1研究背景

4月1日，以色列安全研究員Gil Dabah在部落格上釋出了一篇關於win32k漏洞研究文章，描述瞭如何通過核心物件的Destroy函式和win32k user-mode callback緩解措施的特性來尋找UAF漏洞的新思路。

為此，啟明星辰ADLab對win32k相關核心機制進行研究分析，並對這類漏洞的挖掘思路進行詳細解讀分析。

2win32k漏洞緩解與對抗

2.1 win32k user-mode callback漏洞

由於設計原因，win32k驅動需要處理很多使用者層的回撥，這些回撥給win32k模組的安全帶來了非常大的隱患，並在過去10年時間貢獻了大量的漏洞。

為了便於漏洞描述，以如下虛擬碼進行舉例分析。

上述程式碼執行效果如下圖所示，使用者層執行的某函式通過syscall傳入核心層，當核心層程式碼執行到somecallback這一句時，使用者層可以在使用者定義的callback函式中獲得程式碼執行的機會，如果使用者在callback函式呼叫了DestroyWindow函式銷燬視窗p，核心層的相應銷燬程式碼將會被執行，p的相應記憶體被釋放，回撥執行完畢，NtUserSysCall函式繼續執行，當執行到xxxSetWindowStyle(p)一句時，由於p的記憶體已經被釋放從而導致UAF漏洞的產生。

2.2 user-mode callback漏洞緩解機制

為了防止上述問題的產生，微軟在物件中引入了一個引用計數（物件+0x8處），物件分配時引用計數為1，當執行物件的Destroy函式時引用計數減1，當引用計數為0時物件會被真正釋放。微軟通過鎖的概念為物件新增和減少引用計數，在win32k中為物件管理引用計數的鎖有兩種分別是臨時鎖（相應函式為ThreadLock/ ThreadUnlock）和永久鎖（相應函式為HMAssignmentLock/ HMAssignmentUnlock）。經過加固之後程式碼表現為如下形式：

通過上述程式碼，可以保證即使callback被執行，p在xxxSetWindowStyle函式執行的時候也不會被釋放。

2.3緩解機制的對抗技術

上一節提到了物件的引用計數，如果物件的引用計數為正，即使執行物件的destroy函式，物件沒有真正被釋放，仍舊存留在記憶體中，這種物件被微軟開發者稱為殭屍（Zombie）物件。一旦殭屍物件的引用計數減少到0它將會消失，但是在此之前它仍舊存在記憶體中，只是使用者層無法訪問該物件。

同時為了防止殭屍物件繼續存留在記憶體中，鎖的釋放函式（ThreadUnlock/ HMAssignmentUnlock）一般會包含物件的釋放環節。

物件的Destroy函式還有一個特性就是在釋放物件的同時，Destroy函式也會釋放物件的子資源，其過程可以簡要描述如下。

DestroyWindow在第一次呼叫時釋放子資源，一旦視窗不再被引用，控制程式碼管理器就會再次完全銷燬它，一般情況下，第二次銷燬Destroy函式不會在去處理子資源，因為第一次已經釋放了所有的子資源。

但是事情往往不是這麼簡單，事實上即使是一個已經呼叫過相應Destroy函式釋放的殭屍物件，仍然有機會對其本身進行一些更改（回撥之後核心程式碼仍會對物件進行一些操作），我們把這種情況叫做Zombie Reload，當該殭屍物件由於引用計數為0而被真正釋放時，之前的更改操作將會給核心帶來一些隱患。

對於如下程式碼片段：

我們在使用者層回撥中對pwnd執行了Destroy函式，然後通過InternalSetTimer為之設定了一個計時器，當ThreadUnlock將pwnd真正釋放的時候，計時器也將被釋放，那麼接下來對計時器的操作將會導致UAF漏洞的產生。

3案例分析

上一節我們討論了物件的引用計數和鎖給物件帶來的新的安全隱患，但是真正的挑戰在於我們如何確定一段程式碼中存在漏洞，關鍵點是確保在unlock函式中釋放的物件在執行到有問題的程式碼時其引用計數應該為1，只有這樣我們才能在使用者層回撥呼叫其Destroy函式，並通過unlock函式將這個物件真正釋放掉（上鎖的時候會做+1處理），這也是我們接下來需要討論的。下面我們通過一個案例來分析漏洞挖掘思路。

3.1漏洞成因

下圖是xxxMnOpenHierarchy函式的程式碼片段。

圖中通過xxxCreateWindowEx可以獲得一個返回使用者層執行callback函式的機會，xxxCreateWindowEx建立的視窗將作為父視窗*(structtagWND **)(**v3 + 8)（上圖紅框）的子視窗，如果我們可以通過ThreadUnlock釋放父視窗，那麼子視窗v32也會被釋放，所以當後續的safe_cast_fnid_to_PMENUWND函式將v32作為引數執行時就會產生問題，值得注意的是通過回撥釋放v32是行不通的，如果這樣xxxCreateWindowEx將會返回0，無法通過if判斷。

