D:\MyJob\securitylab\PipeUp\Debug>

　　大家看了上面两个例子有什么想法呢？肯定有人会觉得这些Exploit有“做弊”的嫌疑：一方面，在radix1112200101(或PipeUp)运行之前，RunAs(或ClipBook)服务进程都必须先终止运行，这样黑客进程才有可能伪造Named Pipe，才有机会窃取Administrator(或Local System)的账号信息；而另一方面，黑客必须先取得至少Administrator的权限才能终止RunAs(或ClipBook)进程。这两个方面看起来是互为前提条件的，是个无解的“Deadlock”。实际上，我在SecurityFocus网站上看到Microsoft针对Exploit程序radix1112200101的回复，它指出这个Exploit是两难的，现实中不太可能发生。

　　要实现这个Exploit确实有些难度，但是这并不等于不会发生！假如某个服务进程有Bugs，象缓冲区溢出呀、Signal不当reentrant呀等等，那么在运行中这个服务进程就有可能被黑客故意整垮掉(Crash)，然后黑客就可以伪造它的Named Pipe，再利用上面的Exploit程序提升其权限。而且有时候我们并不需要先终止服务进程，我在Microsoft的Security Bulletins网站上找到一个例子----编号为MS01-031的一篇文章 “Predictable Name Pipes Could Enable Privilege Elevation Via Telnet”。中文大意是说：当你通过Telnet远程联线到Windows 2000系统中的Telnetd服务进程时，Telnetd会创建一个新的Named Pipe，同时运行这个Named Pipe携带的初始化程序。由于这个Named Pipe的名字是可以猜到的(Predictable)，所以黑客可以抢先用猜到的名字创建这个Named Pipe，同时让这个Named Pipe携带黑客码作为初始化程序；当Telnetd服务进程发现这个Named Pipe已经存在时，它既不重新创建一个新的Named Pipe，也不核实一下这个Named Pipe的创建者是否可以信赖(Trustable)，相反，它直接使用这个Named Pipe，并且把其携带的黑客码当成初始化程序运行。由于在缺省设置的情况下，Telnetd服务进程具有Local System的权限，所以黑客码也将以这个最高的权限横冲直撞。

　　Microsoft的文章并没有告诉我们这个可以猜得到的Named Pipe名字是什么----这是可以理解的，毕竟谁也不会开门掬盗。不过我在dallas上作了个试验：分别联结两个Telnet Session到Dallas上，然后用Pipelist程序观察在Telnet后Named Pipe的变化情况：

D:\MyJob\tool\pipelist\Debug>pipelist

PipeList v1.01
by Mark Russinovich
http://www.sysinternals.com

Pipe Name Instances Max Instances
--------- --------- -------------
InitShutdown 2 -1
lsass 5 -1
ntsvcs 52 -1
scerpc 2 -1
net\NtControlPipe1 1 1
。。。。。。。。。。
tapsrv 2 -1
ROUTER 2 -1
WMIEP_644 2 -1
WMIEP_2c8 2 -1
net\NtControlPipe28 1 1
telnetd\000001fc.00000000 1 1
telnetd\000001fc.00000001 1 1
telnetd\000001fc.00000002 1 1
telnetd\000001fc.00000003 1 1

上面用黑体字标出来的Named Pipe：net\NtControlPipe28属于Telnetd服务进程，而telnetd\000001fc.00000000与telnetd\000001fc.00000001属于第一个Telnet Session，telnetd\000001fc.00000002与telnetd\000001fc.00000003属于第二个Telnet Session。如果这时有第三个用户Telnet进来的话，Telnetd要用到的Named Pipe名字将会是telnetd\000001fc.00000004与telnetd\000001fc.00000005，我敢赌100块钱！！！

你们看到，这个例子并不需要终止任何服务进程，理论上说你只需要具有一般用户账号就可以提升你的权限到Local System级别：先以一般用户账号伪造Named Pipe并让它附带黑客码作为初始化程序，然后以同一账号远程联线到象dallas这样的机器上，Telnetd服务进程会主动运行你附带在Named Pipe上的黑客码，而且你的黑客码是以Local System权限运行。

上一页  [1] [2] [3] [4] [5] [6] [7] [8] [9] [10] 下一页