Система Microsoft Windows столкнулась с серьезной уязвимостью безопасности

В прошлом месяце в обновлении безопасности, выпущенном Microsoft, был обнаружен уязвимость повышения привилегий в системе Windows, которая используется хакерами. Эта уязвимость в основном затрагивает ранние версии Windows, в то время как система Windows 11, похоже, не затронута. Несмотря на то, что Microsoft продолжает усиливать меры безопасности системы, злоумышленники все равно могут воспользоваться такими уязвимостями для атак. В этой статье будет проанализирована конкретная информация о данной уязвимости и возможные способы атак.

Анализ проводился в среде Windows Server 2016.

Фон уязвимости

Это уязвимость нулевого дня, то есть системная уязвимость, которая еще не была раскрыта и исправлена. Уязвимости нулевого дня, как правило, имеют огромный разрушительный потенциал, так как злоумышленники могут использовать их, не будучи обнаруженными. Через эту уязвимость на уровне операционной системы Windows хакеры могут получить полный контроль над системой.

Системы, контролируемые хакерами, могут привести к множеству серьезных последствий, включая, но не ограничиваясь: кражей личной информации, сбоям системы, потере данных, финансовым потерям, внедрению вредоносного ПО и т.д. Для отдельных пользователей ключи к криптовалютам могут быть украдены, цифровые активы подвергаются риску перемещения. С более широкой точки зрения, эта уязвимость может даже повлиять на всю экосистему Web3, основанную на инфраструктуре Web2.

Анализ уязвимостей

Анализируя патч, было обнаружено, что проблема заключается в том, что счетчик ссылок на один из объектов был обработан несколько раз. Дальнейшее изучение ранних комментариев к исходному коду показало, что предыдущий код блокировал только объект окна, но не блокировал объект меню в окне, что могло привести к неправильной ссылке на объект меню.

Эксплуатация уязвимостей

Мы создали специальную многоуровневую структуру меню для активации уязвимостей. Эти меню имеют определенные типы идентификаторов и взаимосвязи, чтобы пройти различные проверки системы. Ключевым моментом является удаление взаимосвязей между определенными меню, когда функция возвращает уровень пользователя, что освобождает ключевой объект меню. Таким образом, когда система снова пытается сослаться на этот объект меню, возникает ошибка.

Реализация эксплуатации уязвимости

Эксплуатация уязвимостей в основном делится на два этапа: сначала контролируется значение одного ключевого параметра, затем используется этот контроль для создания стабильной операции чтения и записи. Мы достигли произвольного чтения и записи в систему, тщательно спроектировав структуру памяти и используя специфическую структуру объектов окна и классов объектов окна.

Заключение

1. Microsoft пытается переписать код, связанный с win32k, на Rust; в будущем в новой системе такие уязвимости могут больше не существовать.

2. Процесс эксплуатации таких уязвимостей относительно прост и в основном зависит от утечки адреса десктопного хендла стека.

3. Обнаружение этой уязвимости могло быть связано с более совершенной технологией проверки покрытия кода.

4. Для обнаружения уязвимостей, помимо внимания к функциям, вызывающим уязвимости, также следует уделять внимание аномальной структуре памяти и поведению чтения и записи данных.

В общем, несмотря на то, что безопасность системы Windows постоянно улучшается, подобные уязвимости в устаревших системах все еще представляют собой серьезную угрозу безопасности. Своевременное обновление системных патчей и повышение осведомленности о безопасности по-прежнему являются ключевыми мерами для защиты безопасности системы.