前言

该漏洞为windows csc.sys驱动越界写导致的本地内核提权漏洞。

越界写零提权原理

简单来说

我们利用漏洞进行越界写0修改KTHREAD结构中的PreviousMode字段，使其为KernelMode。这样，后续的写操作不会进行权限检查，从而允许我们修改内核数据结构，实现任意地址写入。
通过任意地址写入操作，我们可以将当前进程的Token字段替换为系统进程的Token字段。这样当前进程就能够获得系统进程的权限，从而实现提权。

详细展开

UserMode 与 KernelMode

PreviousMode 通常是 KTHREAD 结构的一部分，在 Windows 内核的头文件中，PreviousMode 通常被定义为 MODE 枚举类型，数据结构如下图所示：

在 Windows 内核中，PreviousMode用于标识线程最后一次执行的模式。这个字段有两个值：

1. PreviousMode = UserMode (1)

• 当线程从用户模式调用系统服务（如通过 Nt 或 Zw 前缀的函数）进入内核模式时，PreviousMode 被设置为 UserMode。这表明调用来源于用户空间，并且是在用户态下发起的系统调用。在用户模式下，应用程序受到更多的限制和安全检查。

1. PreviousMode = KernelMode (0)

• 当线程已经在内核模式下执行，并且调用内核模式的例程或函数时，PreviousMode 保持为 KernelMode。这表明操作是在内核空间内部进行的。
• 在内核模式下，代码具有完全的系统访问权限，也就是我们提权的关键。

绕过检查实现任意地址写入

PreviousMode 值设置为 0 后，NtReadVirtualMemory()或 NtWriteVirtualMemory()、NtAllocateVirtualMemory() 等函数可以被滥用来读取、写入、分配内核内存，因为地址验证检查将被跳过。逆向ntoskrnl.exe可以获取函数原型，下面举两个例子来了解判断的运行流程：
NtWriteVirtualMemory()：

NtAllocateVirtualMemory()：

当一个用户模式应用程序调用本地系统服务例程的 Nt 或 Zw 版本时，该例程总是将它接收到的参数视为来自一个不受信任的用户模式源的值。该例程会在使用这些参数之前彻底验证参数值，探测任何由调用者提供的缓冲区，以验证这些缓冲区是否位于有效的用户模式内存中，并且是否对齐正确。
参考：Using Nt and Zw Versions of the Native System Services Routines
举一个例子，如果一个 NtXxx 例程的参数包括一个输入或输出缓冲区，并且如果 PreviousMode = UserMode，那么该例程会调用 ProbeForRead 或 ProbeForWrite 例程来验证缓冲区。如果缓冲区是分配在系统内存而不是用户模式内存中，ProbeForXxx 例程会引发一个异常，并且 NtXxx 例程会返回 STATUS_ACCESS_VIOLATION 错误代码。
参考：PreviousMode
所以可以看到当 PreviousMode 为0时检查将被绕过，可以直接使用NtWriteVirtualMemory函数进行任意地址写入操作。

将当前进程 Token 替换为 System Token

替换流程：

1. 获取当前进程的 EPROCESS 结构的地址。
2. 获取PID为4的进程的EPROCESS 地址。（PID的值为4，意味着该进程为system进程）
3. 将系统进程的 Token 复制到当前进程的Token中，从而提升当前进程的权限。

什么是 EPROCESS 结构？
EPROCESS结构体是Windows操作系统内核中用于表示进程的关键数据结构，它包含了进程相关的信息和指向其他相关结构体数据结构的指针，在这里我们需要通过EPROCESS地址来定位到token地址。
这里使用test01.exe进行调试分析：

Token的值在不同windows版本偏移不相同，此处为0x4b8：
所以，当前 EPROCESS 结构的地址是 ffffcb8381cf3080，Token 的地址是ffffcb8381cf3080 + 0x4b8。
查找指定进程的token地址的代码逻辑（以获取当前进程token地址举例）：

1. 打开当前进程并获取其句柄
2. 获取系统中所有句柄的信息(使用NtQuerySystemInformation结合下面的遍历实现内核地址泄露)
3. 遍历获取到的所有句柄的信息，寻找根据PID和句柄匹配的内核对象地址（内核对象地址是实际的内核空间地址，而句柄是用户模式下的索引）
4. 根据偏移获取token地址

