題目：windowsrpcdcom堆緩沖區(qū)溢出漏洞

1、題目：wi ndows rpc dcom 堆緩沖區(qū)溢出漏洞這節(jié)課來講一下 windows rpc dcom 堆緩沖區(qū)溢出漏洞的介紹受影響的軟件及系統(tǒng)：-Microsoft Win dows NT-Microsoft Win dows XP-Microsoft Win dows 2000-Microsoft Win dows 2003未受影響的軟件及系統(tǒng)：-Microsoft Win dows 98綜述：NSFOCU安全小組發(fā)現(xiàn)微軟Windows系統(tǒng)中RPC DCO接口中存在一個遠(yuǎn)程可利用的緩沖區(qū)溢出漏洞，遠(yuǎn)程攻擊者可能利用這個漏洞獲取 local system 權(quán)限。漏洞分析:遠(yuǎn)程過程調(diào)用（R

2、PC）是Windows操作系統(tǒng)使用的一個協(xié)議。 RPC提供一種內(nèi)部進(jìn)程通訊機(jī)制，允許在一臺電腦上運(yùn)行的程序無縫 的執(zhí)行遠(yuǎn)程系統(tǒng)中的代碼。協(xié)議本身源于開放軟件基金會（OSF）RPC協(xié)議，但添加了一些 Microsoft特定的擴(kuò)展。在Windows RPC在分布式組件對象模型（DCOM接口的處理中 存在一個緩沖區(qū)溢出漏洞。 Windows的DCO體現(xiàn)在處理一個參數(shù)的時 候沒有檢查長度。通過提交一個超長（數(shù)百字節(jié)）的文件名參數(shù)可以 導(dǎo)致堆溢出，從而使 RpcSS服務(wù)崩潰。精心構(gòu)造提交的數(shù)據(jù)就可以在系統(tǒng)上以本地系統(tǒng)權(quán)限運(yùn)行代碼。 攻擊者可以在系統(tǒng)中采取任何行為， 包括安裝程序， 竊取更改或刪除數(shù)據(jù)，或

3、以完全權(quán)限創(chuàng)建新帳號。此漏洞可以通過 135(TCP/UDP)、139、 445、 593 等端口發(fā)起 攻擊。注意，此漏洞與 MS03-026 中描述的漏洞并非同一個漏洞，MS03-026 (Q823980)的安全補(bǔ)丁并不能修復(fù)該漏洞。這個漏洞給出了一些變通的方法，大家參考一下 使用防火墻阻塞至少下列端口：135/UDP137/UDP138/UDP445/UDP135/TCP139/TCP445/TCP593/TCP在受影響主機(jī)禁用 COM Internet 服務(wù)和 RPC over HTTP* 如果因為某些原因確實(shí)不能阻塞上述端口，可以考慮暫時 禁用 DCO：M打開"控制面板 &q

4、uot;->" 管理工具 "->" 組件服務(wù) "。在"控制臺根目錄 "樹的"組件服務(wù) "->" 計算機(jī)"->" 、我的電腦"上單擊 右鍵，選 " 屬性" 。選取"默認(rèn)屬性"頁，取消"在此計算機(jī)上啟用分布式 COM的 復(fù)選框。點(diǎn)擊下面的 "確定"按鈕，并退出 "組件服務(wù) "。注意：禁用DCOM可能導(dǎo)致某些應(yīng)用程序運(yùn)行失敗和系統(tǒng)運(yùn)行異常。包括一些重要系統(tǒng)服務(wù)不能啟動，

5、我們不推薦此種方法。應(yīng)盡 量根據(jù)上面的介紹使用防火墻阻塞端口來確保系統(tǒng)安全。以上是這個漏洞的介紹和一些變通的方法，下面我們就來演示一 下關(guān)于這個漏洞的攻擊利用。第一步，還是要掃描（掃描是在我們攻擊之前的一個必需步驟） ， 掃描工具是 MsDcomscanner.exe,這個工具是專門掃描 rpc dcom 漏洞， 效果還可以。關(guān)于這個工具的介紹比較多，大家主要看一下上半部分的說明就 可以了3D: 2000 sp3JISDcodtScanneirMlSDconScanncr_exe1icrosoft <R> KBS24146 Scanner Uersion 1«00k024

