Black Hat USA 2000 - Advanced Windows NT/2K Security (II)
三句話摘要
Windows NT/2000 系統漏洞利用進化：從用戶空間到內核空間的權限提升技術與安全威脅 內核級漏洞利用技術的成熟與公開意味著 Windows 安全防禦正面臨從「可防禦」到「無法防禦」的根本轉變，因為任何依賴作業系統功能的防禦機制都會被其掌控者完全破壞。 用戶模式漏洞利用已進化但仍可控制。傳統緩衝區溢位受有效載荷大小限制，研究人員發展出級聯代碼技術——初始小 Shell（250 字節）只負責下載第二層大型有效載荷（可達 64KB），以此突破限制並執行複雜惡意程式碼，但這類攻擊在用戶空間執行，相對易於偵測。
重點整理
重點- 1
用戶模式漏洞利用已進化但仍可控制。傳統緩衝區溢位受有效載荷大小限制，研究人員發展出級聯代碼技術——初始小 Shell（250 字節）只負責下載第二層大型有效載荷（可達 64KB），以此突破限制並執行複雜惡意程式碼，但這類攻擊在用戶空間執行，相對易於偵測。
- 2
反向 Shell 技術巧妙利用網路非對稱性。企業防火牆通常限制入站但開放出站連線，反向 Shell 讓受害主機主動連線回攻擊者，完全繞過入站防護。更強大的是攻擊初始化與後續利用可以分離——例如透過中間受害機器（如有 Outlook 漏洞的主機）發動攻擊，真正目標被利用後才連線回攻擊者，大幅降低追蹤風險。
- 3
內核模式注入成為新的攻擊焦點且難以防禦。攻擊者可透過內核模式驅動程式、內核模式緩衝區溢位、設備物理記憶體存取、ZwSetSystemInformation API 等多種方式進入 Ring Zero。一旦掌控內核，信任計算基礎被完全破壞，攻擊者可修改作業系統關鍵功能（如 SC 存取檢查），使所有防禦工具失效。
- 4
防禦面臨根本困境：依賴被破壞的系統。Tripwire、個人防火牆、入侵偵測系統等所有防護工具都依賴作業系統提供準確資訊。一旦核心被篡改，這些工具只能被欺騙或無效化。真正偵測內核級攻擊需要繞過 OS 本身，這對現有安全架構提出無法克服的挑戰。
實用技巧與重點
乾貨- 關鍵參考文獻與先驅研究：
- Aleph One 《Smashing the Stack for Fun and Profit》（開創性論文）
- LFM 《Generation Break》
- Solar Designer — Win32 漏洞利用與緩衝區溢位研究（發布於 USENIX）
- Dildoog — 《Windows 緩衝區溢出漏洞的 Tire》（堆溢位相關）
- Barab 在 Phrack 上的逆向工程與漏洞程式編寫實踐指南
- Greg Hogland — 緩衝區溢位利用技術深度講解、SC 存取檢查修補研究
- 漏洞利用載荷技術演進：
- CGI 溢位漏洞：上傳惡意檔案至可執行腳本目錄，透過 HTTP 遠端觸發
- 訪客帳戶啟用漏洞：遠端啟用禁用帳戶、更改密碼、加入管理員群組
- 正向 Shell：產生 cmd.exe 並綁定指定連接埠
- 反向 Shell：受害主機連線至攻擊者機器取得命令殼層
- Netcat 整合：下載 netcat 二進位檔案並綁定連接埠
- 級聯代碼（多層有效載荷）：初始 250 字節 Shell 代碼，下載執行 64KB 第二層有效載荷，可進一步觸發第三層
- 有效載荷回收技術（突破網路隔離）：
- IIS/ISAPI 套接字利用：利用伺服器保持開啟的網路連線套接字進行通訊
- 記憶體掃描獲取套接字句柄：在已建立的合法連線基礎上執行惡意操作
- ICMP 通訊通道：鉤住 TCP/IP 棧的 ICMP 接收函數，將命令編碼於 ICMP 封包
- 即使出站連線完全被限制，已建立的合法連線仍可被濫用
- 防禦與偵測工具：
- CyberCop Monitor — 基於主機的入侵偵測系統
- DP Y（Data Protection） — 檔案系統一致性檢查
- Tripwire — 系統完整性監控（易被內核級攻擊破壞）
- JD Glazer 取證工具集 — Windows NT/2000 取證與分析
- 裝置驅動程式簽名驗證機制（部分緩解）
- 內核模式注入三大技術：
- 內核模式驅動程式 — 傳統的程式碼載入方式
- 內核模式緩衝區溢位 — 利用第三方或作業系統內核元件中的溢位漏洞注入程式碼
- 設備物理記憶體（Device Physical Memory）
- 直接存取實體記憶體，無需驅動程式
- 作業系統使用場景：圖形驅動程式初始化、PCI 位址空間讀取、16 位元 DOS 虛擬機器映射
- 風險：會破壞某些合法程式功能，移除存取會造成 OS 故障
- 從未被微軟作為後門設計
- ZwSetSystemInformation API
- 資訊類別：SystemLoadAndCallImage（API 號碼為 38）
- 功能：直接將任何可移植執行檔（PE）載入內核、建立 Ring Zero 執行緒並執行
- 執行上下文：呼叫此函數的進程的相同進程上下文
- 相關函數：SystemLoadImage、SystemUnloadImage（僅限 Ring Zero 內部使用）
- 內核級攻擊能力：
- 修改 SC 存取檢查（Greg Hogland 論文）：讓所有使用者對所有物件擁有完全存取權
