Detours改动段属性漏洞

v:* { }
o:* { }
w:* { }
.shape { }p.MsoNormal,li.MsoNormal,div.MsoNormal { margin: 0cm; margin-bottom: .0001pt; text-align: justify; font-size: 10.5pt; font-family: "Calibri", "sans-serif" }
p.MsoHeader,li.MsoHeader,div.MsoHeader { margin: 0cm; margin-bottom: .0001pt; text-align: center; border: none; padding: 0cm; font-size: 9.0pt; font-family: "Calibri", "sans-serif" }
p.MsoFooter,li.MsoFooter,div.MsoFooter { margin: 0cm; margin-bottom: .0001pt; font-size: 9.0pt; font-family: "Calibri", "sans-serif" }
a:link,span.MsoHyperlink { color: blue; text-decoration: underline }
a:visited,span.MsoHyperlinkFollowed { color: purple; text-decoration: underline }
p.MsoAcetate,li.MsoAcetate,div.MsoAcetate { margin: 0cm; margin-bottom: .0001pt; text-align: justify; font-size: 9.0pt; font-family: "Calibri", "sans-serif" }
span.Char { }
span.Char0 { }
span.Char1 { }
span.SpellE { }
span.GramE { }
.MsoChpDefault { }
div.WordSection1 { }table.MsoNormalTable { font-size: 10.5pt; font-family: "Calibri", "sans-serif" }

受影响的软件及系统

Detours3.0和之前版本号

简单介绍

这个问题将其定位为一个漏洞可能不太合适，更可能是Detours的一个BUG，可是由于该缺陷会造成漏洞利用变得easy，因此将其定义为漏洞。其主要问题就是Detours在使用过程中会将之前的可运行段改动为可写，可是改动完之后，没有将段属性改动回来。

漏洞危害

一些安全软件出于安全考虑。会把安全模块注入到IE，Office等软件里面。而非常多注入模块里面使用Detours库对系统API进行Hook操作。Detours库进行Hook操作时（DetourAttachEx函数）会将相关模块的PE头（详细是DosHeader。不可写段）改动为可写可读可运行，然后写入一些特殊数据。可是后面没有改动成原始属性。这样就会破坏这些模块的段属性，造成一些其他漏洞利用时减少了绕过DEP的难度。

漏洞原理

Detours进行Inline Hook操作时，会在相关模块PE头的DosHeader里面写入一个特殊的Detours!字符串（用于标识该模块被Hook过）。由于一般DosHeader是不可写的。因此Detours会先把该处改动为可写可读可运行属性，然后再改动。

可是改完之后。Detours并没有恢复这块内存的原始属性，这样就导致这块内存一直处于可写可读可运行属性。这样问题就产生了。

能够调试下IE试试。一般来说IEXPLORE模块本身不会被Hook。我们看看它的基址的内存属性。

0:040> lm

start    end       module name

00f50000 01016000   IEXPLORE   (deferred)

0:040> !address00f50000

Failed to map Heaps (error 80004005)

Usage:                 Image

Allocation Base:       00f50000

Base Address:          00f50000

End Address:           00f51000

Region Size:           00001000

Type:                  01000000  MEM_IMAGE

State:                 00001000   MEM_COMMIT

Protect:               00000002   PAGE_READONLY

More info:             lmv m IEXPLORE

More info:             !lmi IEXPLORE

More info:             ln 0xf50000

而mshtml则是安全软件最喜欢Hook的模块。看看它的基址的内存属性。

0:040> lmvmmshtml

start    end       module name

63d70000 64df3000   MSHTML     (deferred)

Image path:C:\windows\system32\MSHTML.dll

Image name: MSHTML.dll

Timestamp:        ThuJun 19 08:14:41 2014 (53A22B71)

CheckSum:        010838FF

ImageSize:       01083000

File version:     11.0.9600.17207

Product version:  11.0.9600.17207

File flags:       0 (Mask3F)

File OS:         40004 NT Win32

File type:        2.0 Dll

File date:       00000000.00000000

Translations:     0409.04b0

CompanyName:      MicrosoftCorporation

ProductName:      InternetExplorer

InternalName:     MSHTML

OriginalFilename:MSHTML.DLL

ProductVersion:   11.00.9600.17207

FileVersion:      11.00.9600.17207(winblue_gdr_escrow.140618-1157)

FileDescription:  Microsoft (R) HTML Viewer

LegalCopyright:   ? Microsoft Corporation. Allrights reserved.

