Анализ уязвимостей системы Microsoft: Потенциальные угрозы и меры предосторожности

Недавнее обновление безопасности от Microsoft содержит уязвимость повышения привилегий win32k, которая в настоящее время используется. Эта уязвимость в основном затрагивает ранние версии операционной системы Windows, тогда как в Windows 11, похоже, ее невозможно активировать. В данной статье будет рассмотрено, как злоумышленники могут продолжать использовать такие уязвимости на фоне постоянно усиливающихся мер безопасности.

Фон уязвимости

Эти виды непубликованных системных уязвимостей обычно называются "нолюдными уязвимостями". Как только они обнаруживаются, хакеры могут использовать их в злонамеренных целях незамеченными, нанося серьезный ущерб. Обнаруженная уязвимость находится на уровне операционной системы Windows, и злоумышленники могут получить полный контроль над системой через нее.

Серьезные последствия после взлома системы могут привести к утечке личной информации, сбоям системы, потере данных, финансовым потерям и внедрению вредоносного ПО. Для пользователей криптовалюты это может означать кражу приватных ключей и перевод цифровых активов. В более широком масштабе эта уязвимость может даже повлиять на всю экосистему Web3, работающую на инфраструктуре Web2.

Анализ патчей

Анализируя код патча, мы обнаружили, что проблема заключается в том, что счетчик ссылок на один из объектов был обработан больше раз, чем нужно. Просматривая ранние комментарии к исходному коду, можно увидеть, что ранее код блокировал только объект окна, не блокируя при этом объект меню в окне, что могло привести к неправильным ссылкам на объект меню.

Анализ использования уязвимости

Мы создали специальную структуру многоуровенного вложенного меню для выявления уязвимостей. Тщательно разработав свойства меню и отношения ссылок, можно освободить определенный объект меню в процессе выполнения конкретной функции, что приведет к доступу к недействительному объекту при последующих ссылках.

Реализация эксплуатации уязвимости

При реализации эксплуатации уязвимости мы в основном рассматривали два варианта: выполнение shell-кода и использование операций чтения и записи для изменения токена. После анализа мы выбрали второй вариант, то есть реализацию произвольного чтения и записи путем управления определенными данными в памяти, что позволяет повысить привилегии.

Конкретный процесс реализации включает в себя:

1. Запись начальных данных через вызов определенной функции
2. Тщательно спроектированная компоновка памяти
3. Построение стабильных операций чтения и записи
4. В конечном итоге реализовать замену токенов для повышения прав

Итоги и размышления

1. Уязвимость win32k существует давно, но Microsoft пытается переписать соответствующий код на Rust, и в будущем такие уязвимости могут значительно сократиться.

2. Процесс эксплуатации уязвимости довольно прямолинеен и в основном зависит от утечки адреса дескриптора стека на рабочем столе. Если эту проблему не удастся решить полностью, устаревшие системы продолжат сталкиваться с угрозами безопасности.

3. Обнаружение этого уязвимости может быть обусловлено более совершенными методами контроля покрытия кода.

4. При обнаружении подобных уязвимостей, помимо внимания к ключевым точкам триггерной функции, также следует уделять внимание аномальному распределению памяти и поведению чтения и записи данных.

Путем глубокого анализа таких системных уязвимостей мы можем лучше понять текущие угрозы безопасности, с которыми сталкивается система Windows, и предоставить рекомендации для будущих мер защиты. Также напоминаем пользователям своевременно обновлять системные патчи и повышать уровень безопасности.