HEVD内核攻击:驱动程序的编译、安装、加载及调试(一)

xiaohui 技术 2017年3月23日发布

导语:HEVD是HackSys的一个Windows的训练项目,是一个存在漏洞的内核的驱动,里面存在多个漏洞。

360反馈意见截图16410125103859.png

HEVD是HackSys的一个Windows的训练项目,是一个存在漏洞的内核的驱动,里面存在多个漏洞,通过ControlCode控制漏洞类型,这个项目的驱动里几乎涵盖了内核可能存在的所有漏洞,从最基础的栈溢出,到池溢出,释放后重用等等类型,是一个非常好的项目。非常适合我们熟悉理解Windows内核漏洞的原理,利用技巧等等。

项目地址:https://github.com/hacksysteam/HackSysExtremeVulnerableDriver

编译驱动程序

我们需要安装Visual Studio 2015以及最新的SDK。还要安装Windows驱动程序工具包(WDK)。因为我们想要的目标为Windows 7的 64位操作系统,所以我还要下载了Windows 7的SDK。

所有安装都是我们从github所下载的HEVD源代码的zip文件,而且我们还会把驱动程序源代码提取到一个目录。接下来,打开Visual Studio并启动一个新项目。安装WDK后,我们就可以选择创建一个空的内核模式驱动程序,然后为这个新项目命名一个易于识别的名称(例如HEVD-win7x64),然后点击OK:

1490003811121081.jpg

右键单击解决方案资源管理器中右侧的Header Files文件夹,然后单击添加>现有项目……,直到我们浏览到驱动程序源代码目录,然后将这些目录导入所有.h文件。这些操作完成后,我们就可以对解决方案资源管理器中的源文件文件夹执行相同操作,并导入所有.c文件。现在在项目菜单下,选择HEVD-win7x64属性……直到打开项目属性对话框。不过要实现新项目的正常工作,我们还要进行一些操作,单击C / C ++节点并将“Treat Warnings As Errors”更改为“No (/WX-)”,另外还需要向下滚动到代码生成子节点,将安全检查选项更改为“Disable Security Check (/GS-)”,以便我们可以使用此缓冲区溢出,而不会出现其他"并发攻击"。单击驱动程序设置节点,并确保目标操作系统是Windows 7,目标工作平台在桌面。在Build菜单下,单击Build Solution,如果一切正常,我们应该在x64  Release中的项目文件夹下找到HEVD-Win7x64.sys:

1490003814801729.jpg

安装驱动程序

Windows 7 x64不允许安装任何旧版的驱动程序。从Windows Vista开始,所有64位版本的Windows都需要驱动程序代码为驱动程序加载数字签名。Microsoft提供了各种解决方法来测试驱动程序,但我们认为最简单的选项是使用TESTSIGNING引导配置选项,因为这能允许我们使用Visual Studio对驱动程序签名的测试证书,并且不需要完全信任的验证链。

打开管理员命令提示符,并发出以下命令:

3.png

加载驱动程序

通常,驱动程序是使用安装程序创建的,但是为了到达测试效果,我们还是要选择使用OSR驱动程序加载程序。从此链接下载实用程序并解压缩OSRLOADER.exe。不过要想加载新编译的驱动程序,我们还需要先“注册服务”,注册完毕,点击“开始服务”就可以了!

1490003831272385.jpg

内核调试

显然,在VMWare工作环境中,我们为内核调试配置共享串行端口管道是很轻松的,但是OSX上的VMWare Fusion没有正式支持它。因为一些最有用的链接已过时:

5.png

然后在关闭debugee VM(Win7x64之一)之前,我们需要使用另一个bcdedit命令。打开管理员命令提示符并输入以下内容:

6.png

然后关闭它。打开debugee的.vmx文件,将以下内容附加到其中:

7.png

在此,我们建议与这两个VM共享/ private / tmp文件夹。

无论如何,启动调试VM并打开WinDBG AMD64。单击文件>内核调试……直到启动内核连接对话框。单击串行选项卡,将COM1更改为COM2,然后单击确定。现在启动Win7x64 debugee VM。如果一切顺利,我们应该能在调试器中看到下图所示的情形:

1490003865175640.jpg

如果我们注册的HEVD驱动程序能自动启动,那么它应该已经被加载并准备好调试了。我们可以通过在调试器中发出一个Break并发出lmkm HEVD_Win7x64命令来进行检查:

9.jpg

如果发现在自动启动的状态下,没有加载,我们就需要使用OSRLOADER.exe再次启动它,不过在这样做之前,我们需要对调试环境做一个快速调整,必须在每个内核调试会话期间发出以下命令(意味着重新启动后):

10.png

一旦完成,输入g继续执行debugee VM,以便我们可以重新加载驱动程序。 现在继续使用OSRLOADER.exe来启动驱动程序服务。如果一切顺利,内核调试结果如下所示:

11.jpg

因为在的下一篇关于HEVD 内核攻击的文章中,我们将会用到这些代码。

本文参考来源于sizzop.github,如若转载,请注明来源于嘶吼: http://www.4hou.com/technology/3922.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论