因此我们通过句柄可以间接找到对应的内核对象地址，对于进程句柄这个地址就是 EPROCESS 地址。有了EPROCESS地址，我们就可以通过偏移获取当前进程的token地址。获取指定PID的token地址也是一样的，这样当我们可以进行任意地址写入后就可以直接将system token写到我们指定进程的token中了。

漏洞分析

csc.sys 简介

csc.sys驱动是一个处理客户端缓存（Client-Side Caching）和提供离线文件功能的系统驱动（windows默认启用）。csc.sys允许用户在断网的情况下继续访问和操作网络文件，当用户在没有网络连接的情况下对这些文件进行更改时，这些更改首先影响的是本地缓存的副本；一旦网络连接恢复，CSC.sys 会负责将这些本地更改同步回网络位置，确保网络上的数据与本地的副本保持一致。

分析漏洞函数

此处使用 csc_10.0.19041.3636.sys 与 csc_10.0.19041.4291_KB5036892.sys 来进行分析。
对比补丁发现主要针对CscDevFcbXXXControlFile进行了修改：

csc!CscDevFcbXXXControlFile是什么？这个函数是如何进行调用？
从该函数命名我们可以得知Fcb（File Control Block）是与文件系统的操作相关的，代码的核心逻辑通过逆向可知是文件系统接收FSCTL code（文件系统控制码）进行操作，windows发送FSCTL code使用的是NtFsControlFile函数。

NtFsControlFile 是 Windows 操作系统中一个提供文件系统控制操作的内核API，其函数原型如下：

从函数原型中得知对应的FSCTL0x001401a3是通过NtFsControlFile 的FsControlCode参数进行传递的。
在CscDevFcbXXXControlFile()当传递对应的 FSCTL code 符合条件后进入代码核心操作，我们观察下面操作是如何进行越界写0的：

可以看到CscDevFcbXXXControlFile()有两处写0操作：

1. *(_QWORD *)(a1 + 0xB8) = 0;
2. *(_QWORD *)(*(_QWORD *)(a1 + 0x218) + 0x18) = 0;

传入的参数a1是什么？

当我们传递NtFsControlFile的函数参数进行调用时，多个函数会根据参数进行处理，最后传给csc!CscDevFcbXXXControlFile的参数a1并非是我们传入的线程内核地址，而且是一个指向数据结构的指针，数据结构为：

此处参数a1并非我们可控的，所以第一个写0处不可控；但是a1+0x218则是我们通过NTFsControlFile传入的地址，此处导致我们越界写0可控。
因此我们此处构造的pNtFsControlFile()函数代码如下所示，其中 PreviousMode 的偏移为0x232，减去0x18来抵消掉等式中的增加0x18：

调试漏洞函数

PreviousMode 越界写零

• 函数下断点

• 获取进程的EPROCESS结构的内核地址

• 查看详细信息，获取线程内核地址

• 从_KTHREAD结构中查看PreviousMode字段

• 触发漏洞进行越界写0

可以看到未触发漏洞前PreviousMode为1，在触发漏洞后则被越界写为0。

NtFsControlFile 函数调用

• 仅对目标程序下断点调试 NtFsControlFile

前四个参数通过寄存器 RCX、RDX、R8、和 R9 传递，剩余的参数则通过栈传递：

• RCX: 000000000000008c 文件句柄
• RDX: 0000000000000000 没有使用事件
• R8: 0000000000000000 没有指定APC函数
• R9: 0000000000000000 没有指定APC上下文

• IoStatusBlock:ffff95020867daa8 -> ffff988f74aaf080
• FsControlCode:ffff95020867dab8值为0x001401a3
• InputBuffer:ffff95020867dac0->ffff988f73f5d29a
• InputBufferLength:ffff95020867dac8值为 0

