当前位置： 首页 > news >正文

厦门怎么没有 网站备案知名广州网站建设

news 2025/11/8 1:05:03
厦门怎么没有 网站备案,知名广州网站建设,知了seo,视频优化网站怎么做Author:剑残雪飘深蓝攻防实验室 itm4n在Background Intelligent Transfer Service中发现了任意文件移动漏洞，这里学习一下其中的思路。 BITS 参考链接 程序员和系统管理员使用后台智能传输服务（BITS）从HTTP Web服务器和SMB文件共享下载文件…

Author:剑残雪飘@深蓝攻防实验室

itm4n在Background Intelligent Transfer Service中发现了任意文件移动漏洞，这里学习一下其中的思路。

BITS

参考链接

程序员和系统管理员使用后台智能传输服务（BITS）从HTTP Web服务器和SMB文件共享下载文件或将文件上传到HTTP Web服务器和SMB文件共享。BITS将考虑传输成本以及网络使用情况，以便用户的前台工作影响尽可能小。即使重新启动后，BITS也可以处理网络中断，暂停并自动恢复传输。

这个服务公开了几个COM对象，这些对象是“控件类”的不同迭代，并且还有一个“旧版控件类”。“旧版控件类”可以获取指向IBackgroundCopyGroup的指针，有两个未记录的方法QueryNewJobInterface()和SetNotificationPointer()。

如果用户调用IBackgroundCopyGroup接口的CreateJob()方法，就可以获得一个指向IBackgroundCopyJob1接口的指针，如果调用QueryNewJobInterface()方法，就可以获得一个指向新IBackgroundCopyJob接口的指针。

此调用是由服务处理的without impersonation，意味着用户可以在 NT AUTHORITY\SYSTEM的context中获得一个指向IBackgroundCopyJob接口的指针

创建并将文件添加到队列后，将创建一个临时文件，服务完成文件写入后，通过MoveFileEx()重命名，漏洞点为用QueryNewJobInterface()返回的指针是without impersonation，可以获取NT AUTHORITY\SYSTEM权限。

BITS COM类如何工作？

后台智能传输服务公开了几个COM对象，可以使用OleViewDotNet列出这些对象

重点关注后台智能传输（BIT）控制类1.0和旧版BIT控制类及其主要接口，分别为IBackgroundCopyManager和IBackgroundCopyMgr。

“new” BIT Control Class

BIT 控制类1.0的工作方式如下：

  1. 创建BIT控制类（CLSID：4991D34B-80A1-4291-83B6-3328366B9097）的实例，需要一个指向IBackgroundCopyQMgr的指针，接口为CoCreateInstance()。
  2. 然后，创建一个“作业”，并调用IBackgroundCopyManager::CreateJob()获取指向该IBackgroundCopyJob接口的指针。
  3. 然后，调用将文件添加到作业的IBackgroundCopyJob::AddFile()。这需要两个参数：URL和本地文件路径。该URL也可以是UNC路径。
  4. 最后，由于作业中创建一个SUSPENDED状态，调用IBackgroundCopyJob::Resume()，并在工作的状态TRANSFERRED时调用IBackgroundCopyJob::Complete()。
CoCreateInstance(CLSID_4991D34B-80A1-4291-83B6-3328366B9097)   -> IBackgroundCopyManager*
|__ IBackgroundCopyManager::CreateJob()                        -> IBackgroundCopyJob*|__ IBackgroundCopyJob::AddFile(URL, LOCAL_FILE) |__ IBackgroundCopyJob::Resume() |__ IBackgroundCopyJob::Complete()

