नेटवर्क संसाधनों के लिए कर्नेल 32 से आश्चर्य (MS12-081, Microsoft फ़ाइल हैंडलिंग घटक में कमजोरियों का विस्तृत विश्लेषण)

पिछले साल 11 दिसंबर को माइक्रोसॉफ्ट ने माइक्रोसॉफ्ट फाइल हैंडलिंग कंपोनेंट में खोजे गए एक भेद्यता से संबंधित बुलेटिन जारी किया। भेद्यता को महत्वपूर्ण रैंक और रिमोट कोड निष्पादन श्रेणी सौंपी गई थी। दूरस्थ कोड निष्पादन तब होता है जब एक पीड़ित एक विशेष तरीके से एक हमलावर द्वारा उत्पन्न सामग्री के साथ एक साझा नेटवर्क संसाधन खोलता है। इस रिपोर्ट में ऑपरेशन का विवरण दिया गया है।

परिणाम Windows XP SP3 x86 पर प्राप्त किए गए थे। भेद्यता स्वयं कर्नेल 32.dll लाइब्रेरी के FindFirstFileExW और FindNextFileExW फ़ंक्शंस में स्थित है, जो मेमेवोव का उपयोग करके NtQueryDirectoryFile मूल फ़ंक्शन से प्राप्त डेटा की प्रतिलिपि बनाते हैं। समस्या यह है कि NtQueryDirectoryFile से प्राप्त संख्या कॉपी फ़ंक्शन के लिए स्रोत बफर के आकार के रूप में पारित की जाती है, हालांकि यह संभव है कि गंतव्य बफर का आकार NtQueryDirectoryFile जारी करने के परिणाम से छोटा हो सकता है।

इस भेद्यता का प्रभाव उन सभी अनुप्रयोगों तक फैला हुआ है जो FindFirstFile / FindNextFile परिवार के कार्यों का उपयोग करते हैं। मेरे दिमाग में आया पहला ऐसा एप्लिकेशन explorer.exe था। शोषण के लिए, एक हमलावर के लिए यह पर्याप्त होगा कि वह उपयोगकर्ता को दुर्भावनापूर्ण संसाधन का लिंक खोलने के लिए बाध्य करे, और सफल होने पर, वह उपयोगकर्ता के अधिकारों के साथ कोड को निष्पादित करने में सक्षम होगा, जिसने लिंक खोला था। Microsoft FAQ अनुभाग द्वारा सुझाए गए दूरस्थ ऑपरेशन परिदृश्य UNC साझाकरण या WebDAV पथ के माध्यम से संभव है। UNC (यूनिवर्सल नेमिंग कन्वेंशन) पथ एक फ़ाइल साझाकरण नेटवर्क संसाधन को इंगित कर सकता है जो SMB प्रोटोकॉल के आधार पर संचालित होता है। परीक्षण के लिए, लिनक्स को सांबा सेवा के साथ चुना गया था, जो आपको इस प्रोटोकॉल के आधार पर "साझा" फ़ोल्डर बनाने की अनुमति देता है। परिणामस्वरूप, मैं निम्नलिखित दूरस्थ आक्रमण योजना का अनुकरण करना चाहता था।



लिनक्स प्लेटफॉर्म पर, 255 वर्णों के बराबर एक समान प्रतिबंध है (न केवल पथ की लंबाई पर, बल्कि फ़ाइल नाम की लंबाई पर)। एक कमजोर विंडोज मशीन की लंबाई में 255 अक्षरों से अधिक फ़ाइल नामों के साथ एक निर्देशिका लिस्टिंग को स्थानांतरित करने के लिए, आप बस सांबा सर्वर स्रोतों को सही कर सकते हैं। दुर्भावनापूर्ण नाम प्रस्तुत करने के लिए स्थानों में से एक smbd_marshall_dir_entry trans2.c (सांबा 3.6.6) से कार्य हो सकता है, जो आंशिक रूप से सर्वर आउटपुट बनाता है। पहले परीक्षण के लिए, आउटपुट फ़ाइलों का नाम 0x100 बाइट्स द्वारा विस्तारित किया गया था और निरंतर 0xfeeddead से भरा था। जब आप किसी संवेदनशील मशीन से संशोधित सर्वर तक पहुंचने का प्रयास करते हैं, तो आप निम्न चित्र का अवलोकन कर सकते हैं।



जैसा कि आप स्क्रीनशॉट में देख सकते हैं, explorer.exe ने EDX नियंत्रित रजिस्टर से पते पर डॉर्ड को पढ़ने की कोशिश की। रीड वैल्यू उस पते के गठन में शामिल होता है जिस पर कॉल होता है। यदि आप कॉल स्टैक पर एक स्तर ऊपर जाते हैं, तो आप देखेंगे कि हाल के दस्तावेज़ों के पहले दो पैरामीटर_नम फ़ंक्शन नियंत्रित हैं, इसके अलावा, दोनों को पास किया गया है। ढेर पर उनके स्थान (आरेख नीचे प्रस्तुत किया गया है) के कारण इन मूल्यों को लिखना संभव है।



CFSFolder_CreateEnum फ़ंक्शन CFileSysEnum वर्ग के एक उदाहरण के लिए आकार 0x498 की स्मृति आवंटित करता है; ऑफ़सेट 0x224 के साथ इस chunk में WIN32_FIND_DATA संरचना स्थित है। इस संरचना का एक संकेतक कमजोर FindFirstFileEx फ़ंक्शन को दिया जाता है, जो नियंत्रण अवरोधन के लिए अनुमति देने वाले मानों को अधिलेखित करता है।

