近期发现的三个Windows 0day漏洞分析及临时修复方案

在近期，我们发现了3个0day漏洞，本文将主要分析这些0day漏洞，探讨攻击者利用这些漏洞可以实现的功能，并在最后给出修复建议。

一、angrypolarbearbug漏洞

该漏洞于上个月发布，由作者SandboxEscaper将其命名为“angrypolarberbug”，该漏洞允许本地无特权进程在系统上使用Windows错误报告XML文件中的内容，覆盖任何指定的文件。由于攻击者几乎无法控制该XML文件中的内容，因此SandboxEscaper提供的演示是破坏关键系统文件pci.sys从而导致本地拒绝服务，这样会阻止系统的启动。可以想象，如果我们能够发现覆盖某些文件会导致可以在更高权限（例如：SYSTEM或Administrator）下执行攻击者特定的代码，那么这一漏洞的危害程度将会更高。但是目前据我们所知，还没有发现此类漏洞利用方式。

该漏洞的关键在于，对于经过身份验证的用户来说（包括本地攻击者），Windows错误报告服务创建临时XML文件的C:\ProgramData\Microsoft\Windows\WER\Temp\文件夹具有包括读取、写入和删除访问权限的可继承权限。这意味着，当某人在没有指定权限的情况下创建新文件时，系统上的任何进程（包括低权限的恶意进程）都可以用另一个文件替换该文件。这就是SandboxEscaper的PoC所进行的操作：等待XML文件出现，然后用指向特定目标文件（例如：pci.sys）的硬链接快速替换它。当Windows错误报告服务随后重新打开这一XML文件并进行写入时，它实际上打开的是链接到的文件，并对其进行写入。

我们给出的修复方案稍有变化。当Windows错误报告服务创建XML文件时，它现在会被指定与以前完全相同的权限，但授权用户对该文件并没有删除权限。这样一来，可以使得错误报告继续正常工作，同时防止利用该漏洞删除XML文件（以及在其位置创建硬链接）。

我们已经将这个微补丁更新到Windows 10的1803版本中。请注意，由于错误报告的工作方式不同，这一漏洞似乎不会影响到Windows 7系统。

大家可以在下面的视频中看到微补丁的运行情况：

https://youtu.be/W-HZDu-yv0c

微补丁的源代码如下：

;Micropatch for wer.dll version 10.17134.471
;
;How it works:
; a vulnerable call CreateFileW responsible for creating a temporary report XML file
; which inherits loose C:\ProgramData\Microsoft\Windows\WER\Temp\ permissions is replaced by
; a call to ConvertStringSecurityDescriptorToSecurityDescriptor which creates a new security
; descriptor from ACE string that gets supplied to a new CreateFileW call.
; The new security descriptor has no DELETE permissions for AuthenticatedUsers group
; on report XML so a regular user can no longer change it to a hard link.
 
MODULE_PATH "..\AffectedModules\wer.dll_10.17134.471_64bit\wer.dll"
PATCH_ID 344
PATCH_FORMAT_VER 2
VULN_ID 4657
PLATFORM win64
 
patchlet_start
PATCHLET_ID 1
PATCHLET_TYPE 2
PIT kernel32.dll!CreateFileW,advapi32.dll!ConvertStringSecurityDescriptorToSecurityDescriptorA,kernel32.dll!LocalFree
PATCHLET_OFFSET 0x00059bd7
JUMPOVERBYTES 11
N_ORIGINALBYTES 2
 
 code_start
 
  mov qword [rsp+10h], r8 ; dwShareMode
  mov qword [rsp+8h], rdi ; storing a global variable
  mov qword [rsp], rcx    ; lpFileName
 
  call arg0_StringSecurityDescriptor
 
  ; args for ConvertStringSecurityDescriptorToSecurityDescriptor
  ; we changed (A;;0x13019f;;;AU) to (A;;GRSD;;;AU) - meaning
  ; AuthenticatedUsers can Read and Delete only
  db "D:(A;;FA;;;BA)(A;;GRGW;;;AU)(A;;0x13019f;;;SU)(A;;0x13019f;;;LS)(A;;0x13019f;;;NS)(A;;0x13019f;;;WR)(A;;0x13019f;;;AC)(A;;0x13019f;;;S-1-15-2-2)",0
 