尽管BIT服务的运行方式为NT AUTHORITY\SYSTEM，但所有这些操作都是在模拟RPC客户端执行的，因此此处无法提权。

Legacy Control Class

在传统控制类的工作方式有些不同。在过程开始时需要一个额外的步骤。

  1. 创建传统BIT控制类（CLSID：69AD4AEE-51BE-439B-A92C-86AE490E8B30）的实例，需要一个指向IBackgroundCopyQMgr的指针，接口为CoCreateInstance()。
  2. 然后，创建调用IBackgroundCopyQMgr::CreateGroup()的组，获取指向该IBackgroundCopyGroup接口的指针
  3. 然后，创建“作业”，并调用IBackgroundCopyGroup::CreateJob()以获取指向该IBackgroundCopyJob1接口的指针。
  4. 然后，将文件添加到“作业”中，该调用IBackgroundCopyJob1::AddFiles()将FILESETINFO结构作为参数。
  5. 最后，由于作业中创建一个SUSPENDED状态，调用IBackgroundCopyJob1::Resume()，并在工作的状态TRANSFERRED时调用IBackgroundCopyJob1::Complete()。
CoCreateInstance(CLSID_69AD4AEE-51BE-439B-A92C-86AE490E8B30)   -> IBackgroundCopyQMgr*
|__ IBackgroundCopyQMgr::CreateGroup()                         -> IBackgroundCopyGroup*|__ IBackgroundCopyGroup::CreateJob()                      -> IBackgroundCopyJob1*|__ IBackgroundCopyJob1::AddFiles(FILESETINFO)|__ IBackgroundCopyJob1::Resume()|__ IBackgroundCopyJob1::Complete()

跟上面一样，尽管BIT服务运行为NT AUTHORITY\SYSTEM，但所有这些操作都是在模拟RPC客户端执行的，因此在这里也不能提权。

这两个COM类及其接口的用法在MSDN有详细记录。但是，在尝试了解IBackgroundCopyGroup接口如何工作时，注意到MSDN上列出的方法与其实际的Proxy定义有一些差异

IBackgroundCopyGroup接口的文档可在此处获得。文档有13种方法。

但是，当使用OleViewDotNet查看此接口的代理定义时，我们可以看到它实际上有15个方法。

Proc3以Proc15匹配文档中的方法，但Proc16和Proc17不存在。

通过文档，我们知道相应的头文件是Qmgr.h。

看到两个未记录的方法：QueryNewJobInterface()和SetNotificationPointer()。

未公开的方法：“ QueryNewJobInterface（）”

参数结构

virtual HRESULT STDMETHODCALLTYPE QueryNewJobInterface( /* [in] */ __RPC__in REFIID iid,/* [iid_is][out] */ __RPC__deref_out_opt IUnknown **pUnk) = 0;

打开qmgr.dll

首先，将输入GUID（接口ID）与硬编码值37668d37-507e-4160-9316-26306d150b12进行比较：如果不匹配，则该函数返回错误代码0x80004001 。否则，它将从调用函数CJob::GetJobExternal()。

硬编码的GUID值（37668d37-507e-4160-9316-26306d150b12）可以在Bits.h头文件中找到为IID_IBackgroundCopyJob

任意文件移动漏洞

在进一步进行分析之前，可以根据收集到的少量信息做出猜测。

  • 未记录方法的名称QueryNewJobInterface()。
  • 在传统 BIT控制类的IBackgroundCopyGroup接口中为exposed 。
  • 在GUID“新”的IBackgroundCopyJob接口为involved。

因此，可以假设此函数的目的是从Legacy Control Class获取指向“ new” IBackgroundCopyJob接口的指针。

  1. 创建指向Legacy Control Class的实例，获取一个指向IBackgroundCopyQMgr接口的指针
  2. 创建一个新组调用IBackgroundCopyQMgr::CreateGroup()，获取一个指向IBackgroundCopyGroup接口的指针
  3. 创建一个job，调用IBackgroundCopyGroup::CreateJob()，获取一个指向IBackgroundCopyJob1接口的指针
  4. 通过IBackgroundCopyJob1::AddFiles()添加文件
  5. 调用IBackgroundCopyGroup::QueryNewJobInterface()方法并获得指向未知接口的指针，假定它是一个IBackgroundCopyJob接口
  6. 通过调用IBackgroundCopyJob接口的Resume() 和 Complete()来恢复和完成job而不是IBackgroundCopyJob1接口

