-
-
[原创]WindowsXPSp3_AFD.sys_本地拒绝服务漏洞的挖掘过程
-
发表于: 2013-3-17 15:22
-
这是本人第一次做漏洞挖掘，2月的时候开始研究漏洞挖掘技术，2月24号那天在进行Fuzz测试的时候偶然的发现了一个afd.sys未处理的异常，然后就对这个异常如获至宝的分析起来了，因为在上班，所以都是利用周末时间来进行，前前后后到加起来差不多5天时间。现在这个漏洞的原因以及低层次的利用已经全部完成，所以拿出来跟大家分享一下，虽然挖到现在只挖出了本地拒绝服务的用处，在如今0Day满天飞的年代这个Vulnerability的价值微乎其微，但是对于我个人来说意义很大，毕竟是第一次做漏洞分析，对于把分析问题的思路从工作惯性转向漏洞挖掘有不少帮助（我的工作平时接触最多的就是，栈，一天到晚就是抓栈，分析栈，也经常抓dump，分析dump，但是工作的目的不是挖掘漏洞，所以我要转型挖漏洞需要最大的改变就是工作时候的目的性）。好了，不废话了，下面把从最初发现这个漏洞到写出这篇文章的过程详细的写出来。
1 Fuzz发现afd.sys发生未处理的ExRaiseDatatypeMisalignment异常。
Pic1
2 异常原因探究
上图圈起来的数据都是需要关注的，到这里，我们就要先看一看详细情况，首先看【栈】：
kd> kvn # ChildEBP RetAddr Args to Child 00 b19698cc 8060d5a4 8060d550 b1969a14 b246db47 nt!ExRaiseDatatypeMisalignment+0xa (FPO: [0,0,0]) 01 b19698d8 b246db47 5fcaa03a 00000004 00000004 nt!ProbeForWrite+0x54 (FPO: [Non-Fpo]) //# 02 b1969a14 805768eb 821c45d0 00000001 00f3fd20 afd!AfdFastIoDeviceControl+0x4a9 (FPO: [Non-Fpo]) //# 03 b1969ac4 8056f4de 00000230 00000000 00000000 nt!IopXxxControlFile+0x261 (FPO: [Non-Fpo]) *** ERROR: Symbol file could not be found. Defaulted to export symbols for IOCTL_fuzzer.sys - 04 b1969af8 b16dfed5 00000230 00000000 00000000 nt!NtDeviceIoControlFile+0x2a (FPO: [Non-Fpo]) //# WARNING: Stack unwind information not available. Following frames may be wrong. 05 b1969b8c b16e05c3 00000001 00000230 00000000 IOCTL_fuzzer+0x4ed5 06 b1969c80 b16e0b9b 00000001 824a4380 00000230 IOCTL_fuzzer+0x55c3 07 b1969d34 8053e658 00000230 000002c0 00000000 IOCTL_fuzzer+0x5b9b 08 b1969d34 7c92e514 00000230 000002c0 00000000 nt!KiFastCallEntry+0xf8 (FPO: [0,0] TrapFrame @ b1969d64) 09 00f3fce0 7c92d28a 719c7425 00000230 000002c0 ntdll!KiFastSystemCallRet (FPO: [0,0,0]) 0a 00f3fce4 719c7425 00000230 000002c0 00000000 ntdll!ZwDeviceIoControlFile+0xc (FPO: [10,0,0]) //# 0b 00f3fe78 7c930041 00090718 000bb8e0 0000605d 0x719c7425 0c 00f3ff60 7c947bc5 00000000 000badc8 000bc038 ntdll!RtlFreeHeap+0x1e9 (FPO: [Non-Fpo]) 0d 00f3ff74 7c947b9c 7c947ae9 00000000 000badc8 ntdll!RtlpApcCallout+0x11 (FPO: [Non-Fpo]) 0e 00f3ffb4 7c80b729 00000000 00000000 00000000 ntdll!RtlpWorkerThread+0x87 (FPO: [Non-Fpo]) 0f 00f3ffec 00000000 7c930250 00000000 00000000 0x7c80b729
kd> .frame 1 01 b19698d8 b246db47 nt!ProbeForWrite+0x54 kd> dds b19698d8 L9 b19698d8 b1969a14 b19698dc b246db47 afd!AfdFastIoDeviceControl+0x4a9 b19698e0 5fcaa03a // Address b19698e4 00000004 // Length b19698e8 00000004 // Alignment b19698ec 824182a0 b19698f0 821c45d0 b19698f4 b246b030 afd!AfdFastIoDispatch b19698f8 00000000
kd> .frame 4 04 b1969af8 b16dfed5 nt!NtDeviceIoControlFile+0x2a kd> dds b1969af8 L10 b1969af8 b1969b8c b1969afc b16dfed5 IOCTL_fuzzer+0x4ed5 b1969b00 00000230 // FileHandle b1969b04 00000000 // Event b1969b08 00000000 // ApcRoutine b1969b0c 00000000 // IoStatusBlock b1969b10 00f3fd4c // ApcContext b1969b14 000120cf // IoControlCode b1969b18 00f3fd20 // InputBuffer b1969b1c 0000002a // InputBufferLength b1969b20 00000000 // OutputBuffer b1969b24 00000000 // OutputBufferLength b1969b28 805738c1 nt!NtWriteFile+0x607 b1969b2c b1969be8 b1969b30 b1969c84 b1969b34 805732ba nt!NtWriteFile
kd> lm m afd* start end module name b2469000 b248ad00 afd (pdb symbols) f:\kernelsymbols\afd.pdb\5A0F2680051E40FCB82FED32C46BC9662\afd.pdb kd> ?b246db47-b2469000 Evaluate expression: 19271 = 00004b47
RtlCopyMemory(pDst, ebx, 0x24);
kd> .frame 4 04 b1969af8 b16dfed5 nt!NtDeviceIoControlFile+0x2a kd> dds b1969af8 L10 b1969af8 b1969b8c b1969afc b16dfed5 IOCTL_fuzzer+0x4ed5 b1969b00 00000230 // FileHandle b1969b04 00000000 // Event b1969b08 00000000 // ApcRoutine b1969b0c 00000000 // IoStatusBlock b1969b10 00f3fd4c // ApcContext b1969b14 000120cf // IoControlCode b1969b18 00f3fd20 // InputBuffer b1969b1c 0000002a // InputBufferLength b1969b20 00000000 // OutputBuffer b1969b24 00000000 // OutputBufferLength b1969b28 805738c1 nt!NtWriteFile+0x607 b1969b2c b1969be8 b1969b30 b1969c84 b1969b34 805732ba nt!NtWriteFile kd> ?ebx // 这里只是恰好在发生异常的时候Ebx的值没有被改变，其他情况如果ebx的值被改变了的话，就需要重新启动调试，打好断点然后再查看。 Evaluate expression: 15990048 = 00f3fd20
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Thanks for share.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
