微軟將修復(fù)谷歌工程師發(fā)現(xiàn)的新bug類

Windows 10 19H1是Windows操作系統(tǒng)的下一個主要版本，它將包括微軟所謂的“新bug類”的一系列修復(fù)，這是一名谷歌安全工程師發(fā)現(xiàn)的。

這些補(bǔ)丁不僅修復(fù)了一些Windows內(nèi)核代碼，以防止?jié)撛诘墓?，而且還標(biāo)志著谷歌和微軟安全團(tuán)隊近兩年合作的結(jié)束，這本身就是一個罕見的事件。

這一切都始于2017年，當(dāng)時谷歌項目零精英漏洞追蹤小組的安全研究員詹姆斯·福肖發(fā)現(xiàn)了一種攻擊Windows系統(tǒng)的新方法。

Froshaw發(fā)現(xiàn)，在Windows系統(tǒng)上運行的具有正常權(quán)限(用戶模式)的惡意應(yīng)用程序可以訪問本地驅(qū)動程序和Windows I/O管理器(一個促進(jìn)驅(qū)動程序和Windows內(nèi)核之間通信的子系統(tǒng))，從而運行具有最高Windows特權(quán)的惡意命令(內(nèi)核模式)。

福肖發(fā)現(xiàn)了一種新穎的執(zhí)行提升特權(quán)(EoP)攻擊的方法，這是以前沒有記錄的。

盡管發(fā)現(xiàn)了一些安全研究人員后來稱之為“整潔”的漏洞，福肖最終還是因為無法復(fù)制成功的攻擊而碰壁。

原因是Forshaw并不了解Windows I/O管理器子系統(tǒng)的工作原理，也不知道如何將驅(qū)動程序的“啟動程序”函數(shù)和內(nèi)核的“接收程序”函數(shù)結(jié)合起來進(jìn)行完整的攻擊(見下圖)。

為了解決這個問題，福肖聯(lián)系了唯一能提供幫助的人——微軟的工程師團(tuán)隊。

Forshaw說:“這導(dǎo)致了在雷德蒙德(Redmond)舉行的Bluehat 2017(安全會議)上，微軟與多個團(tuán)隊開會，計劃利用他們的源代碼訪問來發(fā)現(xiàn)Windows內(nèi)核和驅(qū)動程序代碼庫中此類bug的程度?！?/p>

微軟從福肖中斷的地方繼承了他的研究，并追蹤了哪些是易受攻擊的，哪些是需要修補(bǔ)的。

在研究過程中，微軟團(tuán)隊發(fā)現(xiàn)，自從Windows XP發(fā)布后，所有的Windows版本都容易受到Forshaw的EoP攻擊程序的攻擊。

微軟工程師史蒂文亨特(Steven Hunter)領(lǐng)導(dǎo)了這次行動，他說，Windows代碼共有11個潛在的發(fā)起者和16個潛在的接收者，可以被濫用來發(fā)動攻擊。

好消息是，這11個啟動程序和16個接收程序都不能相互連接，從而防止攻擊濫用Windows安裝附帶的一個默認(rèn)驅(qū)動程序。

壞消息——自定義驅(qū)動程序可能會促進(jìn)Windows團(tuán)隊在研究期間無法調(diào)查的攻擊。

出于這個原因，下一個Windows 10版本將發(fā)布一些補(bǔ)丁，計劃在幾周后發(fā)布，以防止任何潛在的攻擊。

Hunter說:“大多數(shù)修復(fù)程序?qū)⒃赪indows 10 19H1中發(fā)布，有一些將推遲進(jìn)行進(jìn)一步的兼容性測試，或者因為它們所在的組件在默認(rèn)情況下是不支持和禁用的?！薄拔覀兌卮偎袃?nèi)核驅(qū)動程序開發(fā)人員檢查他們的代碼，以確保正確處理IRP請求和防御使用文件開放api?！?/p>

更多關(guān)于這種新的EoP攻擊方法的技術(shù)細(xì)節(jié)可以在Forshaw和Hunter的報告中找到。

微軟安全響應(yīng)中心(MSRC)和谷歌的Project Zero團(tuán)隊之間的合作也讓infosec社區(qū)中的許多人感到驚訝，因為在過去的某個時候，這兩個團(tuán)隊有過小的爭執(zhí)，并且公開披露彼此產(chǎn)品中未修復(fù)的缺陷。

微軟和Project Zero的人可能偶爾會有一些抱怨，但這是一種為了更大的利益而經(jīng)常發(fā)生的協(xié)作。pic.twitter.com/HmGQUX1OfF

@tiraniddo和@_strohu在尋找一類Windows內(nèi)核驅(qū)動程序vulns。這就是當(dāng)您將邏輯缺陷發(fā)現(xiàn)專家、MSRC安全工程師和強(qiáng)大的靜態(tài)分析工具(如Semmle:)組合在一起時所發(fā)生的事情

這種類型的合作發(fā)生在MS &之間的許多層次競爭對手。那些由avg員工驅(qū)動的游戲通常都是非常積極的。:)