Las vulnerabilidades de día cero de Windows amenazan la seguridad de Web3: las vulnerabilidades de la infraestructura de Web2 pueden afectar los activos digitales
Análisis de vulnerabilidades de día cero en el sistema Windows de Microsoft: podría amenazar la seguridad del ecosistema Web3
Recientemente, una de las actualizaciones de seguridad publicadas por Microsoft corrigió una vulnerabilidad de elevación de privilegios en el sistema operativo Windows que estaba siendo explotada por hackers. Esta vulnerabilidad se encuentra principalmente en versiones anteriores de Windows y no se puede activar en Windows 11. Este artículo analizará cómo los atacantes podrían seguir aprovechando esta vulnerabilidad en el contexto de los mecanismos de seguridad que se están fortaleciendo continuamente.
Antecedentes de la vulnerabilidad
Esta es una vulnerabilidad de día cero, es decir, una vulnerabilidad del sistema que ha sido aprovechada antes de ser divulgada públicamente. A través de esta vulnerabilidad, los hackers pueden obtener el control total del sistema Windows, lo que podría resultar en la filtración de información personal, fallos del sistema, pérdida de datos, pérdidas financieras y otras graves consecuencias. Para los usuarios de Web3, las claves privadas pueden ser robadas, y los activos digitales enfrentan el riesgo de ser transferidos. Desde una perspectiva más amplia, esta vulnerabilidad incluso podría afectar a todo el ecosistema de Web3 que opera sobre la infraestructura de Web2.
Análisis de vulnerabilidades
El análisis del parche muestra que se trata de un problema relacionado con el conteo de referencias de objetos de ventana en win32k. Al analizar los comentarios del código fuente anterior, se descubrió que el código anterior solo bloqueaba el objeto de la ventana, sin bloquear el objeto del menú dentro de la ventana, lo que podía llevar a que el objeto del menú fuera referenciado incorrectamente.
Un análisis adicional revela que el problema radica en la función xxxEnableMenuItem. El objeto de menú devuelto por esta función puede ser el menú principal de la ventana, un submenú o incluso un sub-submenú. Al construir una estructura de menú anidada de múltiples capas, se puede liberar un objeto de menú intermedio cuando la función devuelve el nivel de usuario, lo que puede causar una vulnerabilidad en las referencias posteriores.
Explotación de vulnerabilidades
Hay dos enfoques principales para aprovechar esta vulnerabilidad:
Ejecutar código shellcode. Pero en las versiones más recientes de Windows, este método enfrenta algunos desafíos técnicos.
Utilizar primitivas de lectura y escritura para modificar la dirección del token. Este método tiene una mejor versatilidad, y principalmente necesita resolver el problema de cómo controlar el valor de cbwndextra.
La solución final adoptada es:
A través del control de la disposición de la memoria del objeto de ventana, escribir el valor cb-extra de HWNDClass utilizando la operación de bandera en la función xxxRedrawWindow.
Diseñar un diseño de memoria de objetos HWND continuos, liberar objetos intermedios y ocupar con objetos HWNDClass.
Utilizar la dirección del manejador del núcleo filtrada en la memoria del montón para controlar con precisión la disposición de los objetos.
Utilizar GetMenuBarInfo() para realizar lecturas arbitrarias, SetClassLongPtr() para realizar escrituras arbitrarias.
Finalmente, se logra la elevación de privilegios modificando la dirección del token.
Resumen
Microsoft está reestructurando el código relacionado con win32k usando Rust, lo que podría reducir este tipo de vulnerabilidades en el futuro.
El proceso de explotación de esta vulnerabilidad es relativamente simple y depende principalmente de la filtración de la dirección del manejador de la pila de escritorio.
Se ha descubierto que esta vulnerabilidad puede depender de una detección de cobertura de código más completa.
La detección de disposiciones de memoria anómalas y operaciones de lectura y escritura ayuda a identificar vulnerabilidades similares.
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
12 me gusta
Recompensa
12
3
Compartir
Comentar
0/400
ApeWithNoChain
· Hace31m
Las consecuencias de no actualizar el sistema durante mucho tiempo.
