DEF CON 33 - 7 Vulns in 7 Days - Breaking Bloatware Faster Than It’s Built - Leon 'leonjza' Jacobs

演講者Leon Jacobs是Orange Cyber Defense公司Sensost團隊的安全研究員。他在南非度假期間因遊戲後發現系統異常重啟而開始了這項研究。通過開發者工具發現本地運行著Web服務器與驅動中心網站通信，激發了對OEM臃腫軟件的安全審計。

華碩驅動中心採用本地TCP服務與瀏覽器通信。第一個漏洞源於源頭驗證——系統檢查HTTP請求的origin頭是否包含「.asis.com」。這個看似安全的字符串包含檢查實際上允許任何域名如attacker.asis.com通過驗證。第二個漏洞在於代碼簽名驗證的實現：軟件聲稱檢查簽名，但只驗證簽名屬性是否存在，而非實際有效性。攻擊者可複製現有簽名到惡意文件。通過結合這兩個漏洞，攻擊者在網站上添加JavaScript發送GET請求至本地服務的重啟或更新端點，觸發文件下載執行。若用戶是管理員，通過添加並行程序集清單可繞過UAC提示，直接以系統權限執行代碼。

微星中心使用不同架構——以系統權限運行的本地服務定期掃描插件文件夾加載DLL。研究中發現UpdateSDK命令存在兩個問題。其一是競態條件：複製可執行文件、驗證簽名、調度任務執行三步驟之間存在時間窗口。攻擊者同時啟動兩個線程，一個複製微星官方簽名程序作誘餌，一個複製惡意程序。驗證通過後，惡意程序已覆蓋誘餌文件，最終執行惡意程序卻通過了簽名驗證。其二是另一組件實現了相同功能卻完全跳過簽名驗證步驟，漏洞利用簡化至四行代碼。

宏碁控制中心的C#客戶端與本地C++服務通過命名管道通信。該服務以提升權限運行，命名管道卻被配置為FILE_ALL_ACCESS權限——任何用戶可連接並發送命令。該漏洞具有遠程可達性。通過逆向分析發現服務支持多命令，參數值113表示普通用戶執行，114表示系統權限執行。修改參數值即可實現權限提升。

雷蛇Synapse 4採用Electron框架，通過Node.js FFI調用本地C++ DLL。漏洞在於簽名驗證邏輯完全位於客戶端可控的DLL中——攻擊者直接修補驗證函數即可繞過。此外，其COM對象暴露LaunchProcess方法，通過PowerShell可直接調用該方法執行指定路徑程序且無驗證，實現一行命令權限提升。

信息披露過程暴露行業問題：華碩漏洞上報頁面使用WAF阻止PoC代碼導致溝通困難；雷蛇通過漏洞賞金計劃隱藏安全團隊，產生大量內部工單和溝通延遲；微星反應最為迅速和專業。所有漏洞已修復，相關代碼已發布至GitHub。研究還嘗試了惠普支持、技嘉控制中心、聯想Vantage等產品但未發現同級漏洞。