تحليل واستغلال ثغرة 0day في نظام ويندوز من مايكروسوفت
في الآونة الأخيرة، أصدرت مايكروسوفت تصحيح أمان يصلح ثغرة تصعيدPrivileges في ويندوز التي كانت تستغلها قراصنة. تؤثر هذه الثغرة بشكل أساسي على الإصدارات المبكرة من نظام ويندوز، ولا يمكن تفعيلها على ويندوز 11.
لقد كانت هذه الثغرات موجودة لسنوات عديدة، وستتناول هذه المقالة كيف يمكن للمهاجمين الاستمرار في استغلال هذه الثغرات في ظل تعزيز تدابير الأمان الحالية. تستند التحليلات التالية إلى بيئة Windows Server 2016.
ثغرات 0day تشير إلى الثغرات التي لم يتم الكشف عنها أو إصلاحها بعد، ويمكن أن يستغلها المتسللون بشكل خفي، مما يؤدي إلى آثار مدمرة للغاية. الثغرة 0day التي تم اكتشافها مؤخرًا قد تمكن المهاجمين من الحصول على السيطرة الكاملة على نظام Windows، مما يؤدي إلى تسرب المعلومات الشخصية، وتعطل النظام، وفقدان البيانات، وغيرها من العواقب الخطيرة. من سرقة مفاتيح العملات المشفرة إلى تأثيرها المحتمل على أمان النظام البيئي Web3 بأكمله.
تحليل التصحيح
تحليل كود التصحيح أظهر أنه تم إصلاح مشكلة معالجة عداد الإشارة المرجعية للكائن. من خلال التعليقات السابقة على الشيفرة المصدرية، يمكن أن نعلم أن الشيفرة السابقة كانت تقفل فقط كائن النافذة، دون قفل كائن القائمة داخل النافذة، مما قد يؤدي إلى الإشارة المرجعية غير الصحيحة لكائن القائمة.
إعادة إنتاج الثغرات
أظهرت التحليلات أن القائمة المرسلة إلى xxxEnableMenuItem() تكون عادةً مقفلة في الدالة العليا، لكن حماية أي كائن قائمة بالضبط غير واضحة. وأظهر التحليل الإضافي أن القائمة التي تعيدها دالة MenuItemState قد تكون قائمة رئيسية للنافذة، أو قد تكون قائمة فرعية أو قائمة في مستوى أعمق.
لقد أنشأنا هيكل قائمة متعددة المستويات خاص لإثارة الثغرات، يتضمن قوائم نظام من نوع معرف محدد، وقد قمنا بمعالجة العلاقات المرجعية بين القوائم بشكل خاص. في النهاية، عند عودة xxxRedrawTitle إلى层 المستخدم، يتم تحرير كائن القائمة المحدد، مما يؤدي إلى عدم صحة الإشارة إلى كائن غير صالح في الدالة xxxEnableMenuItem.
استغلال الثغرات
استغلال الثغرات يأخذ في الاعتبار اتجاهين رئيسيين: تنفيذ كود الشل واستغلال عمليات القراءة والكتابة لتعديل الرموز. بعد التحليل الشامل، اخترنا الخيار الثاني.
تشمل الخطوات الرئيسية:
استغلال ثغرة UAF للتحكم في قيمة cbwndextra
تحقيق العمليات الأساسية المستقرة للقراءة والكتابة
لقد قمنا بتصميم تخطيط الذاكرة بعناية، واستخدمنا كائنات النوافذ وكائنات HWNDClass لبناء عمليات قراءة وكتابة قابلة للتحكم. يتم استخدام GetMenuBarInfo() لتحقيق القراءة العشوائية، وSetClassLongPtr() لتحقيق الكتابة العشوائية. في النهاية، يمكن تحقيق عمليات مثل استبدال توكن العملية.
https://img-cdn.gateio.im/webp-social/moments-697c5814db02534f63b44c0d1d692f83.webp(
![Numen حصرية: ثغرة 0day من مايكروسوفت يمكن أن تزعزع نظام Web3 من الناحية النظامية والفيزيائية])https://img-cdn.gateio.im/webp-social/moments-b0942592135ac96c6279544a62022329.webp(
ملخص
مايكروسوفت تقوم بإعادة بناء كود win32k المتعلق بـ Rust، في المستقبل قد يتم القضاء على مثل هذه الثغرات.
عملية استغلال الثغرات بسيطة نسبيًا، وتعتمد بشكل رئيسي على تسرب عنوان مقبض كومة سطح المكتب.
قد يكون اكتشاف هذه الثغرة نتيجة لتحسينات في الكشف عن تغطية الشيفرة.
يساعد الكشف عن التخطيط غير الطبيعي للذاكرة وقراءة وكتابة بيانات النوافذ في اكتشاف مثل هذه الثغرات.
![Numen حصرية: ثغرة 0day من مايكروسوفت يمكن أن تكشف نظام + مستوى مادي عن لعبة Web3])https://img-cdn.gateio.im/webp-social/moments-b06b098af4f07260fdc03a75da160706.webp(
قد تحتوي هذه الصفحة على محتوى من جهات خارجية، يتم تقديمه لأغراض إعلامية فقط (وليس كإقرارات/ضمانات)، ولا ينبغي اعتباره موافقة على آرائه من قبل Gate، ولا بمثابة نصيحة مالية أو مهنية. انظر إلى إخلاء المسؤولية للحصول على التفاصيل.
