则是使用由用户层传入的HDC创建的DCOBJ对象的指针。此时,所对应的PDC对象已经在第四步的过程中被释放掉了,但是由于未对该对象进行判断,此时可以进行任意内核函数的调用。整个过程如下图所示:

由于前期已经设置token的0x40位置的Privileges,从而给winlogon进程添加SE_DEBUG_PRIVILEGE权限。

通过获取TheadName从而来泄露其内核地址空间,进而调用RtlSetAllBits函数实现对Fake_RtlBitMapAddr中BitMapHeader buffer的设置。通过申请堆的大小和UAF中堆的大小相同,那么就可能申请到我们的这块内存,从而进行堆喷射。

如下图所示,正好获取到构造好了这块内存中的数据,最终实现指针的利用,从而达到提权的目的。

步骤6、向winlogon注入启动cmd的shellcode

 

视频演示

https://www.bilibili.com/video/BV1nM4y1P7nC/

参考链接:
1、https://hack-big.tech/2019/01/24/uaf漏洞原理实例浅析/
2、https://www.kaspersky.com/blog/mysterysnail-cve-2021-40449/42448/
3、https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40449
4、https://www.cve.org/CVERecord?id=CVE-2021-40449
5、https://docs.microsoft.com/en-us/windows/win32/api/wingdi/nf-wingdi-createdca
6、https://ti.qianxin.com/blog/articles/CVE-2021-40449-vulnerability-recurrence-process/

本文由 华域联盟 原创撰写:华域联盟 » Microsoft CVE-2021-40449漏洞分析与利用

转载请保留出处和原文链接:https://www.cnhackhy.com/129227.htm

本文来自网络,不代表华域联盟立场,转载请注明出处。

作者: sterben

Antivirus Bypass(一)基于敏感函数

Serverless扫描技术研究及应用

发表评论

联系我们

联系我们

2551209778

在线咨询: QQ交谈

邮箱: admin@cnhackhy.com

工作时间:周一至周五,9:00-17:30,节假日休息

关注微信
微信扫一扫关注我们

微信扫一扫关注我们

关注微博
返回顶部