💃🏼 👸🏽 🎅🏻 विंडोज अधिसूचना सुविधा: सबसे अनिर्दिष्ट हमले की सतह 🌖 🧑🏾‍🤝‍🧑🏽 ⚪️

कट के तहत ब्लैकहैट 2018 सम्मेलन में एलेक्स आयनोस्कू और गैब्रिएल वियाला द्वारा प्रस्तुत "द विंडोज नोटिफिकेशन फैसिलिटी: द मोस्ट अनडाइनेटेड कर्नेल अटैक सरफेस स्ट्रेट " का अनुवाद है ।

प्रकाशन में क्या चर्चा की जाएगी

विंडोज अधिसूचना सुविधा (WNF) क्या है

विंडोज अधिसूचना सुविधा एक अधिसूचना तंत्र है (कर्नेल और उपयोगकर्ता मोड में दोनों उपलब्ध है), जो एक प्रकाशक-ग्राहक मॉडल ( पबस , प्रकाशक / सब्सक्राइबर) पर बनाया गया है। तंत्र को विंडोज 8 में जोड़ा गया था: आंशिक रूप से ओएस में कुछ लंबे समय तक डिजाइन की सीमाओं को हल करने के लिए, लेकिन यह भी आईओएस / एंड्रॉइड के समान पुश-नोटिफिकेशन के कार्यान्वयन के लिए आधार के रूप में काम करना था।

इसकी प्रमुख विशेषता यह है कि यह एक अंधा (ज्यादातर पंजीकरण के बिना) मॉडल है जो बिना सदस्यता और प्रकाशन के लिए अनुमति देता है। इसका तात्पर्य यह है कि कोई उपभोक्ता अपने स्रोत द्वारा अधिसूचना प्रकाशित होने से पहले ही अधिसूचना की सदस्यता ले सकता है। और यह कि घटनाओं को उत्पन्न करने वाले को पहले से नोटिस को "रजिस्टर" करने की आवश्यकता नहीं है।

इसके अतिरिक्त, तंत्र समर्थन करता है:

स्थायी और अस्थायी सूचनाएं
अद्वितीय पहचानकर्ताओं को नीरसता से बढ़ा रहा है
प्रत्येक घटना के लिए पेलोड बफर (4 किलोबाइट तक)
थ्रेड-पूल अधिसूचना मॉडल समूह-आधारित क्रमांकन के साथ
एक गुंजाइश-आधारित सुरक्षा मॉडल जो मानक डीएसीएल / एसएसीएल तंत्र के माध्यम से सुरक्षा विवरणकों को लागू करता है

क्यों WNF दिखाई दिया

एक विहित उदाहरण पर विचार करें: एक ड्राइवर है जो जानना चाहता है कि पढ़ने और लिखने की पहुंच वाला एक वॉल्यूम जुड़ा हुआ है। इसके बारे में आपको सूचित करने के लिए, Autochk (विंडोज पर fsck का एक एनालॉग) VolumesSafeForWriteAccess नामक एक घटना की रिपोर्ट करता है। लेकिन किसी घटना की रिपोर्ट करने के लिए, आपको पहले इवेंट ऑब्जेक्ट बनाना होगा।

हमें यह भी जानना होगा कि ऑटोचॉक पहले से ही वॉल्यूम पर काम कर रहा है, लेकिन अभी तक उस घटना का संकेत नहीं दिया है जिसका हम इंतजार कर रहे हैं। खराब समाधान: नींद के साथ एक लूप में बैठो (), एक घटना की उपस्थिति के लिए जांच कर रहा है, और जब घटना बनाई जाती है - इसके लिए प्रतीक्षा करें।

लेकिन विंडोज एप्लिकेशन से बाहर निकलने के बाद, इसके सभी विवरण बंद हो गए हैं। और जब वस्तु का कोई विवरण नहीं होता है, तो वह नष्ट हो जाती है। तो यह आयोजन कौन करेगा?