目标URL为\\127.0.0.1\C$\Windows\System32\drivers\etc\hosts。

使用Procmon分析了BIT服务

首先，可以看到该服务**在目标目录中创建了一个TMP文件。

调用该Resume()函数，该服务将开始读取目标文件\\127.0.0.1\C$\Windows\System32\drivers\etc\hosts并将其内容写入TMP文件，此时依然是 impersonating the current user

最后，将TMP文件重命名为test.txt，并且调用MoveFileEx()，不再是当前用户，这意味着文件移动是在NT AUTHORITY\SYSTEM的context中完成的

SetRenameInformationFile调用了win32的MoveFileEx()函数。

漏洞原理

CreateJob()方法在IBackgroundCopyGroup的COldGroupInterface类中实现

)

由于CFG的存在，看不出什么信息，这个方法调用CreateJobInternal()方法，CreateJobInternal()调用CLockedJobWritePointer::ValidateAccess

CLockedJobWritePointer::ValidateAccess调用了CJob::CheckClientAccess

CheckClientAccess()检查用户token并应用于当前线程的impersonation

这个执行流返回CreateJobInternal方法，并调用CJob::GetOldJobExternal返回IBackgroundCopyJob1类型的指针

调用流程

(CLIENT) IBackgroundCopyGroup::CreateJob()|V
(SERVER) COldGroupInterface::CreateJob()|__ COldGroupInterface::CreateJobInternal()|__ CLockedJobWritePointer::ValidateAccess()|   |__ CJob::CheckClientAccess() // Client impersonation|__ CJob::GetOldJobExternal() // IBackgroundCopyJob1* returned

了解了CreateJob()的实现原理，回到QueryNewJobInterface()方法，如果提供的GUID匹配IID_IBackgroundCopyJob,调用CJob::GetJobExternal,查询新的接口指针调用并返回给客户端。

流程

(CLIENT) IBackgroundCopyGroup::QueryNewJobInterface()|V
(SERVER) COldGroupInterface::QueryNewJobInterface()|__ CJob::GetJobExternal() // IBackgroundCopyJob* returned

当我们调用COldGroupInterface::QueryNewJobInterface()获取新的指针时，客户端并没有impersonated，这样就可以获取一个NT AUTHORITY\SYSTEM上下文的指针

实际上文件移动操作发生在调用IBackgroundCopyJob::Resume()之后以及IBackgroundCopyJob::Complete()之前

调用IBackgroundCopyJob::Resume()流程

(CLIENT) IBackgroundCopyJob::Resume()|V
(SERVER) CJobExternal::Resume()|__ CJobExternal::ResumeInternal()|__ ...|__ CJob::CheckClientAccess() // Client impersonation|__ CJob::Resume()|__ ...

调用IBackgroundCopyJob::Complete()流程

(CLIENT) IBackgroundCopyJob::Complete()|V
(SERVER) CJobExternal::Complete()|__ CJobExternal::CompleteInternal()|__ ...|__ CJob::CheckClientAccess() // Client impersonation|__ CJob::Complete()|__ ...

这两种情况都不能成功

当调用IBackgroundCopyGroup::QueryNewJobInterface()获取一个IBackgroundCopyJob类型的指针时，这个工作是由服务端完成的，而不是RPC客户端。此时可以利用成功。

MoveFileEx()调用流程

漏洞利用

本地创建一个job用于下载，并在tmp文件上设置Oplock，恢复执行后该服务会写入TMP文件触发Oplock，然后切换挂载点到对象目录，创建符号链接，tmp文件指向我们的文件，本地文件指向system32文件夹中的dll，最后释放Oplock，写入成功

1）准备

创建一个如下的目录

<DIR> %temp%\workspace
|__ <DIR> bait
|__ <DIR> mountpoint
|__ FakeDll.dll

mountpoint目录是从连接bait目录，切换到RPC Control对象，FakeDll.dll为了移动到受限位置，比如system32

2）创建挂载点

创建一个从%temp%\workspace\mountpoint到%temp%\workspace\mountpoint的挂载点

3）创建新的job

用Legacy Control Class接口创建一个新的job，参数如下

Target URL: \\127.0.0.1\C$\Windows\System32\drivers\etc\hosts
Local file: %temp%\workspace\mountpoint\test.txt