当前线程地址为ffff988f73f5d080 ：

可以看到上面函数的传参均符合预期。

CscDevFcbXXXControlFile 函数调用

• 函数下断点

函数传入参数为ffff988f7450fc80，对应传入参数a1，分析出指针指向的数据结构：

CscUpdateAndCaptureConnectionStateEx 函数调用

该函数用于更新和捕获连接状态，其中对判断函数中变量的改变起到了关键作用。

• 函数下断点

函数第一个参数为指向数据结构的一个指针，对应CscDevFcbXXXControlFile Param + 0x0038：

其中函数参数v14初始化为0，此处传递v14的地址进行运算，函数的调用中后续会使用该变量进行判断，为该函数的第5个参数：

可以看到 rsp 寄存器的值为ffff95020867d218。在堆栈中第五个参数的地址存储在rsp + 0x28位置，即ffff95020867d240。对应值为ffff95020867d288`，其当前指向地址值为0：

在运算结束后，其值发生改变，则因此进入了我们的核心运算逻辑：

漏洞利用

经过上面的分析，我们下面实现漏洞利用代码了。

打开驱动设备获取句柄

构造获取目标进程内核对象地址函数

此处使用NtQuerySystemInformation来进行内核地址泄露：

该函数用户获取当前进程内核对象地址和system进程内核对象地址：

其中EPROCESS的token偏移在windows不同版本可能有所不同，这里根据漏洞涉及范围进行了统计：

可以使用未公开函数RtlGetNtVersionNumbers来获取版本号再设置偏移：

调用NtFsControlFile触发漏洞越界写零

修改当前进程令牌

恢复 PreviousMode 为 UserMode

如果不进行此操作则会触发BSOD：

执行高权限命令

成功提权。

补丁分析

分析的补丁为KB5036892，该补丁进行的调整：

• 新增了17个函数
• 1个函数进行代码调整：CscDevFcbXXXControlFile()
  • 增加Feature_1543900478__private_IsEnabled()
  • 增加ProbeForWrite()

CscDevFcbXXXControlFile 函数变动

查看该函数变动：

可以看到在FSCTL code等于0x1401a3后，新增了Feature_1543900478__private_IsEnabled功能判断，该函数是微软补丁用来适配未打补丁的系统的，因此打了补丁的系统会让该函数返回值为1，进入else判断中：

在Feature_1543900478__private_IsEnabled函数返回值为0，则会如同之前漏洞版本的驱动一下可以进行越界写0。在打完补丁返回值为1后，则进入else中，使用ProbeForWrite对我们传入的内核地址进行检查。ProbeForWrite的函数函数原型为：

该函数的作用是：

1. 检查缓存长度不为0后，检查内存是否按指定的字节数对齐
2. 检查整个缓存区是否位于用户态内存范围内

这两个检查任意一个不成功，该函数都会引发一个异常（例如违规访问）。像是我们之前直接传入内核地址在这里就会触发异常，因此补丁之后无法触发漏洞。

ProbeForWrite 绕过手法

假如有下面这样一个例子：

如果使用addr=kernelmode, size=0则可用于绕过 ProbeForWrite 检查，这是TOCTOU的利用手法。在 ProbeForWrite 检查和操作之间有一个时间窗口，在这个窗口期内，初始验证的条件可能被改变，从而导致 ProbeForWrite 检查被绕过。具体分为两个阶段：

1. 验证阶段：在此阶段驱动程序使用 ProbeForWrite 函数来验证用户提供的内存范围是否为可写的用户模式地址。如果攻击者为 ProbeForWrite 提供一个地址为内核模式且大小为0的范围，由于大小为0，这次调用不会引发异常（因为实际上没有内存被访问或验证）。
2. 使用阶段：尽管初始的内存范围验证看似成功，但驱动程序如果后续使用与初次验证不同的参数来执行相同的内核模式地址来进行写入，最后就能够达到绕过 ProbeForWrite 检查的效果。

但是当前补丁中无法直接控制该参数，并且在前面的判断中要求InputBufferLength必须大于0x24，目前在这里没有找到绕过方法：

总结

这是一个比较经典的漏洞类型，值得学习。文中仍有很多不足，感谢师傅们的指点和帮助，以后定会对文章内容严格把控，如有问题，多多包涵，欢迎提出建议和意见。

参考链接

CVE-2018-8611 Exploiting Windows KTM Part 5/5 – Vulnerability detection and a better read/write primitive
Microsoft Windows Server 2003 SP2 本地提权（CVE-2014-4076）
MS08-066 : Catching and fixing a ProbeForRead / ProbeForWrite bypass
https://forum.butian.net/share/3101

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课