SophosLabs 公开了 Windows ActiveX Data Objects (ADO) UAF 漏洞(CVE-2019-0888)的 PoC(内附视频)

gejigeji 漏洞 2019年6月25日发布
Favorite收藏

导语:几个月前,我们发现在Check Point端点安全VPN客户端中有一个DACL权限覆盖漏洞。

几个月前,我们发现在Check Point端点安全VPN客户端中有一个DACL权限覆盖漏洞。此漏洞允许Windows系统上的任何用户将任何文件的权限设置为Authenticated Users安全组的完全控制,唯一的限制是系统用户需要访问编辑文件的权限,所以一些系统文件属于TrustedInstaller不能覆盖。TrustedInstaller是从Windows Vista开始出现的一个内置安全主体,在Windows中拥有修改系统文件权限,本身是一个服务,以一个账户组的形式出现。它的全名是:NT SERVICE\TrustedInstaller。

VPN客户端有两个对应的对象,一个作为SYSTEM运行的Windows服务和一个作为当前用户运行的用户域客户端。对于这个漏洞,除了重新启动它之外,我们实际上不需要与该服务交互。但是,通过研究用户客户端和服务之间的通信,这是一种有趣的自定义RPC协议类型。

虽然我们确实是独立发现了此漏洞,但并不是第一个向Check Point报告此漏洞的人,修复版本已经于2019年4月16日发布。

漏洞描述

启动“Check Point端点安全VPN”服务后,它会对C:\Windows\Internet日志下的所有文件的权限执行重置。它设置的权限是对经过身份验证的用户的完全控制,这意味着系统上的任何用户都有权写入、读取和修改这些文件。另外,它还可以完全控制Internet日志文件夹本身。不管Internet日志的内容如何,也不管文件夹中的所有文件的来源如何,都将执行此权限重置。

1.png

Windows可以创建硬链接,简单地说硬链接(hard link, 也称链接)就是一个文件的一个或多个文件名。再说白点,所谓链接无非是把文件名和计算机文件系统使用的节点号链接起来。总之,硬链接就是让多个不在或者同在一个目录下的文件名,同时能够修改同一个文件,其中一个修改后,所有与其有硬链接的文件都一起修改了。因此我们可以用多个文件名与同一个文件进行链接,这些文件名可以在同一目录或不同目录。这意味着如果我们有一个指向文件的硬链接,并且我们在硬链接上设置了权限,那么这些权限在原始权限上也是相同的。但是,mklink的内置命令行工具要求创建硬链接的用户具有对“原始”文件的写入访问权。 Google的Project Zero的James Forshaw实际上发现这并不是一个多么复杂的要求,mklink使用Windows中的CreateHardlinkW API强制执行写入检查,如果用户具有写入访问权限,则调用NtSetInformationFile。但是如果我们直接使用NtSetInformationFile,则可以绕过这个写入访问过程。James Forshaw在他的文章中详细介绍了这个绕过过程,除非正在运行的应用程序是沙箱化的,否则它将在Windows中实现预期的功能。

这意味着从C:\Windows\Internet日志创建到SYSTEM具有编辑权限的任何文件的硬链接,会将这些权限重置为系统中的任何用户都可以覆盖它的状态,这可以导致攻击者提升正常用户帐户的权限。

PoC

首先,我们需要一个覆盖的文件,它可能会赋予我们更高的权限,查看任务调度程序的目的是查看作为SYSTEM运行的任务。

2.png

Google Update计划任务是一个很好的目标,它以SYSTEM身份运行,在可预测的时间(在任何用户登录时)运行,可执行文件可由SYSTEM修改和写入。

3.jpg

接下来,我们需要创建一个从C:\Windows\Internet日志到Google Update可执行文件的硬链接。FuzzySecurity的PowerShell-Suite有一个方便的PowerShell脚本,可以直接使用NtSetInformationFile创建硬链接和Native-HardLink 。我们导入该脚本并创建指向Google Update可执行文件的硬链接。

4.png

现在我们将看到可执行文件在这两个目录中镜像:

5.png

接下来,由于标准用户帐户无法重新启动Check Point服务,因此我们需要重新启动计算机以重新启动服务。启动后,我们将看到GoogleUpdate.exe的文件权限已经更新,现在我们可以以正常用户的身份覆盖其内容。

6.png

选择用一个反向shell替换可执行文件,注销然后再次登录,此时,我们将得到一个具有系统访问权限的shell。

Screenshot 2019-02-11 at 11.08.02.png

7.png

如果你还不是很清楚,请点此观看具体视

本文翻译自:https://bordplate.no/blog/en/post/check-point-file-permissions-overwrite/如若转载,请注明原文地址: https://www.4hou.com/vulnerable/18768.html
点赞 3
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论