इस भेद्यता का फायदा उठाने के लिए, आपको ढेर स्प्रे आयोजित करने की आवश्यकता है। इस स्थिति में ढेर को भरने के लिए ऑब्जेक्ट CShellBrowser2 घटक द्वारा प्राप्त फ़ाइल नाम होंगे। इसलिए, ढेर स्प्रे का संचालन करने के लिए, आपको नेटवर्क शेयर पर बड़ी संख्या में फाइलें बनाने की आवश्यकता है। हमले की योजना नीचे दिए गए आंकड़े में दिखाई गई है। नोट: इस योजना में डेटा निष्पादन रोकथाम (DEP) प्रणाली को ध्यान में नहीं रखा गया है; शेलकोड, जैसा कि आप देख सकते हैं, ढेर में है, जो अप्राप्य होना चाहिए।



हमले को अंजाम देने की समस्याओं में से एक कई एसएमबी पैकेटों के लिए सर्वर की प्रतिक्रिया का विखंडन है। Mrxsmb.sys ड्राइवर, जो SMB प्रोटोकॉल के संचालन के लिए जिम्मेदार है, में MrxSmbUnalignedDirEntryCopyTail फ़ंक्शन है। यह फ़ंक्शन प्राप्त नामों की लंबाई की जांच करता है, जो उपयोगकर्ता मोड में स्थानांतरित हो जाते हैं, और यदि सीमा 0x200 बाइट्स है, तो त्रुटि STATUS_INVALID_NETWORK_RESPONSE (0xC00000C3) को फेंक दिया जाएगा, और जब यह एक त्रुटि प्राप्त करता है, तो NtQueryDirectoryFile फाइंडनेस्टाइल के लिए नाम जारी करना बंद कर देगा।

इस जाँच को निम्नानुसार किया जा सकता है। पहले आपको फ़ाइलों का एक सेट बनाने की ज़रूरत है जो ढेर स्प्रे को लागू करेगा, और फिर निर्देशिका से सभी फ़ाइलों को हटा दें और एक फ़ाइल बनाएं, जिसका नाम भेद्यता का ट्रिगर होगा। फ़ाइल सिस्टम में परिवर्तन के मामले में, जब क्लाइंट कनेक्ट होता है, तो सांबा सर्वर NT_NOTIFY फ़ंक्शन के साथ एक पैकेट भेजेगा, जो क्लाइंट को केवल एक ही शुभ नाम प्राप्त करते हुए सर्वर को FIN_FIRST2 अनुरोध दोहराने के लिए मजबूर करेगा। इस स्थिति में, पहले प्राप्त फ़ाइलों का नाम स्मृति में रहेगा। इसके अलावा, आप नामों के क्रम को नियंत्रित कर सकते हैं, क्योंकि वे नाम से क्रमबद्ध हैं। यह भी ध्यान देने योग्य है कि सांबा सर्वर से प्राप्त नाम अद्वितीय होना चाहिए; यह एक विशिष्ट पहचानकर्ता के लिए फ़ाइल नाम के मुख्य क्षेत्र से 5 बाइट्स आवंटित करके प्राप्त किया जा सकता है।

यह ध्यान देने योग्य है कि फ़ाइल नाम परिवहन डबल-बाइट यूनिकोड में SMB प्रोटोकॉल के माध्यम से संचार करता है।



यह कमजोर ग्राहक पर फिर से लिखे गए पते पर कुछ प्रतिबंध लगाता है, लेकिन चूंकि सांबा सर्वर जारी करने का संशोधन सिंगल-बाइट से डबल-बाइट वर्णों में रूपांतरण के बाद होता है, ये प्रतिबंध महत्वपूर्ण नहीं हैं - हालांकि वे संशोधित सर्वर की प्रक्रिया में अपनी जटिलता का परिचय देते हैं। डेटा का एक बड़ा पैकेट भेजकर, सर्वर इसे भागों में तोड़ देता है, और क्लाइंट, डेटा का ऐसा दूसरा भाग प्राप्त करने के बाद, सर्वर को एक नाम देता है, जिससे इसे जारी करना जारी रखना होगा (देखें। नीचे चित्र)।



चूंकि ढेर स्प्रे के दौरान अवास्तविक डेटा प्रदान किया जाता है, जिससे जारी करने के लिए नाम भी अवास्तविक होगा, और इसलिए सर्वर से वास्तविक नाम पर प्राप्त जारी_नाम को मैप करना आवश्यक है जहां से जारी रखना है।

नतीजतन, परिणामी निर्माण कोड को एक असुरक्षित मशीन पर लगभग 1/7 की संभावना के साथ निष्पादित करने की अनुमति देता है। निष्कर्ष रूप में, यह कहा जा सकता है कि भेद्यता का "जंगली में" अच्छी तरह से शोषण किया जा सकता है, हालांकि एक मुकाबला शोषण बनाने के लिए यह डीईपी के साथ समस्या को हल करने के लिए आवश्यक है, साथ ही साथ ढेर स्प्रे (एक सफल निष्पादन की संभावना को बढ़ाने के लिए) का अनुकूलन करें।

वीडियो डेमो:



संशोधित स्रोत ।

Kirill Nesterov, सकारात्मक अनुसंधान केंद्र द्वारा पोस्ट किया गया।