ثغرة تصعيد الامتياز 0day في Windows: المحفظة المشفرة تواجه تهديدات جديدة
تحليل واستغلال ثغرة 0day في نظام ويندوز من مايكروسوفت
في الآونة الأخيرة، أصدرت مايكروسوفت تصحيح أمان يصلح ثغرة تصعيدPrivileges في ويندوز التي كانت تستغلها قراصنة. تؤثر هذه الثغرة بشكل أساسي على الإصدارات المبكرة من نظام ويندوز، ولا يمكن تفعيلها على ويندوز 11.
لقد كانت هذه الثغرات موجودة لسنوات عديدة، وستتناول هذه المقالة كيف يمكن للمهاجمين الاستمرار في استغلال هذه الثغرات في ظل تعزيز تدابير الأمان الحالية. تستند التحليلات التالية إلى بيئة Windows Server 2016.
ثغرات 0day تشير إلى الثغرات التي لم يتم الكشف عنها أو إصلاحها بعد، ويمكن أن يستغلها المتسللون بشكل خفي، مما يؤدي إلى آثار مدمرة للغاية. الثغرة 0day التي تم اكتشافها مؤخرًا قد تمكن المهاجمين من الحصول على السيطرة الكاملة على نظام Windows، مما يؤدي إلى تسرب المعلومات الشخصية، وتعطل النظام، وفقدان البيانات، وغيرها من العواقب الخطيرة. من سرقة مفاتيح العملات المشفرة إلى تأثيرها المحتمل على أمان النظام البيئي Web3 بأكمله.
تحليل التصحيح
تحليل كود التصحيح أظهر أنه تم إصلاح مشكلة معالجة عداد الإشارة المرجعية للكائن. من خلال التعليقات السابقة على الشيفرة المصدرية، يمكن أن نعلم أن الشيفرة السابقة كانت تقفل فقط كائن النافذة، دون قفل كائن القائمة داخل النافذة، مما قد يؤدي إلى الإشارة المرجعية غير الصحيحة لكائن القائمة.
إعادة إنتاج الثغرات
أظهرت التحليلات أن القائمة المرسلة إلى xxxEnableMenuItem() تكون عادةً مقفلة في الدالة العليا، لكن حماية أي كائن قائمة بالضبط غير واضحة. وأظهر التحليل الإضافي أن القائمة التي تعيدها دالة MenuItemState قد تكون قائمة رئيسية للنافذة، أو قد تكون قائمة فرعية أو قائمة في مستوى أعمق.
لقد أنشأنا هيكل قائمة متعددة المستويات خاص لإثارة الثغرات، يتضمن قوائم نظام من نوع معرف محدد، وقد قمنا بمعالجة العلاقات المرجعية بين القوائم بشكل خاص. في النهاية، عند عودة xxxRedrawTitle إلى层 المستخدم، يتم تحرير كائن القائمة المحدد، مما يؤدي إلى عدم صحة الإشارة إلى كائن غير صالح في الدالة xxxEnableMenuItem.
استغلال الثغرات
استغلال الثغرات يأخذ في الاعتبار اتجاهين رئيسيين: تنفيذ كود الشل واستغلال عمليات القراءة والكتابة لتعديل الرموز. بعد التحليل الشامل، اخترنا الخيار الثاني.
تشمل الخطوات الرئيسية:
لقد قمنا بتصميم تخطيط الذاكرة بعناية، واستخدمنا كائنات النوافذ وكائنات HWNDClass لبناء عمليات قراءة وكتابة قابلة للتحكم. يتم استخدام GetMenuBarInfo() لتحقيق القراءة العشوائية، وSetClassLongPtr() لتحقيق الكتابة العشوائية. في النهاية، يمكن تحقيق عمليات مثل استبدال توكن العملية.
https://img-cdn.gateio.im/webp-social/moments-697c5814db02534f63b44c0d1d692f83.webp(
![Numen حصرية: ثغرة 0day من مايكروسوفت يمكن أن تزعزع نظام Web3 من الناحية النظامية والفيزيائية])https://img-cdn.gateio.im/webp-social/moments-b0942592135ac96c6279544a62022329.webp(
ملخص
مايكروسوفت تقوم بإعادة بناء كود win32k المتعلق بـ Rust، في المستقبل قد يتم القضاء على مثل هذه الثغرات.
عملية استغلال الثغرات بسيطة نسبيًا، وتعتمد بشكل رئيسي على تسرب عنوان مقبض كومة سطح المكتب.
قد يكون اكتشاف هذه الثغرة نتيجة لتحسينات في الكشف عن تغطية الشيفرة.
يساعد الكشف عن التخطيط غير الطبيعي للذاكرة وقراءة وكتابة بيانات النوافذ في اكتشاف مثل هذه الثغرات.
![Numen حصرية: ثغرة 0day من مايكروسوفت يمكن أن تكشف نظام + مستوى مادي عن لعبة Web3])https://img-cdn.gateio.im/webp-social/moments-b06b098af4f07260fdc03a75da160706.webp(