  arg0_StringSecurityDescriptor:
  pop rcx ; rcx=arg0_StringSecurityDescriptor
 
  mov rdx, 01h ; arg1: StringSDRevision=SDDL_REVISION_1
 
  ;arg2: this arg is part of SECURITY_ATTRIBUTES struct so we have to create this first
                   ; sa requires 18h of space
  sub rsp, 20h     ; but we're allocating 8 more than required nLength to keep stack alignment
  lea r8, [rsp+8h] ;arg2: SecurityDescriptor=&sa.lpSecurityDescriptor
 
  ;init sa:
  mov dword [rsp],18h    ;sa.nLength = sizeof(SECURITY_ATTRIBUTES);
  mov dword [rsp+10h],1h ;sa.bInheritHandle=FALSE
 
  xor r9d,r9d ; SecurityDescriptorSize=NULL
 
  sub rsp, 20h ; allocate homespace
  call PIT_ConvertStringSecurityDescriptorToSecurityDescriptorA
 
  ;copy CreateFileW args 5,6 and 7 to a new stack frame
  mov rax, [rsp+60h] ; dwCreationDisposition
  mov qword [rsp],rax
  mov rax, [rsp+68h] ; dwFlagsAndAttributes
  mov qword [rsp+8h],rax
  mov rax, [rsp+70h] ; hTemplateFile
  mov qword [rsp+10h],rax
 
  ;obtain CreateFileW args 1,2,3,4
  mov rcx, [rsp+40h] ; lpFileName
  mov edx, 0C0000000h ; dwDesiredAccess
  mov r8, [rsp+50h] ; dwShareMode
  lea r9,[rsp+20h] ;lpSecurityAttributes
 
  sub rsp, 20h ; alloc homespace
  call PIT_CreateFileW
  mov [rsp+28h],rax ; store result
 
  ;free the security descriptor:
  mov rcx,[rsp+48h] ; sa.lpSecurityDescriptor
  call PIT_LocalFree ;LocalFree(sa.lpSecurityDescriptor)
  mov rax,[rsp+28h] ;restore result
  mov rdi,[rsp+68h] ;restore the global variable
  add rsp, 60h      ;restore stack
 
 code_end
 
patchlet_end

二、Readfile漏洞

在上个月，SandboxEscaper也发布了“ Readfile ” 0day漏洞。该漏洞允许在Windows计算机上运行的非特权进程获取任意文件的内容，即使此类文件的权限已经设置了不允许对其进行读访问。在PoC中，演示了从用户桌面读取另一个用户desktop.ini文件的内容，但作者提出还可以尝试读取Office历史文件等内容（具有已知路径的其他索引文件或历史文件），这样可以进一步实现漏洞的利用。

该漏洞位于Windows Installer，更确切的说是其中的广告功能，可以使用MsiAdvertiseProduct函数触发。在这里，我们不打算深入说明漏洞的细节。但需要说明的是，在产品安装过程中（使用MSI安装包），以SYSTEM身份运行的Windows Installer将获取相应MSI文件，并对其进行解析，然后在C:\Windows\Installer文件夹中创建临时MSI文件，并复制原始MSI文件的内容。（实际上，会进行更多操作，但这些操作与漏洞无关，因此在这里省略。）SandboxEscaper注意到原始MSI文件被打开两次，并且可以在第一次打开时指向常规MSI文件的符号链接，但第二次打开时指向其他文件。这样就会导致后一个文件的内容被复制到临时MSI文件中。由于临时MSI文件的权限允许Everyone读取和访问，因此攻击者可以欺骗Windows Installer服务将任意文件的内容复制到临时的MSI文件中，然后读取该文件，以获取特定文件中的内容。

要对这个漏洞进行修复，需要我们熟悉Windows Installer的内部工作原理。事实证明，将源MSI文件复制到临时MSI文件的函数已经支持对临时文件设置两个不同的权限集：（1）继承权限；（2）源MSI文件的权限。它在进行产品的推荐时，使用了继承的权限（允许攻击者读取文件），因此我们需要采取一些小技巧，来强制它使用源MSI文件的权限。经过修复后，产品广告功能仍然正常工作，但由于临时MSI文件权限与正在复制的文件权限相同，因此攻击者就无法实现越权读取文件。