Ver originalesResponder0
Rekt_Recovery
· hace5h
perdí el 90% con apalancamiento pero sigo respirando... compartiendo historias de guerra desde las trincheras, para ser honesto
Las vulnerabilidades de día cero de Windows amenazan la seguridad de Web3: las vulnerabilidades de la infraestructura de Web2 pueden afectar los activos digitales
Análisis de vulnerabilidades de día cero en el sistema Windows de Microsoft: podría amenazar la seguridad del ecosistema Web3
Recientemente, una de las actualizaciones de seguridad publicadas por Microsoft corrigió una vulnerabilidad de elevación de privilegios en el sistema operativo Windows que estaba siendo explotada por hackers. Esta vulnerabilidad se encuentra principalmente en versiones anteriores de Windows y no se puede activar en Windows 11. Este artículo analizará cómo los atacantes podrían seguir aprovechando esta vulnerabilidad en el contexto de los mecanismos de seguridad que se están fortaleciendo continuamente.
Antecedentes de la vulnerabilidad
Esta es una vulnerabilidad de día cero, es decir, una vulnerabilidad del sistema que ha sido aprovechada antes de ser divulgada públicamente. A través de esta vulnerabilidad, los hackers pueden obtener el control total del sistema Windows, lo que podría resultar en la filtración de información personal, fallos del sistema, pérdida de datos, pérdidas financieras y otras graves consecuencias. Para los usuarios de Web3, las claves privadas pueden ser robadas, y los activos digitales enfrentan el riesgo de ser transferidos. Desde una perspectiva más amplia, esta vulnerabilidad incluso podría afectar a todo el ecosistema de Web3 que opera sobre la infraestructura de Web2.
Análisis de vulnerabilidades
El análisis del parche muestra que se trata de un problema relacionado con el conteo de referencias de objetos de ventana en win32k. Al analizar los comentarios del código fuente anterior, se descubrió que el código anterior solo bloqueaba el objeto de la ventana, sin bloquear el objeto del menú dentro de la ventana, lo que podía llevar a que el objeto del menú fuera referenciado incorrectamente.
Un análisis adicional revela que el problema radica en la función xxxEnableMenuItem. El objeto de menú devuelto por esta función puede ser el menú principal de la ventana, un submenú o incluso un sub-submenú. Al construir una estructura de menú anidada de múltiples capas, se puede liberar un objeto de menú intermedio cuando la función devuelve el nivel de usuario, lo que puede causar una vulnerabilidad en las referencias posteriores.
Explotación de vulnerabilidades
Hay dos enfoques principales para aprovechar esta vulnerabilidad:
Ejecutar código shellcode. Pero en las versiones más recientes de Windows, este método enfrenta algunos desafíos técnicos.
Utilizar primitivas de lectura y escritura para modificar la dirección del token. Este método tiene una mejor versatilidad, y principalmente necesita resolver el problema de cómo controlar el valor de cbwndextra.
La solución final adoptada es:
A través del control de la disposición de la memoria del objeto de ventana, escribir el valor cb-extra de HWNDClass utilizando la operación de bandera en la función xxxRedrawWindow.
Diseñar un diseño de memoria de objetos HWND continuos, liberar objetos intermedios y ocupar con objetos HWNDClass.
Utilizar la dirección del manejador del núcleo filtrada en la memoria del montón para controlar con precisión la disposición de los objetos.
Utilizar GetMenuBarInfo() para realizar lecturas arbitrarias, SetClassLongPtr() para realizar escrituras arbitrarias.
Finalmente, se logra la elevación de privilegios modificando la dirección del token.
Resumen
Microsoft está reestructurando el código relacionado con win32k usando Rust, lo que podría reducir este tipo de vulnerabilidades en el futuro.
El proceso de explotación de esta vulnerabilidad es relativamente simple y depende principalmente de la filtración de la dirección del manejador de la pila de escritorio.
Se ha descubierto que esta vulnerabilidad puede depender de una detección de cobertura de código más completa.
La detección de disposiciones de memoria anómalas y operaciones de lectura y escritura ayuda a identificar vulnerabilidades similares.