猫鼠游戏：Windows内核提权样本狩猎思路分享

背景

内存破坏类内核提权漏洞

为什么win32k组件中的UAF漏洞这么多？这要从Windows NT的设计历史说起。在Windows操作系统设计初期，win32k子系统是在用户态的(实线的上半部分)，如下：

但从Windows NT4开始，这部分代码被移到了内核态(实线的下半部分)，内核态新增了一个win32k.sys模块：

上述重新设计引入了如下3个不安全因素：

重新设计后，上述3点都可能引发新的安全漏洞，Windows内核团队也意识到了这几点，所以针对性地进行了加固，但安全研究人员还是不断从中找出安全漏洞。

在2011年Blackhat USA大会上，Tarjei Mandt公开了他对Win32k User-Mode Callback机制的研究成果，从此大量研究人员开始关注win32k模块中的User-Mode Callback攻击面，并发现了许多新的win32k模块UAF漏洞。

如何狩猎内核提权利用样本

静态层面，首先，我们可以检查PE文件的导入表中是否导入了user32.dll中的下面几个函数，因为大部分win32k漏洞利用都需要创建窗口或菜单：

其次，Win32k User-Mode Callback漏洞一定存在Hook回调表的操作，这是一个可疑行为(64位样本会存在和下面很像的一个代码片段)：

动态层面，对于UAF漏洞和部分越界读写漏洞，可以通过开启Driver Virifier进行检测，UAF漏洞样本在开启Driver Virifier的环境中会触发蓝屏异常，判定0day最简单的标准就是：

当然，有一些内存破坏类内核提权漏洞无法通过Driver Virifier检测到，一个典型例子就是我们捕获的CVE-2021-1732。

堆喷射阶段变化比较多，可以创建多个Windows或多个Bitmaps，例如CVE-2018-8453的在野利用；也可以创建多个加速表(CreateAcceleratorTable)，例如CVE-2017-8465的开源利用代码；也可以创建多个tagCLS结构，比如《LPE vulnerabilities exploitation on Windows 10 Anniversary Update》这个PPT第36页提出的方法。

关于Windows内核信息泄露技巧，Github上有一个项目(项目地址列举在文末)总结得较为完整。项目中有一张表格，该表格详细列出了Windows内核信息泄露的各种技巧，并且通过不同的图标展示了这些技巧在各版本Windows操作系统中的可用性。

这张表格只将操作系统写到Windows 1703(Redstone 2)，但仅根据表格内信息我们也可发现：只有HMValidateHandle这一技巧一直稳定存在(从1803开始也进行了缓解)。

静态层面，我们可以通过查找HMValidateHandle的代码特征来发现内核信息泄露的线索。以下是一段查找HMValidateHandle的典型代码，如果在静态分析时遇到类似代码片段，就应值得留意：

动态分析层面，由于HMValidateHandle是一个未导出函数，系统在正常调用这个函数时，对其调用的地址来自user32.dll内部；但当这个函数被用于信息泄露时，对其调用的地址位于漏洞利用模块，这个地址并不位于user32.dll模块。我们可以借助这一原理进行运行时检测：将来自user32.dll外的对HMValidateHandle的调用标记为可疑行为并记录。这方面已经有国外的研究员做了样例，一并列举在文末。

在Windows内核利用的历史中，相继有操作tagWND，Bitmap，Palette，Menu等相关结构体的API登场，发展到现在，已经公开且还没有被完全缓解的任意地址读写原语辅助函数已经只剩SetWindowLong*系列函数和Menu相关函数，所以查看导入表中是否有user32.dll中的下面几个函数是一种思路：

除了上述API，早期版本的一些利用代码还可以包括下面这些导入函数：

▲GetBitmapBits / SetBitmapBits / CreateCompatibleBitmap / CreateBitmapIndirect / CreateDiscardableBitmap / CreateDIBitma

▲GetPaletteEntries / SetPaletteEntries

▲SetWindowTextA / SetWindowTextW / InternalGetWindowText

▲NtUserDefSetText

对于Windows内核提权漏洞而言，其主要目的是为了提升权限，而提升权限的主要手法就是进行Token替换，因此可以通过以下几个特征点进行检查：

04

Windows内核团队和漏洞缓解团队一直致力于减少Windows内核的漏洞&利用攻击面，简单了解Windows系统中的内核安全攻防时间线有助于我们对Windows内核利用历史的了解和对Windows内核利用趋势的预测，这些对狩猎都有帮助。

○KASLR

■需要额外的内核信息泄露来绕过KASLR

■绕过方式：https://github.com/sam-b/windows_kernel_address_leaks

○SMEP (Supervisor Mode Execution Prevention)