這裡的問題就在於如何保證父視窗在ThreadUnlock函式執行的時候引用計數為1，因為要執行xxxMnOpenHierarchy函式需要將父視窗關聯到一個menu視窗上，此時父視窗和menu視窗將會被一個永久鎖鎖住，下面我們介紹如何繞過永久鎖。

3.2漏洞挖掘思路

首先我們建立了g_hMenuOwner和g_hNewOwner兩個視窗，其中g_hMenuOwner的選單控制程式碼為hMenu，它也是g_hNewOwner的所有者。

在上述建立過程中核心通過LockPopuMenu函式分別為hMenu和g_hMenuOwner新增了永久鎖，為了達成釋放目的，這個永久鎖需要被繞過。

此時鎖和所有者的關係是這樣的：

接下來我們通過SetWindowsHookEx給視窗新增了WH_CBT鉤子，並讓視窗進入訊息迴圈中。

SendMessage操作為g_hMenuOwner新增一個臨時鎖，由於後續的所有攻擊都是在message的回撥中進行，所以對於g_hMenuOwner來說這個臨時鎖是無法釋放的，如果想要構造一個漏洞利用環境首先需要用一些方法來繞過它。

現在的情況變成了下圖所示：

當訊息為HCBT_CREATEWND時，我們第一次到達xxxMNOpenHierarchy函式內部的xxxCreateWindowEx。

這裡可以通過定義關於HCBT_CREATEWND訊息的處理得到執行使用者層回撥程式碼的機會，這一步的主要目的是為了獲取Menu的Wnd。

當接收到的訊息為WM_ENTERIDLE時，我們在視窗的訊息回撥中通過PostMessage下發訊息。

傳送訊息後，驅動程式來到了xxxMNKeyDown函式內部呼叫xxxSendMessage處。

通過WM_NEXTMENU訊息的回撥函式開始為LPARAM賦值，賦值操作是為了修改hMenu的Owner，這樣就可以將Owner的臨時鎖繞過。

此時核心會接到銷燬menu的訊息，通過使用者層的回撥函式返回1阻止menu的銷燬。

xxxMNKeyDown函式通過UnlockPopupMenu將g_hMenuOwner身上的永久鎖被去掉。

取而代之的是g_hNewOwner加上了一個鎖，hMenu的Owner也從g_hMenuOwner變成了g_hNewOwner。

這時，鎖的關係變成了：

接下來程式第二次進入到xxxMNOpenHierarchy函式並通過xxxSendMessage傳送了訊息。

此時通過設定WM_INITMENUPOPUP回撥來獲得使用者層執行的機會，WM_INITMENUPOPUP回撥函式通過SetWindowsHookEx函式設定了一個新的hook，目的是為了在xxxMnOpenHierarchy函式建立子視窗的時候獲得使用者層執行許可權。

xxxMnOpenHierarchy函式繼續向下執行，再次來到xxxCreateWindowEx處。

xxxCreateWindowEx呼叫了剛剛設定的回撥函式childMenuHookProc。

在回撥函式childMenuHookProc中，SendMessage傳送了WM_NEXTMENU訊息，通過該定義該訊息的回撥函式再次修改引數LPARAM，這是為了去掉g_hNewOwner身上的永久鎖。

Menu的Owner關係再次被改變，xxxMNKeyDown通過函式UnlockPopMenu去掉g_hNewOwner身上的永久鎖。並將這個鎖重新加在了g_hMenuOwner上。

這個時候，所有的鎖都已經轉移到了g_hMenuOwner身上，而由於WH_CBT鉤子已經被移除，menu將被棄用，g_hNewOwner將把新建立的視窗link到自己身上。這個時候情況變成了下面的樣子，g_hNewOwner身上已經沒有需要繞過的鎖了。

接著childMenuHookProc通過SetWindowsHookEx函式又一次設定了回撥函式並通過SetWindowLongPtr函式來呼叫它，回撥函式銷燬了g_hNewOwner和xxxCreateWindowEx生成的新視窗。

xxxCreateWindowEx返回的值為ffff871b80239130，這就是xxxCreateWindowEx建立的子視窗。

接下來就可以通過ThreadUnlock來銷燬g_hNewOwner和其新建立的子視窗來得到一個UAF漏洞。

4總結

本文對win32k漏洞挖掘新思路進行了詳細解讀，其中包括將unlock函式和物件的Destroy函式的特性關聯在一起，並把物件的子資源作為攻擊目標尋找新的攻擊面的漏洞挖掘思路。另外，如何通過物件內部的特性去繞過鎖對物件的鎖定的思路和技巧，也非常具有借鑑意義。