6、9 for 80x86 Copipight <c> Hieposoft Corporation 2003- A11 rights resepued.Ifie purpose oF MSDcomScannerexe is to audit Uindows ss/stems over* the network f oi* KB824146 and KB823980patch compliance, HSDconkScAnnet*,exe allo usadmin 1st ra tors to quickly scan enterprise networ-ks for unpatched

7、 七epk;Ucsre = NSDconScanner.exe (/? J f/i ： input_Flie 1 (Zll ：losr_f ile J1 l/o ：out_f ilc 1 /r) Zt：tineout J t/u七arget .-.Q*b u -<1a. Jb c - d'i. J .!<. 1 a-h.c.d/mask hosthost .domain .coin loclhostTappets can take an# of the f olloinsr f orns:-IP addi'&ss-IP address range-IP ad

8、dress uith CIDR na&k- unqiialif led hostname-fullyqualif ied domain name check local machineTaFyecs can be specified on the Tlie F葉rt誦七 of the input Flie iscomnand line & in usep-specif ied. input flies one target per lineISDcomScarrne.exea log file in the current directov if the /Isuitcti i

9、s specified on 七)1£ command line_ <0therwise output is on 1 sent to the screen.> Tlie log f iles will take the f ot*m of KB824146Scan_¥¥HMDDa-s JCa-s . log, where VY is the tvjd dig-it ye&r, MM is the tno diit nontand DD is the tuo digitThe a-z 1 (a-z 1 will be appended to t

10、he log file name as additionalscans are conpleted on the siwe 皿帀y_ Please note that the log output uill onlv contain essential inf o mat ion _ To capture full inFormation > pie ase specif the /u switch for uerbose logging-SDconScanner.exe will create a list of uuLnenable systems Cunpatched as uel

11、l as those uith KB823980 installed? in the cuprent working directoiiJ- The log Files will take the form of Uulner-ablc_VVMMDDla-z 11a-zJ.Iowhere ¥? is the tuo dig it ijeai*, MM is the tvo dig it montlir and DD is the tuo digit dai>_ The aeJ(aeJ uill he appended to the log File nanc 刊w additi

12、onal ecans arc掃描的格式Msdcomscanner.exe單個主機(jī)ip/ 段ip地址。也可以是主機(jī)名或域名先來看一個打了補(bǔ)丁的系統(tǒng)的掃描結(jié)果4敘 C:WINDOWSsystem32kmd.exeK-> Scan completedStat istics:Patched with KB82414& &nd KB823980 .1Patched iHtli KB823980 0Un patched 0TOTAL HOSTS SCANNED 1DCOM Disabled 0Needs Inuestiation 0Connect ion refused &H

13、ost unreachable 0Other Errors * 0TOTAL HOSTS SKIPPED 0TOTAL ADDRESSES SCANNED D=2000 sp3MSDconScanner>F面這個是有漏洞的系統(tǒng)的掃描結(jié)果可以看出有什么不同吧從掃描的結(jié)果可以看到（主要是看我畫白線的地方），能夠掃描出這臺主機(jī)沒有更新，也就是說這個漏洞是存在的，沒有補(bǔ)上。那我們 就可以進(jìn)行溢出了溢出的工具是rpc2sbaa.exe但這款工具的溢出是比較有局限性 的，可以看一下下面的圖片，劃線的地方就是這個軟件可以溢出的系 統(tǒng)版本溢出的格式：Rpc2sbaa.exe 系統(tǒng)版本 對方ip地址上圖是溢出后的一個結(jié)果，但是從這個結(jié)果呢，看不到是成功還 是失敗，我們只有試一下，當(dāng)然在溢出成功之后會在對方的主機(jī)中建 立一個超級管理員的帳號IUSA密碼為k911，可以使用這個帳號建立 ipc連接，從而進(jìn)行進(jìn)一步的操作。來驗證一下效果，建立一下 ipc鏈接C:WINDOWSsystem32cmd,exeC; Dociiments and Sett ings Sfidmin istrator>nc七 use 憐記錄新的網(wǎng)絡(luò)連接。k態(tài) 本地遠(yuǎn)程網(wǎng)絡(luò)OKW19