-
-
[原创]CsrssVuln.exe源代码及分析
-
发表于:
2009-3-31 12:36
8606
-
这个漏洞是在Win32k.sys的代码中的NtUserQueryInformationThread中存在的
这两个函数从WINDOWS 2000开始，只判断调用者当前进程是否是CSRSS.EXE，不对传入的参数做验证，导致了漏洞的产生，攻击者只需要使用某种方式进入CSRSS的进程空间内，就可以触发这种漏洞
这个漏洞在Windows 2003,Vista被修补了，但WINDOWS 2000/XP的全补丁版本没有修补
具体我使用的触发方式是使用一个InformationClass:UserThreadFlags
这个InformationClass允许设置一个线程的W32Thread->TIF_Flags，我们可以使用NtUserSetInformationThread给某个线程设置指定数值的TIF_Flags,再调用NtUserQueryInformationThread，输出Buffer传入我们想要写入的地址，就可以将指定数值写入指定的内核地址中了
这个InformationClass实际是传入一个结构USERTHREAD_FLAGS
第一个域是要设置的NewFlags,第二个域是dwMask,需要将dwMask设为0xFFFFFFF，才能成功写入
其中这个线程必须是GUI线程，同时关闭时需要还原TIF_Flags，否则被设置的线程可能出一些问题
下面是源代码:
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