我们已经将这个微补丁更新到64位的Windows 10 1803版本和最新的Windows 7中。

大家可以在下面的视频中看到微补丁的运行情况：

https://youtu.be/or0jrSL9YIM

微补丁的源代码如下。其中包含四个小程序，每个小程序都有一条指令。

MODULE_PATH "..\AffectedModules\msi.dll_5.0.17134.228_64bit.dll\msi.dll"
; Windows 10 version 1803
PATCH_ID 345
PATCH_FORMAT_VER 2
VULN_ID 4658
PLATFORM win64
 
patchlet_start
 
 PATCHLET_ID 1
 PATCHLET_TYPE 2
 PATCHLET_OFFSET 0x002edb76 ; Injecting after eax is set to FlagsAndAttributes
                            ; in CMsiFileCopy::OpenDestination
 
 code_start
 
   or r12d, 0x8000 ; we set the 15th bit of FlagsAndAttributes,
                   ; which will cause the execution to flow towards using
                   ; source file's ACL
 
 code_end
 
patchlet_end
 
 
patchlet_start
 
 PATCHLET_ID 2
 PATCHLET_TYPE 2
 PATCHLET_OFFSET 0x002edbe9 ; Overwriting code that checks value #12 in
                            ; MSI record, and setting eax to 1
 JUMPOVERBYTES 20
 
 code_start
 
   mov eax, 1 ; we set eax to 1 to simulate IsNull returning false
 
 code_end
 
patchlet_end
 
 
patchlet_start
 
 PATCHLET_ID 3
 PATCHLET_TYPE 2
 PATCHLET_OFFSET 0x002edd0e ; Overwriting code that checks value #12 in
                            ; MSI record, and setting eax to 1
 JUMPOVERBYTES 22
 
 code_start
 
   mov eax, 1 ; we set eax to 1 to simulate IsNull returning false
 
 code_end
 
patchlet_end
 
 
patchlet_start
 
 PATCHLET_ID 4
 PATCHLET_TYPE 2
 PATCHLET_OFFSET 0x002edd61 ; Overwriting code that checks value #12 in
                            ; MSI record, and setting eax to 1
 JUMPOVERBYTES 6
 
 code_start
 
   mov eax, 1 ; we set eax to 1 to simulate IsNull returning false
 
 code_end
 
patchlet_end

三、Windows Contacts任意代码执行漏洞

该0day漏洞是由ZDI研究员John Page在向微软报告漏洞的90天后发布的。该漏洞最初被认为与VCF文件（默认与Windows Contacts应用程序关联）有关，但随后发现CONTACT文件（默认也与Windows Contacts关联）也可以进行漏洞利用。

该问题在于，几乎所有通过网站URL或电子邮件中提供的VCF或CONTACT文件，其中的字符串最终都将被用作ShellExecute调用的参数。尽管ShellExecute是用于在用户默认浏览器中打开URL的便捷功能，但在此操作之前，它还会尝试在本地计算机上“启动”提供的字符串。具体而言，在提供“www.microsoft.com”的情况下，ShellExecute将首先尝试查找并启动一个名为www.microsoft.com的本地可执行文件，只有在失败的情况下，才会在浏览器中打开这一网页。这样的行为，在此前已经造成了许多漏洞的出现，将来也毫无疑问会带来更多的问题。要利用这一漏洞，攻击者必须诱导用户打开恶意的VCF或CONTACT文件，然后单击显示的网站或电子邮件链接，这样会导致启动攻击者的可执行文件，该文件也必须存在于用户的计算机或网络共享上。

我们分析了在点击网站或电子邮件链接时发生的事件，会导致在wab32.dll中使用SafeExecute函数。该函数会对URL进行解析，从而允许mshelp:// URLs形式URL的执行，然后将调用ShellExecute。我们在调用之前，简单地添加了一些逻辑，以确保如果URL不以“mailto:”、“http://”或“https://”开头，那么将会使用“https://”前缀来防止任何可能的本地可执行文件启动。我们最初考虑的方法是在读取文件的代码中添加清理代码，但后来发现显示链接的代码很容易存在HTML注入的问题，这会使得清理过程变得异常复杂，并且可能会被绕过。