- 高級鍵盤捕獲：鉤住鍵盤驅動程式，監控按鍵路由、視窗狀態推斷密碼框
- 隱祕資訊收集：系統級程序監控、跨進程高級資訊提取
- 微妙的資料破壞：逐筆記錄加密或複製、檔案系統一致性破壞
- 出站連線隱蔽化：鉤住 TCP/IP 棧，完全躲避個人防火牆與監控
結論
結論“內核級漏洞利用技術的成熟與公開意味著 Windows 安全防禦正面臨從「可防禦」到「無法防禦」的根本轉變，因為任何依賴作業系統功能的防禦機制都會被其掌控者完全破壞。”
完整解析
詳細Windows 安全漏洞利用正經歷一場從表層向深層的技術演進。講者 Joey 首先追溯了早期研究——許多人曾認為 Windows NT 和 Windows 2000 不會發生緩衝區溢位，但 Aleph One、Solar Designer 等先驅者已經證明這個假設完全錯誤。早期的漏洞利用相對簡單粗暴，主要目標是執行指令殼層或上傳檔案。例如 Solar Designer 的 CGI 溢位漏洞可以上傳惡意檔案到腳本目錄，之後透過 HTTP 請求遠端執行；另一個經典漏洞利用程式則能透過遠端攻擊啟用禁用的訪客帳戶、更改密碼、並將其直接加入管理員群組。
隨著防禦措施提升，攻擊技術也在進化。講者特別強調了反向 Shell 的戰略價值——這項技術長期存在但其優勢往往被低估。在典型企業網路中，防火牆通常嚴格限制入站連線（只允許特定服務連接埠），但出站流量卻大多不受限制。反向 Shell 正是巧妙利用這一非對稱性，讓受害主機主動連線回攻擊者的機器，完全繞過入站防護。更狡猾的是，攻擊的初始化階段與後續的惡意操作可以完全解耦——例如攻擊者無法直接存取某台伺服器，但網路上另一台有存取權的機器（如用於收信的 Outlook 主機）被利用後，可以對真正目標發動攻擊，而目標被成功利用後才會主動連線回攻擊者，這樣攻擊來源變得極其模糊。此外，基於主機的入侵偵測系統大多專注於監控入站連線的可疑活動，對出站連線卻視而不見，進一步強化了反向 Shell 的隱蔽性。
為了克服緩衝區溢位「載荷大小受限」的根本限制，研究人員發展出了級聯代碼（Cascading Shellcode）技術。在這種方法中，第一層 Shell 代碼極其簡小（如 250 字節，甚至是碎片化的），其唯一任務就是從遠端伺服器下載一個更大、更複雜的第二層有效載荷（可達 64KB），然後在當前進程或其他進程的地址空間中為其分配執行環境並跳轉執行。由於第二層代碼是被外部獲取的，它不受任何大小限制，也不需要處理緩衝區溢位的字元限制問題。一旦 64KB 的惡意程式碼執行，攻擊者幾乎可以做任何事情，甚至可以在其中觸發第三層更複雜的代碼注入。這種級聯技術的威力在於用極小的初始代碼解鎖了近乎無限的功能空間。
為了應對極端的網路隔離環境，攻擊者還開發了有效載荷回收技術。例如在 IIS 伺服器中，當 ISAPI DLL 擴充被呼叫時，網路套接字句柄會被傳遞給 DLL，且在請求完成後連線仍保持開啟。攻擊者可以掃描伺服器記憶體取得這個套接字句柄的指標，然後利用已建立的合法連線進行讀寫操作——這樣即使防火牆完全禁止新的出站連線，攻擊者也能透過現有的合法連線隧道傳輸指令和資料。結合級聯代碼技術，這創造了一個幾乎無法被網路防禦阻止的攻擊通道。
然而，所有這些用戶模式漏洞利用都有致命局限：它們在用戶地址空間執行，功能受限，且相對容易被現代防禦工具（如 Tripwire、入侵偵測系統）偵測。這驅使攻擊者的目光轉向一個更危險的領域——內核模式（Ring Zero）。一旦惡意程式碼進入內核，整個安全模型就被摧毀。Greg Hogland 的研究展示，僅需修補內核中的 SC 存取檢查函數，就能使所有使用者對所有物件獲得完全存取權——這意味著存取控制列表、檔案權限、一切防禦機制都形同虛設。
進入內核的方法遠不止傳統的驅動程式載入。講者揭示了三類替代技術。第一類是利用第三方應用程式或作業系統內核元件本身中的緩衝區溢位，直接在 Ring Zero 執行惡意代碼。第二類是透過設備物理記憶體（Device Physical Memory）——這是作業系統為了存取 PCI 位址空間和初始化圖形驅動程式而建立的記憶體對應區域，攻擊者可以透過它直接讀寫實體記憶體。第三類則是濫用 ZwSetSystemInformation API，特別是其 SystemLoadAndCallImage 資訊類別（API 號碼 38），它可以直接將任何可執行檔載入到內核中，建立一個 Ring Zero 執行緒並執行——相當於完全繞過所有防護機制的後門。
這些內核級技術的最可怕之處在於，它們對傳統安全防禦構成了根本性的威脅。Tripwire 這樣的完整性檢查工具依賴作業系統報告正確的檔案狀態，但當內核本身被篡改時，它只能被欺騙成報告謊言——「檔案系統沒有任何更動，一切正常」。個人防火牆依賴 TDI（Transport Driver Interface）層的攔截，但攻擊者可以直接鉤住 TCP/IP 棧的內部函數（如 ICMP 接收處理器），將其作為隱祕通訊通道，完全繞過防火牆的監控。基於主機的入侵偵測系統依賴能準確列舉執行程序和網路連線，但內核級惡意程式碼可以隱藏進程、隱蔽通訊，甚至實現無法被偵測的鍵盤捕獲（透過鉤住驅動程式層而非應用層）和逐筆記錄加密的資料竊取。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
