cve-2011-1984 wins提权漏洞分析
冰雪风谷[NNU]
email: bingxuefenggu@126.com

1漏洞介绍：

这是一个关于WINS的漏洞，当用户收到一个特殊的破坏的WINS的数据包时，将有可能提权，
攻击者必须登陆到机器上，或者有权限登陆到机器上去利用这个漏洞。
歧形的数据包将会被ECommEndDlg这个有问题的函数处理从而进行攻击。

2相关版本：
受影响的版本
   . Windows Server 2003 SP0, SP1 and SP2.
   . Windows Server 2003 x64 Edition SP2.
   . Windows Server 2003 SP2 for Itanium-based Systems.
   . Windows Server 2008 SP2.
   . Windows Server 2008 x64 Edition SP2.
   . Windows Server 2008 R2 for x64-based Systems.
   . Other versions and platforms are probably affected too, but they
were no checked.
不受影响的版本：
   . Windows XP SP3.
   . Windows XP Professional x64 Edition SP2.
   . Windows Vista SP2.
   . Windows Vista x64 Edition SP2.
   . Windows Server 2008 for Itanium-based Systems SP2.
   . Windows 7.
   . Windows 7 for x64-based Systems.
   . Windows Server 2008 R2 for Itanium-based systems.
3漏洞调试环境的安装

搭建windows 2003 sp2虚拟机，并按参考文档安装wins服务。
按参考文档下载poc,针对老版本的wins,需要对poc进行一些相关的修改。
由于老版本的wins中没有对数据进行加密，所以应该把poc中发送udp数据加密的地方去掉。
poc的使用
python wins_poc.py wins_tcp_dynamic_port wins_udp_dynamic_port writeable_address(hex)
其中wins_tcp_dynamic_port和wins_udp_dynamic_port通过如下命令获得

C:\Python25>netstat -ban
Active Connections
  Proto  Local Address          Foreign Address        State           PID
  TCP    0.0.0.0:42             0.0.0.0:0              LISTENING       1312
  [wins.exe]
  TCP    0.0.0.0:1027           0.0.0.0:0              LISTENING       1312
  [wins.exe]
  UDP    0.0.0.0:42             *:*                                    1312
  [wins.exe]
  UDP    127.0.0.1:1026         *:*                                    1312
  [wins.exe]
如上，我们发现wins_tcp_dynamic_port为1027,wins_udp_dynamic_port为1026.
后面writeable_address的地址，先设为0x4b5f5f5f.

4漏洞调试

我们用windbg附加到wins.exe程序上后，按上述方式执行wins_poc.py

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课