我们已经将这个微补丁更新到64位的Windows 10 1803版本和最新的Windows 7中。

大家可以在下面的视频中看到微补丁的运行情况。该视频同时还很好的演示了如何将微补丁应用到正在运行的进程中。我们在Windows Contacts显示恶意联系人卡片时启动微补丁，并且点击链接，最终的运行结果会与原来有所不同。

https://youtu.be/64GUaO9aSGI

微补丁的源代码如下：

;Micropatch for wab32.dll version 6.1.7601.17699
;
;How it works:
; in SafeExecute an unsanitized pszUrl - a user-controlled parameter is passed to ShellExecute.
; This patch adds a series of checks for valid pszUrl prefixes and eventually,
; if no valid prefix is found, adds a http:// prefix to pszUrl.
MODULE_PATH "..\AffectedModules\wab32.dll_6.1.7601.17699\wab32.dll"
PATCH_ID 347
PATCH_FORMAT_VER 2
VULN_ID 4656
PLATFORM win64
 
patchlet_start
PATCHLET_ID 1
PATCHLET_TYPE 2
PATCHLET_OFFSET 0x00087f7a
PIT SHLWAPI.dll!StrCmpNICW,msvcrt.dll!memmove
JUMPOVERBYTES 0
N_ORIGINALBYTES 1
 
 code_start
 
  ;store registers:
  push rsi
  push rcx
  push rdx
  push r8
  push r8                      ; extra space for prefix variable
  push rax                     ; store pszUrl
  ;check lpFile for valid prefixes:
  call mailto
  db __utf16__('mailto:'),0
  mailto:
  pop rcx                      ; pszStr1 = "mailto:"
  mov rdx, rax                 ; pszStr2 = pszUrl
  mov r8, 07h                  ; nChar
  sub rsp, 20h                 ; homespace
  call PIT_StrCmpNICW
  test rax,rax
  jz skip                      ; if found, exit patch
   call https
   db __utf16__('https://'),0
   https:
   pop rcx                     ; pszStr1 = "https://"
   mov rdx, [rsp+20h]          ; pszStr2 = pszUrl
   mov r8, 08h                 ; nChar
   call PIT_StrCmpNICW
   test rax,rax
  jz skip                      ; if found, exit patch
   call http
   db __utf16__('http://'),0
   http:
   pop rcx                     ; pszStr1 = "http://"
   mov [rsp+28h], rcx          ; store prefix
   mov rdx, [rsp+20h]          ; pszStr2 = pszUrl
   mov r8, 07h                 ; nChar
   call PIT_StrCmpNICW
   test rax,rax
  jz skip                      ; if found, exit patch
   mov r8, 1024h               ; num
   mov rdx, [rsp+20h]          ; Src = pszUrl
   lea rcx,[rdx+0eh]           ; Dst
   call PIT_memmove            ; moving pszUrl of max 1024h in size to *pszUrl+0eh
   mov rcx, [rsp+20h]          ; Dst = pszUrl
   mov rdx, [rsp+28h]          ; Src = "http://"
   mov r8, 0eh                 ; num
   call PIT_memmove            ; copying http:// to *pszUrl
  skip:
   ;revert stack:
   add rsp, 20h                ; revert homespace
   pop rax
   pop r8                      ; blank pop
   pop r8
   pop rdx
   pop rcx
   pop rsi
 
 code_end
 
patchlet_end

四、总结

上述内容就是我们近期发现的3个0day漏洞，以及相应的临时修复方式。我们不清楚微软是否会对这些问题进行修复，也不清楚会在什么时间解决这些问题。如果用户已经安装并注册了我们的代理，那么这些微补丁将在计算机上安装，并应用于所有受影响的进程。否则，大家可以注册一个免费的0patch帐户，并安装0patch Agent以应用这些微补丁。如果此后微软修复了这些问题，则相关的微补丁将会立即停止运行并恢复到原有状态，因此用户无需担心微补丁会影响Windows Update正常更新。

需要注意的是，我们还没有将这些微补丁移植到所有Windows版本上。如果大家有修复特定版本Windows的需求，请联系[email protected]。