■需要处理器支持(2011年引入)， CR4寄存器的第20位作为开关

■当CPU处于Ring0模式时，如果执行了Ring3的代码，就会触发页错误

■绕过方式：CVE-2015-2360 Duqu 2.0在野利用样本

○禁止使用0地址页

■之前的内核空指针引用漏洞利用方式：申请0地址，借助0地址进行任意地址读写

■之后的内核空指针引用漏洞利用：0地址页无法申请，无法完成利用，例如CVE-2018-8120不能在Windows 8及以上版本进行利用

○提升Bypass KASLR的难度

■将GDI_CELL结构的pKernelAddress成员置为空，通过GdiSharedHandleTable进行内核信息泄露的方式被缓解

○缓解通过SetWindowText操纵tagWND.strName进行任意内核地址读写的利用方式

■限制tagWND.strName指针只能指向桌面堆 (缓解CVE-2015-2360和CVE-2016-7255这两个漏洞的在野利用方式)

○将字体解析模块拆为独立组件，并将其权限限制为AppContainer

■缓解win32k字体解析类提权漏洞，限制这类漏洞利用过程中的文件读写(缓解CVE-2016-7256和CVE-2020-0938这些字体漏洞的在Windows 10上的利用)

○提升Bypass KASLR的难度

■缓解通过gSharedInfo进行pvScan0内核指针信息泄露的方式

■缓解通过桌面堆进行内核信息泄露的方式：Win32ClientInfo结构体内的ulClientDelta指针被移除，无法再通过ulClientDelta进行内核信息泄露

○缓解借助tagWND构造任意地址读写原语的方式

■SetWindowLongPtr操作的ExtraBytes内存指针被移到用户态，无法再借助它对tagWND.strName进行修改

○缓解借助Bitmap进行利用的方式

■Bitmap对象头部大小增加了8字节

○Win32k Type Isolation for Bitmap：将Bitmap header与Bitmap data分开

■进一步缓解借助Bitmap对象构造任意地址读写原语的方式

○绕过方式：借助Palette对象构造任意地址读写原语，参考《Demystifying Windows Kernel Exploitation by Abusing GDI Objects》

○Win32k Type Isolation for Palette

■缓解借助Palette对象构造任意地址读写原语的方式

■绕过Type Isolation缓解措施的提权样本：CVE-2018-8453在野利用样本，具体细节参考《Overview of the latest Windows OS kernel exploits found in the wild》

○缓解通过HMValidateHandle进行内核信息泄露的方式

■通过HMValidateHandle泄露的内核tagWND副本中，相关指针值不复存在

○继续提升Bypass KASLR的难度

■创建多个桌面堆，对相关API进行大幅修改■绕过方式：用一种新的方式泄漏并计算包含内核模式指针的对象的绝对地址，可参考《DEVELOPMENT OF A NEW WINDOWS 10 KASLR BYPASS (IN ONE WINDBG COMMAND)》这篇文章

○进一步缓解内核漏洞利用的攻击面

■绕过方式：CVE-2021-1732在野利用样本，借助spmenu进行内核信息泄露，借助GetMenuBarInfo/SetWindowLong函数实现任意地址读写，可在最新版Windows 20H2系统上完成利用

05

○Win32k Lockdown

■Chrome于2016年首先引入，在Chrome+Windows 8.1及以上环境中禁止调用win32k模块的API

■绕过方式：采用win32k模块以外的内核漏洞，例如CVE-2018-8611和CVE-2020-17087这类在野利用样本

○Win32k System Call Filter

■Windows 8.1开始支持

■限制对部分win32k API进行调用：在RS3中Edge可以调用349个win32k API；而在RS4中，Edge能调用的win32k API数量减少为78个，所有GDI对象都无法在Edge中创建

■绕过方式：使用那些没有被过滤的win32k API的漏洞，例如DirectX漏洞，可以参考《Subverting Direct X Kernel For Gaining Remote System》

06

1. Windows 10上的内核漏洞挖掘难度也许变化不大，但利用难度已经变得非常大

2. 主流浏览器/文档处理软件相继引入Sandbox机制，APT组织对沙箱逃逸/提权漏洞的需求会越来越大

3. 传统的win32k组件内核提权漏洞逐渐被主流浏览器拒之门外

4. 非win32k模块内核提权漏洞的需求在APT市场上会继续增加，但成本会越来越高，类似CVE-2018-8611这种高度复杂漏洞利用接下来还会出现

5. 逻辑类提权漏洞的数量会稍有增加(作为内存破坏类漏洞的替代品)

6. 浏览器自身组件的沙箱逃逸漏洞数量也会增加，这类漏洞是浏览器自己的漏洞，但也可以实现沙箱逃，可以从Low提权到Medium，比如Chrome Mojo组件的沙箱逃逸漏洞和Windows打印机提权漏洞

07

0day "In the Wild" (by Google Project Zero)

https://docs.google.com/spreadsheets/d/1lkNJ0uQwbeC1ZTRrxdtuPLCIl7mlUreoKfSIgajnSyY/view#gid=1123292625

Hunting for Privilege Escalation in Windows Environment (by Kaspersky)

https://speakerdeck.com/heirhabarov/hunting-for-privilege-escalation-in-windows-environment

Three Windows zero-days in three months: how we found them in the wild (by Kaspersky)

https://www.brighttalk.com/webcast/15591/348704/three-windows-zero-days-in-three-months-how-we-found-them-in-the-wild

