解析XP版永恒之蓝中的一个Bug

访客4年前黑客文章1293

永恒之蓝漏洞刚出来时,我可以顺利搞定Windows 7,但在攻击Windows XP时我一直没有成功。我尝试了各种补丁和Service Pack的组合,但利用程序要么无法成功,要么会导致系统蓝屏。当时我没有深入研究,因为FuzzBunch(NSA泄露工具集)还有待探索许多点。
直到有一天,我在互联网上找到了一个Windows XP节点,我想尝试一下FuzzBunch。令人惊讶的是,在之一次尝试时,漏洞利用竟然成功了。
那么问题来了,为什么在我的“实验”环境中,漏洞利用无法成功,而实际环境中却可以?
这里先揭晓答案:在单核/多核/PAE CPU上NT/HAL的实现有所区别,因此导致FuzzBunch的XP系统攻击载荷无法在单核环境中使用。
 
0x01 多条利用链
大家需要知道一点,EternalBlue(永恒之蓝)有多个版本。网上已经有人详细分析了Windows 7内核的利用原理,我和JennaMagius以及sleepya_也研究过如何将其移植到Windows 10系统上。
然而对于Windows XP而言,FuzzBunch包含一个完全不同的利用链,不能使用完全相同的基本原语(比如该系统中并不存在 *** B2以及SrvNet.sys)。我在DerbyCon 8.0演讲中深入讨论过这方面内容(参考演示文稿及演讲视频)。
在Windows XP上,KPCR(Kernel Processor Control Region)启动处理器为静态结构,为了执行shellcode,我们需要覆盖KPRCB.PROCESSOR_POWER_STATE.IdleFunction的值。
 
0x02 载荷工作方式
事实证明,漏洞利用在实验环境中没有问题,出现问题的是FuzzBunch的攻击载荷。
ring 0 shellcode主要会执行如下几个步骤:
1、使用现在已弃用的 KdVersionBlock技巧获得nt及hal地址;
2、解析利用过程中需要用到的一些函数指针,如hal!HalInitializeProcessor;
3、恢复在漏洞利用过程中被破坏的KPCR/KPRCB启动处理器结构体;
4、运行DoublePulsar,利用 *** B服务安装后门;
5、恢复正常状态执行流程(nt!PopProcessorIdle)。
单核分支异常
在IdleFunction分支以及+0x170进入shellcode处(经过XOR/Base64 shellcode解码器初始处理之后)设置硬件断点(hardware breakpoint)后,我们可以看到搭载多核处理器主机的执行分支与单核主机有所不同。
kd> ba w 1 ffdffc50 "ba e 1 poi(ffdffc50)+0x170;g;"
多核主机上能找到指向hal!HalInitializeProcessor的一个函数指针。

该函数可能用来清理处于半损坏状态的KPRCB。
单核主机上并没有找到hal!HalInitializeProcessor,sub_547返回的是NULL。攻击载荷无法继续运行,会尽可能将自身置零来清理现场,并且会设置ROP链来释放某些内存,恢复执行流程。

注意:shellcode成功执行后,也会在首次安装DoublePulsar后执行此操作。
 
0x03 根源分析
shellcode函数sub_547无法在单核CPU主机上正确找到hal!HalInitializeProcessor的地址,因此会强制终止整个载荷执行过程。我们需要逆向分析shellcode函数,找到攻击载荷失败的确切原因。
这里内核shellcode中存在一个问题,没有考虑到Windows XP上所有可用的不同类型的NT内核可执行文件。更具体一点,多核处理器版的NT程序(比如ntkrnlamp.exe)可以正常工作,而单核版的(如ntoskrnl.exe)会出现问题。同样,halmacpi.dll与halacpi.dll之间也存在类似情况。
NT迷局
sub_547所执行的之一个操作是获取NT程序所使用的HAL导入函数。 攻击载荷首先会读取NT程序中0x1040偏移地址来查找HAL函数。
在多核主机的Windows XP系统中,读取这个偏移地址能达到预期效果,shellcode能正确找到hal!HalQueryRealTimeClock函数:

然而在单核主机上,程序中并没有HAL导入表,使用的是字符表:

一开始我认为这应该是问题的根本原因,但实际上这只是一个幌子,因为这里存在修正码(correction code)的问题。shellcode会检查0x1040处的值是否是位于HAL范围内的一个地址。如果不满足条件,则会将该值减去0xc40,然后以0x40增量值在HAL范围内开始搜索相关地址,直到搜索地址再次到达0x1040为止。

最终,单核版载荷会找到一个HAL函数,即hal!HalCalibratePerformanceCounter:

目前一切操作都没有问题,可以看到Equation Group(方程式组织)在能够检测不同类型的XP NT程序。
HAL可变字节表
现在shellcode已经找到了HAL中的一个函数,会尝试定位hal!HalInitializeProcessor。shellcode内置了一张表(位于0x5e7偏移处),表中包含1字节的长度字段,随后为预期的字节序列。shellcode会递增最开始发现的HAL函数地址,将新函数的前0x20字节与表中字节进行对比。
我们可以在多核版的HAL中找到待定位的5字节数据:


相关文章

上海希格玛“光医学名医讲堂”有哪些专家教授

白癜风是一种色素脱失性疾病,全球约有0.5%-1%的人群患有白癜风。光疗是目前治疗白癜风的主要手段,其疗效可靠、安全性高,被医学界和患者广泛接受。 上海希格玛是国内专业从事光疗产品研发与生产的医疗器械...

开房记录在线查询器

得益于《奇袭·地道战》在营销上积累的经验,《树上有个好地方》也果断采用了提前点映的方式,进行了多场云路演,同样取得了非常好的效果和反响,影片未映先火,营销上数据表现非常亮眼,抖音播放量超过9个亿,豆瓣...

石家庄市有黑客吗(石家庄的黑网吧)

石家庄市有黑客吗(石家庄的黑网吧)

本文目录一览: 1、我淘宝怎么有人在河北省石家庄市登陆过? 2、想请问一下咱们中国有黑客吗? 3、互联网战场上谁来守护抗战老兵? 4、河北省十大黑客都有谁 5、宽带上网的网友们,面对黑...

【记者曝光】云熙国际是一个什么类型的项目?

晴大大微信:70750890【专业团队手把手一对一带你】 我是云熙国际首批创始人晴大大你想赚钱吗?你想天天爆单吗?想逆袭自己吗?想给孩子给父母更好的生活吗?想不被别人看不起吗?想改变命运吗?想找一个实...

河北邢台黑客培训班(邢台培训机构黑白名单)

河北邢台黑客培训班(邢台培训机构黑白名单)

本文目录一览: 1、国内最好的黑客培训基地 2、黑客魔方培训班时间 3、关于网络攻防技术的具体介绍 4、张博士的网络课怎么样啊?谁听过啊?我想报个培训班 国内最好的黑客培训基地 华夏黑客...

云盘精灵收费了,分享一个相同功效的软件,新增网站一个

====2018年8月2日更新==== 谢谢yamd留言分享,新增一个功效和云盘精灵一样的网站 http://so.ncckl.cn ====2018年8月1日原帖==== 我们之前先容过一款...