欢迎来到 无奈人生 安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

关于微软Windows远程内核崩溃漏洞CVE-2018-1040的详细分析

来源: 作者: 时间:2019-02-24 19:29 点击: 我要投稿

在2018年1月底,FortiGuard Labs团队在微软Windows中发现了一个远程内核崩溃漏洞,并按照Fortinet公司负责任的披露流程向微软进行了报告。6月12日,微软发布了一份包含此漏洞修复程序的公告,并将其标识为CVE-2018-1040。
这个漏洞存在于微软Windows代码完整性内核模块“ci.dll”中。所有流行的Windows版本都受到影响,包括Windows 10、Windows 7、Windows 8.1、Windows Server 2008、Windows Server 2012和Windows Server 2016。
漏洞可以通过在网站或SMB共享远程下载一个精心制作的.DLL或.LIB文件到Windows上来触发。当使用IE或Edge下载文件并保存时,将执行Windows内核指针解引用到无效地址。因此,会发生Windows Bugcheck(内核崩溃)。在Windows 10上,系统重新启动后,用户登录时会发生内核崩溃。这导致Windows 10内核的崩溃出现无限循环。
在这篇文章中,我将分享关于这个漏洞的详细分析。
 
分析
要重现此远程内核崩溃漏洞,你可以在Windows 10上打开IE或Edge,输入url http://192.168.0.111/poc.dll(它可以是托管PoC文件的任何URL),然后“在弹出窗口中选择“保存。当保存文件poc.dll时,可以看到Windows 10 Bugcheck(内核崩溃)。对于Windows 10中的内核崩溃,内核崩溃即使重新启动也会继续发生,这会导致Windows 10无法正常工作。对于用户,系统可能需要重新安装。
以下是发生崩溃时的调用堆栈。

图1.发生崩溃时的调用堆栈
从上面的调用堆栈输出中,我们可以看到在调用函数“KERNELBASE!GetFileVersionInfoSizeExW”时会发生内核崩溃,然后调用函数“KERNELBASE!LoadLibraryExW”。最后,它会导致一个完整的内核崩溃。
当IE/Edge下载.dll或.lib文件并保存在磁盘上时,它将调用函数“KERNELBASE!GetFileVersionInfoSizeExW”来检索.dll/.lib的版本信息。想要获取.dll/.lib的版本信息,它会调用函数“KERNELBASE!LoadLibraryExW”以加载dwFlags等于0x22的.dll/.lib文件。在微软MSDN中搜索,我们可以看到dwFlags 0x22是“LOAD_LIBRARY_AS_DATAFILE(0x00000002)”和“LOAD_LIBRARY_AS_IMAGE_RESOURCE(0x00000020)”的组合。因此,IE/Edge会将下载的.dll /.lib文件加载为资源.dll/.lib和数据文件以检索相关信息。由于精心制作的poc.dll,在Windows 10发生内核崩溃后,即使重新启动也无法恢复系统。这是因为用户登录Windows时,会扫描IE/Edge临时目录中的.dll /.lib文件。
函数LoadLibraryExW加载精心制作的PoC文件poc.dll。当它处理SizeOfHeaders时,它会得到一个0x06的尺寸大小(这是一个精心制作的大小,正确的大小应该是0x200)。在计算CI.dll中的函数CI!CipImageGetImageHash中的sha1散列块大小时,会导致整数溢出。溢出的块大小是0xfffffeb6。通过调用函数CI!SymCryptSha1AppendBlocks,计算得到溢出块的大小为0xfffe7a。由于制作的sha1块尺寸过大,导致大循环和内核内存读访问冲突。因此,会发生Windows Bugcheck(内核崩溃)。

图2.包含精心制作的SizeOfHeaders的poc.dll
通过你想工程和跟踪,我们可以看到函数_CipImageGetImageHash的调用导致一个sha1块大小整数溢出。
 PAGE:85D15618 _CipImageGetImageHash@36 proc near ; CODE XREF:
......
PAGE:85D1571F mov edx, edi
PAGE:85D15721 mov ecx, [ebp+arg_4]
PAGE:85D15724 call _HashpHashBytes@12 ; HashpHashBytes(x,x,x)
PAGE:85D15729 lea edx, [esi+0A0h]
PAGE:85D1572F
PAGE:85D1572F loc_85D1572F: ; CODE XREF: CipImageGetImageHash(x,x,x,x,x,x,x,x,x)+CF↑j
PAGE:85D1572F mov edi, [ebp+arg_10]
PAGE:85D15732 mov eax, [edi+54h] ; -----> here [edi+54h] is obtained from poc.dll at offset 0x104, its value is 0x06.
PAGE:85D15735 sub eax, edx ; -----> here edx=83560150
PAGE:85D15737 add eax, [ebp+BaseAddress] ----> here [ebp+BaseAddress]=83560000
PAGE:85D1573A push eax ; ---------> So, after the above calculation, eax occurs integer subtraction overflow,result in eax=fffffeb6
PAGE:85D1573B mov ecx, [ebp+arg_4]
PAGE:85D1573E call _HashpHashBytes@12 ------> the function call chain finally results in a kernel crash
PAGE:85D15743 mov esi, [edi+54h] ;
PAGE:85D15746 mov [ebp+var_30], esi
In following function, an insufficient bounds check is performed:
.text:85D0368C @SymCryptHashAppendInternal@16 proc near
.text:85D0368C ; CODE XREF: SymCryptSha1Append(x,x,x)+10↑p
.text:85D0368C ; SymCryptMd5Append(x,x,x)+10↑p
.text:85D0368C
.text:85D0368C var_18 = dword ptr -18h
.text:85D0368C var_14 = dword ptr -14h
.text:85D0368C var_10 = dword ptr -10h
.text:85D0368C var_C = dword ptr -0Ch
.text:85D0368C var_8 = dword ptr -8
.text:85D0368C var_4 = dword ptr -4
.text:85D0368C Src = dword ptr 8
.text:85D0368C MaxCount = dword ptr 0Ch
.text:85D0368C
.text:85D0368C mov edi, edi
.text:85D0368E push ebp
.text:85D0368F mov ebp, esp .
......
85D0372D mov ecx, [ebp+var_8]
.text:85D03730 mov edx, [ebp+var_18]
.text:85D03733 jmp short loc_85D0373B
.text:85D03735 ; ---------------------------------------------------------------------------
.text:85D03735

[1] [2]  下一页

(责任编辑:admin)
【声明】:无奈人生安全网(http://www.wnhack.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱472701013@qq.com,我们会在最短的时间内进行处理。