因为之前创建了链接，所以实际路径为%temp%\workspace\bait\test.txt

4）找到tmp文件设置Oplock

列出bait文件夹的内容找到类似BITAA6.tmp的临时文件，并在文件上设置设置Oplock

5）Resume并等待Oplock

恢复job时，会打开tmp文件写入触发Oplock

6）切换挂载点

切换前

TMP file   = %temp%\workspace\mountpoint\BIT1337.tmp -> %temp%\workspace\bait\BITAA6.tmp
Local file = %temp%\workspace\mountpoint\test.txt -> %temp%\workspace\bait\test.txt

切换挂载点创建符号链接

%temp%\workspace\mountpoint -> \RPC Control
Symlink #1: \RPC Control\BITAA6.tmp -> %temp%\workspace\FakeDll.dll
Symlink #2: \RPC Control\test.txt -> C:\Windows\System32\FakeDll.dll

完成此步骤后：

TMP file   = %temp%\workspace\mountpoint\BITAA6.tmp -> %temp%\workspace\FakeDll.dll
Local file = %temp%\workspace\mountpoint\test.txt -> C:\Windows\System32\FakeDll.dll

7) 释放Oplock

释放Oplock后，CreateFile将对原始TMP文件操作，并且该服务将开始写入%temp%\workspace\bait\BITAA6.tmp。之后，MoveFileEx()由于符号链接，最终将被重定向。DLL将被移至该System32文件夹

8) 提权

使用Update Session Orchestrator service加载移动到system32文件夹的dll文件WindowsCoreDeviceInfo.dll提权

参考链接

  • https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0787
  • https://github.com/itm4n/BitsArbitraryFileMove
  • https://itm4n.github.io/cve-2020-0787-windows-bits-eop/
  • https://docs.microsoft.com/en-us/windows/win32/api/bits/nn-bits-ibackgroundcopymanager
  • https://docs.microsoft.com/en-us/windows/win32/api/qmgr/nn-qmgr-ibackgroundcopyqmgr

转载于：https://xz.aliyun.com/t/7935

http://www.yayakq.cn/news/639003/

相关文章：

  • 皋兰网站建设平台网上接网站开发不给钱怎么办
  • 做电子书的网站很有名后来被关闭了宣传片拍摄哪个好
  • 夫唯seo培训上海搜索引擎优化公司
  • 画家网站建设济南济南网站建设网站建设
  • 营销网站做得好的公司餐饮网站开发性能需求
  • 谷搜易外贸网站建设网络营销的主要方式和技巧
  • 江苏公司网站建设公司抖音代运营电话话术
  • 广元网站建设价格南京建网站
  • discuz网站模板下载wordpress 模板吧
  • 网站租用空间价格专业团队张伟高清
  • 尧都网站建设ppt模板网站下载
  • 汕头网站建设科技有限公司网站开发aichengkeji
  • 网站域名设置专门做设计文案的网站
  • 平面设计所需要的软件佛山seo网站排名
  • 黄金做空网站中国建设银行中国网站
  • 可以做兼职的动漫网站当铺网站建设方案
  • 网站推广策划报告局域网内做网站
  • 新网站如何推广深圳外贸网络推广
  • 自己做的网站怎么才能被收录校园网站建设的缺陷
  • 下关汇做网站的公司网站怎么做网站地图
  • 网站seo快速排名优化的软件怎么做镜像网站
  • 太湖县网站建设公司网站优化3个关键词和10个关键词的区别
  • 营销成功案例分享及感悟网站建站 seo
  • 网站扁平化设计理念wordpress skype 插件
  • 网站设计外文文献美团初期是怎么建网站
  • 网络规划设计师考试费用天机seo
  • 免费建站系统下载上海sem
  • 玩具租赁系统网站开发与实现韩国在中国做美食的视频网站有哪些
  • 深圳网站建设公司哪家比较好西宁做网站君博认同
  • 雄安建站服务电商代理