Overview of the latest Windows OS kernel exploits found in the wild (by Kaspersky)

https://github.com/oct0xor/presentations/blob/master/2019-02-Overview%20of%20the%20latest%20Windows%20OS%20kernel%20exploits%20found%20in%20the%20wild.pdf

Retrospective on the latest zero-days found in the wild (by Kaspersky)

https://github.com/oct0xor/presentations/blob/master/2020-01-Retrospective%20on%20the%20latest%20zero-days%20found%20in%20the%20wild.pdf

Graphology of an Exploit - Hunting for exploits by looking for the author's fingerprints (by CheckPoint)

https://research.checkpoint.com/2020/graphology-of-an-exploit-volodya/

Exploit Developer Spotlight: The Story of PlayBit (by CheckPoint)

https://research.checkpoint.com/2020/graphology-of-an-exploit-playbit/

The Story of Jian - How APT31 Stole and Used an Unknown Equation Group 0-Day (by CheckPoint)

https://research.checkpoint.com/2021/the-story-of-jian/

The State of Win32k Security (by MSRC)

https://github.com/Microsoft/MSRC-Security-Research/blob/master/presentations/2018_10_DerbyCon/2018_10_DerbyCon_State_of%20_Win32k_Security.pptx

Kernel Attacks through User-Mode Callbacks (by Tarjei Mandt)

https://docs.huihoo.com/blackhat/usa-2011/BH_US_11_Mandt_win32k_Slides.pdf

Driver Virifier

https://docs.microsoft.com/en-us/windows-hardware/drivers/devtest/driver-verifier

Windows Kernel Address Leaks

https://github.com/sam-b/windows_kernel_address_leaks

A simple protection against HMValidateHandle technique

https://theevilbit.github.io/posts/a_simple_protection_against_hmvalidatehandle_technique/

Windows SMEP Bypass (by Core Security)

https://www.coresecurity.com/sites/default/files/2020-06/Windows%20SMEP%20bypass%20U%20equals%20S_0.pdf

Duqu 2.0 Win32k Exploit Analysis (by MSRC)

https://github.com/ohjeongwook/Publications/blob/master/Duqu%202.0%20Win32k%20Exploit%20Analysis.pdf

Hardening Windows 10 with zero-day exploit mitigations (by MSRC)

https://www.microsoft.com/security/blog/2017/01/13/hardening-windows-10-with-zero-day-exploit-mitigations/

Taking Windows 10 Kernel Exploitation To The Next Level–Leveraging Write What Where Vulnerabilities In Creators Update-wp (by Morten Schenk)

https://github.com/MortenSchenk/BHUSA2017/blob/master/us-17-Schenk-Taking-Windows-10-Kernel-Exploitation-To-The-Next-Level%E2%80%93Leveraging-Write-What-Where-Vulnerabilities-In-Creators-Update-wp.pdf

The Life & Death of Kernel Object Abuse by Type Isolation (by MSRC)

https://conference.hitb.org/hitbsecconf2018ams/materials/D1%20COMMSEC%20-%20Saif%20Elsherei%20and%20Ian%20Kronquist%20-%20The%20Life%20&%20Death%20of%20Kernel%20Object%20Abuse.pdf

Demystifying Windows Kernel Exploitation by Abusing GDI Objects (by Saif El-Sherei)

https://github.com/sensepost/gdi-palettes-exp/blob/master/5A1F_Defcon_25_Demystifying_Kernel_Exploitation_By_Abusing_GDI_Objects_slides_final.pdf

WINDOWS 10 RS2 RS3 GDI DATA-ONLY EXPLOITATION TALES (by NIKOLAOS SAMPANIS)

https://census-labs.com/media/windows_10_rs2_rs3_exploitation_primitives.pdf

Zero-day exploit (CVE-2018-8453) used in targeted attacks (by Kaspersky)

https://securelist.com/cve-2018-8453-used-in-targeted-attacks/88151/

DEVELOPMENT OF A NEW WINDOWS 10 KASLR BYPASS (IN ONE WINDBG COMMAND) (by Morten Schenk)

https://www.offensive-security.com/vulndev/development-of-a-new-windows-10-kaslr-bypass-in-one-windbg-command/

WINDOWS KERNEL ZERO-DAY EXPLOIT (CVE-2021-1732) IS USED BY BITTER APT IN TARGETED ATTACK (by DBAPPSecurity)

https://ti.dbappsecurity.com.cn/blog/index.php/2021/02/10/windows-kernel-zero-day-exploit-is-used-by-bitter-apt-in-targeted-attack/

Breaking the Chain (by Google Project Zero)

https://googleprojectzero.blogspot.com/2016/11/breaking-chain.html

Win32k System Call Filtering Deep Dive (by Morten Schenk)

https://improsec.com/tech-blog/win32k-system-call-filtering-deep-dive

Subverting Direct X Kernel For Gaining Remote System (by Rancho Han & ChenNan)

https://github.com/RanchoIce/44Con2018/blob/master/44Con-Gaining%20Remote%20System%20Subverting%20The%20DirectX%20Kernel.pdf