CVE-2016-0040 滥用GDI 内核提权漏洞

漏洞背景

本人技术有限,有很多可能没有分析到位的地方请各位大佬指点。

GDI利用技术很早就流行了，不过在国内文章搜出来基本就几篇。正好前段时间看到了利用GDI 提权漏洞，赶紧学习一波。

在2016年 2月份微软修复了 CVE-2016-0040 内核级别的特权提升漏洞。该漏洞成因为在 ntoskrnl 的WMI子系统中利用未初始化的堆栈变量

漏洞分析

一般分析一个CVE 我都会先去Kali 里面看看

虽然微软说影响情况很多不过在kali中只提供了 Win7 sp0 /sp1 X64的利用。最后在GitHub上找到了 EXP 和利用的源代码

利用成功情况

先对EXP 进行裁剪造成崩溃

可以看到裁剪 POC 在3环通过控制码对0环 WMIDataDevice进行通信

而发送的数据为 WMIRECEIVENOTIFICATION 这个结构

刚开始再 32位下分析

可以看到触发了漏洞查看堆栈是在 nt!WMIPRECEIVENOTIFICATIONS函数中。之后在wrk 源码中发现了此函数 (为分析漏洞已删除无关代码)

NTSTATUS WMIPRECEIVENOTIFICATIONS(

PWMIRECEIVENOTIFICATION RECEIVENOTIFICATION,

PULONG OUTBUFFERSIZE,

PIRP IRP

)

{

#DEFINE MANY_NOTIFICATION_OBJECTS 16

ULONG I;

PWMIGUIDOBJECT GUIDOBJECT;

ULONG HANDLECOUNT;

PHANDLE3264 HANDLEARRAY;

OBJECT_EVENT_INFO *OBJECTARRAY;

OBJECT_EVENT_INFO STATICOBJECTS[MANY_NOTIFICATION_OBJECTS]; //本地

#ENDIF

HANDLECOUNT = RECEIVENOTIFICATION->HANDLECOUNT; //攻击点 r14d

HANDLEARRAY = RECEIVENOTIFICATION->HANDLES;

//

// CREATE SPACE TO STORE THE OBJECT POINTERS SO WE CAN WORK WITH THEM

//

IF (HANDLECOUNT > MANY_NOTIFICATION_OBJECTS)

{

OBJECTARRAY = WMIPALLOC(HANDLECOUNT * SIZEOF(OBJECT_EVENT_INFO));

IF (OBJECTARRAY == NULL)

{

RETURN(STATUS_INSUFFICIENT_RESOURCES);

}

} ELSE {

OBJECTARRAY = STATICOBJECTS;

}

#IF DBG

RTLZEROMEMORY(OBJECTARRAY, HANDLECOUNT * SIZEOF(OBJECT_EVENT_INFO));

#ENDIF

} ELSE IF (RECEIVENOTIFICATION->ACTION == RECEIVE_ACTION_CREATE_THREAD) {

GUIDOBJECT = OBJECTARRAY[0].GUIDOBJECT;//

GUIDOBJECT->USERMODECALLBACK = (PUSER_THREAD_START_ROUTINE)(ULONG_PTR)RECEIVENOTIFICATION->USERMODECALLBACK.HANDLE;

GUIDOBJECT->EVENTQUEUEACTION = RECEIVE_ACTION_CREATE_THREAD;

GUIDOBJECT->USERMODEPROCESS = USERMODEPROCESS;

GUIDOBJECT->STACKSIZE = STACKSIZE;

GUIDOBJECT->STACKCOMMIT = STACKCOMMIT;

THREADLISTHEAD = &GUIDOBJECT->THREADOBJECTLIST;

INITIALIZELISTHEAD(THREADLISTHEAD);

从函数源码可以看到如果当传入的HandleCount 为0时就会使用本地一个数组。可以看到这个数组并没进行初始化，往下看看到在CHK 版本中进行了初始化（。。。）之后函数会进行检查一些操作当action 为RECEIVE_ACTION_CREATE_THREAD 时看到对 ObjectArray 进行了使用 ,不过当设置 HandleCount 为0 时 ObjectArray 是未初始化，在下面部分又对这个初始化的指针进行了使用。在利用之后就造成了典型的内核任意内存读写

GDI利用

GdiShareHandleTable Win32k!gpentHmgr的部分对应进程中每个GDI对象