0:040> !address63d70000

Usage:                 Image

Allocation Base:       63d70000

Base Address:           63d70000

End Address:           63d71000

Region Size:           00001000

Type:                  01000000  MEM_IMAGE

State:                 00001000   MEM_COMMIT

Protect:               00000040   PAGE_EXECUTE_READWRITE

More info:             lmv m MSHTML

More info:             !lmi MSHTML

More info:             ln 0x63d70000

问题非常明显吧！

有源码，改动也非常easy啦，一句代码的事情，把它的原始属性通过VirtualProtect恢复就可以。

改动完之后。大家能够再调试看看，是不是属性变成了PAGE_READONLY。留给大家去尝试吧。

參考文档

[1] Detours http://research.microsoft.com/en-us/projects/detours/

时间： 2024-08-08 22:09:58

Detours改动段属性漏洞的相关文章

Detours修改段属性漏洞

v\:* {behavior:url(#default#VML);} o\:* {behavior:url(#default#VML);} w\:* {behavior:url(#default#VML);} .shape {behavior:url(#default#VML);}/* Style Definitions */ table.MsoNormalTable {mso-style-name:普通表格; mso-tstyle-rowband-size:0; mso-tstyle-colb

如何在Sql2008中获取表字段属性和注释?

如何在Sql2008中获取表字段属性和注释? select b.[value] from sys.columns a left join sys.extended_properties b on a.object_id=b.major_id and a.column_id=b.minor_id inner join sysobjects c on a.column_id=c.id and a.[name]='列名' and c.[name]='表名' SELECT 表名=case when a.

linux内核段属性机制【转】

本文转载自:https://github.com/TongxinV/oneBook/issues/9 linux内核段属性机制 以subsys_initcall和module_init为例 subsys_initcall是一个宏,定义在linux/init.h中.经过对这个宏进行展开,发现这个宏的功能是:将其声明的函数放到一个特定的段:.initcall4.init subsys_initcall __define_initcall("4",fn,4) 以下文件在/include/li

Oracle获取干净的建表DDL语句，不含其它存储、表空间、段属性

早上一个同事资讯怎么获取到建表语句而且是不带存储那种SQL.Oracle自己提供了一个函数DBMS_METADATA.GET_DDL,但是获取到的建表语句含有存储.表空间.以及一些其他段的属性.如图: 看到这个获取到的ddl语句,想通过利用Oracle函数来截取的方式获取建表语句. 思路为:1.通过get_ddl获取建表语句 abc2.将abc中的pctfree'替换成';'3.计算';'的位置4.用substr来截取abc,从开头到';'的长度 SQL如下: SELECT SUBSTR(REP

数据表字段属性查询

---查询数据库所有表名 select id,name from sysobjects where xtype='u' order by name ---查询表的所有字段属性 select   *  from   syscolumns   where   id=object_id(N'FMS_PayApply') ---查询表字段名,类型,长度,默认值,是否允许为空 select column_name,data_type,CHARACTER_MAXIMUM_LENGTH, COLUMN_DEF

mysql修改表字段属性类型

例如: 修改表expert_info中的字段birth,允许其为空 >alter table expert_info change birth birth varchar(20) null; 例如:修改表user10中的字段test,不能为空,默认为123ALTER TABLE user10 MODIFY test CHAR(32) NOT NULL DEFAULT '123';

[原创]K8_C段旁注工具6.0 新增SMB漏洞扫描

工具: K8_C段旁注工具6.0_0510[K.8]编译: 自己查壳组织: K8搞基大队[K8team]作者: K8拉登哥哥博客: http://qqhack8.blog.163.com发布: 2017/5/24 13:25:54 简介: 图片: 功能: 更新历史: 6.0 20170510 [+] C段SMB漏洞扫描(探测系统版本) [+] 批量操作-文本比较提取新增内容 [+] 旁注查询-支持解析IPV6地址 [+] 旁注查询-完善全部导入导出功能 6.0 20170120 [+] 批量操作

X86段机制

X86保护模式下使用分段管理机制,将内存划分成以起始地址和长度限制这两个二维参数表示的内存块,这些内存块就称之为段(Segment). 关键字:段描述符:描述段的属性. 段描述表:包含多个段描述符的数组. 段选择子:用于定位段描述表中表项的索引. 段描述符有三个参数:段基地址(Base Address).段界限(Limit)和段属性(Attributes).CPU将逻辑地址(段选择子+段偏移)中段选择子的内容作为索引找到段描述符表中相应的段描述符,根据段描述符中段基地址+段偏移得到线性地址(Li

mysql 加入列，改动列，删除列。

MySQL 加入列,改动列,删除列 ALTER TABLE:加入,改动,删除表的列,约束等表的定义. 查看列:desc 表名; 改动表名:alter table t_book rename to bbb; 加入列:alter table 表名 add column 列名 varchar(30); 删除列:alter table 表名 drop column 列名; 改动列名MySQL: alter table bbb change nnnnn hh int; 改动列名SQLServer:exec