CVE-2016-0040 濫用GDI 核心提權漏洞

Editor發表於2018-08-28

漏洞背景

本人技術有限,有很多可能沒有分析到位的地方請各位大佬指點。

GDI利用技術很早就流行了，不過在國內文章搜出來基本就幾篇。正好前段時間看到了利用GDI 提權漏洞，趕緊學習一波。

在2016年 2月份微軟修復了 CVE-2016-0040 核心級別的特權提升漏洞。該漏洞成因為在 ntoskrnl 的WMI子系統中利用未初始化的堆疊變數

CVE-2016-0040 濫用GDI 核心提權漏洞

漏洞分析

一般分析一個CVE 我都會先去Kali 裡面看看

CVE-2016-0040 濫用GDI 核心提權漏洞

雖然微軟說影響情況很多不過在kali中只提供了 Win7 sp0 /sp1 X64的利用。最後在GitHub上找到了 EXP 和利用的原始碼

利用成功情況

CVE-2016-0040 濫用GDI 核心提權漏洞

先對EXP 進行裁剪造成崩潰

CVE-2016-0040 濫用GDI 核心提權漏洞

可以看到裁剪 POC 在3環通過控制碼對0環 WMIDataDevice進行通訊

而傳送的資料為 WMIRECEIVENOTIFICATION 這個結構

CVE-2016-0040 濫用GDI 核心提權漏洞

剛開始再 32位下分析

CVE-2016-0040 濫用GDI 核心提權漏洞

可以看到觸發了漏洞檢視堆疊是在 nt!WMIPRECEIVENOTIFICATIONS函式中。之後在wrk 原始碼中發現了此函式 (為分析漏洞已刪除無關程式碼)

NTSTATUS WMIPRECEIVENOTIFICATIONS(
    PWMIRECEIVENOTIFICATION RECEIVENOTIFICATION,
    PULONG OUTBUFFERSIZE,
    PIRP IRP
    )
{   
    #DEFINE MANY_NOTIFICATION_OBJECTS 16
    ULONG I;
    PWMIGUIDOBJECT GUIDOBJECT;
    ULONG HANDLECOUNT;
    PHANDLE3264 HANDLEARRAY;
    OBJECT_EVENT_INFO *OBJECTARRAY;
    OBJECT_EVENT_INFO STATICOBJECTS[MANY_NOTIFICATION_OBJECTS];  //本地
 
#ENDIF
 
    HANDLECOUNT = RECEIVENOTIFICATION->HANDLECOUNT;          //攻擊點  r14d
    HANDLEARRAY = RECEIVENOTIFICATION->HANDLES;
 
    //
    // CREATE SPACE TO STORE THE OBJECT POINTERS SO WE CAN WORK WITH THEM
    //
 
    IF (HANDLECOUNT > MANY_NOTIFICATION_OBJECTS)
    {
        OBJECTARRAY = WMIPALLOC(HANDLECOUNT * SIZEOF(OBJECT_EVENT_INFO));
        IF (OBJECTARRAY == NULL)
        {
            RETURN(STATUS_INSUFFICIENT_RESOURCES);
        }
    } ELSE {
        OBJECTARRAY = STATICOBJECTS;
    }       
#IF DBG
    RTLZEROMEMORY(OBJECTARRAY, HANDLECOUNT * SIZEOF(OBJECT_EVENT_INFO));
#ENDIF
 
        } ELSE IF (RECEIVENOTIFICATION->ACTION == RECEIVE_ACTION_CREATE_THREAD) {
 
                    GUIDOBJECT = OBJECTARRAY[0].GUIDOBJECT;//
                    GUIDOBJECT->USERMODECALLBACK = (PUSER_THREAD_START_ROUTINE)(ULONG_PTR)RECEIVENOTIFICATION->USERMODECALLBACK.HANDLE;
                    GUIDOBJECT->EVENTQUEUEACTION = RECEIVE_ACTION_CREATE_THREAD;
                    GUIDOBJECT->USERMODEPROCESS = USERMODEPROCESS;
                    GUIDOBJECT->STACKSIZE = STACKSIZE;
                    GUIDOBJECT->STACKCOMMIT = STACKCOMMIT;
 
                    THREADLISTHEAD = &GUIDOBJECT->THREADOBJECTLIST;
                    INITIALIZELISTHEAD(THREADLISTHEAD);

從函式原始碼可以看到如果當傳入的HandleCount 為0時就會使用本地一個陣列。可以看到這個陣列並沒進行初始化，往下看看到在CHK 版本中進行了初始化（。。。）之後函式會進行檢查一些操作當action 為RECEIVE_ACTION_CREATE_THREAD 時看到對 ObjectArray 進行了使用 ,不過當設定 HandleCount 為0 時 ObjectArray 是未初始化，在下面部分又對這個初始化的指標進行了使用。在利用之後就造成了典型的核心任意記憶體讀寫

GDI利用

GdiShareHandleTable Win32k!gpentHmgr的部分對應程式中每個GDI物件

CVE-2016-0040 濫用GDI 核心提權漏洞