WNF के बिना, समाधान किसी भी ड्राइवरों को लोड करने से पहले एक घटना उत्पन्न करने के लिए OS कर्नेल के लिए है, और Autochk के लिए इसे एक उपभोक्ता की तरह खोलना होगा, लेकिन इंतजार करने के बजाय, इस घटना का संकेत देना चाहिए।

राज्य का नाम डब्ल्यूएनएफ

डब्ल्यूएनएफ दुनिया में, एक राज्य का नाम 64-बिट संख्या है। लेकिन एक चाल है - वास्तव में यह एक कोडित संरचना है। राज्य के नाम में एक संस्करण , एक जीवनकाल , एक गुंजाइश , एक डेटा दृढ़ता झंडा और एक अद्वितीय सीरियल नंबर है ।

typedef struct _WNF_STATE_NAME_INTERNAL { ULONG64 Version:4; ULONG64 NameLifetime:2; ULONG64 DataScope:4; ULONG64 PermanentData:1; ULONG64 Unique:53; } WNF_STATE_NAME_INTERNAL, *PWNF_STATE_NAME_INTERNAL;

लेकिन यह डेटा केवल तभी उपलब्ध होगा जब हम एक जादू स्थिरांक के साथ 64-बिट संख्या का समर्थन करते हैं:

 #define WNF_STATE_KEY 0x41C64E6DA3BC0074

राज्य के नाम का जीवनकाल

WNF राज्य का नाम (WNF_STATE_NAME_LIFETIME) हो सकता है:

अच्छी तरह से ज्ञात (अच्छी तरह से जाना जाता है)
नियमित रूप से (स्थायी)
स्थिर (लगातार)
अनंतिम (अस्थायी)

पहले तीन रजिस्ट्री में संबंधित कुंजी के साथ जुड़े हुए हैं, जहां स्थिति की जानकारी संग्रहीत की जाएगी:

जाने-माने नाम HKLM \ SYSTEM \ CurrentControlSet \ Control \ Notifications में रहते हैं
लगातार नाम HKLM \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Notifications में रहते हैं
लगातार नाम HKLM \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ VolatileNotifications में रहते हैं

प्रसिद्ध नामों की अपनी ख़ासियत है: वे पंजीकृत नहीं हो सकते। सिस्टम बूट के समय ऐसा नाम पहले से ही रजिस्ट्री में प्रस्तुत किया जाना चाहिए। लगातार और लगातार नामों के लिए उन्हें बनाने के लिए SeCreatePermanentPrivilege विशेषाधिकार (अन्य वैश्विक वस्तुओं की तरह) की आवश्यकता होती है। लगातार नाम रजिस्ट्रार प्रक्रिया से बाहर रहते हैं, जबकि लगातार नाम एक सिस्टम रिबूट बच जाते हैं।

डेटा का स्कोप

डेटा स्कोप WNF स्थिति नाम के आसपास की पहली सुरक्षा सीमा को परिभाषित करता है; यह निर्धारित करता है कि कौन इसे देखता है और इसकी पहुंच है। राज्य के नाम का दायरा हो सकता है:

प्रणाली
कार
उपयोगकर्ता सत्र
उपयोगकर्ता
प्रक्रिया

सुरक्षा सीमाओं को प्रदान करने के अलावा, डब्ल्यूएनएफ स्कोप का उपयोग एक ही नाम के लिए डेटा के विभिन्न उदाहरण प्रदान करने के लिए किया जा सकता है। कर्नेल (अन्य सुरक्षा तंत्र के साथ) राज्य एक्सेस चेक को बायपास करता है। TCB विशेषाधिकार WNF राज्य के नामों को क्रॉस-स्कोप एक्सेस की अनुमति देता है।

स्कोप "सिस्टम" और स्कोप "मशीन" ग्लोबल स्कोप हैं। उनके पास अपने स्वयं के पहचानकर्ता नहीं हैं (वे विभिन्न वैश्विक कंटेनरों का उपयोग करते हैं)। उपयोगकर्ता सत्र का दायरा सत्र पहचानकर्ता (सत्र आईडी) का उपयोग आईडी के रूप में करता है। एक विशिष्ट उपयोगकर्ता का दायरा इस उपयोगकर्ता के SID को पहचानकर्ता के रूप में उपयोग करता है। EPROCESS ऑब्जेक्ट का पता प्रोसेस स्कोप का पहचानकर्ता है।

अनुक्रम संख्या

विशिष्टता सुनिश्चित करने के लिए, प्रत्येक राज्य का नाम एक अद्वितीय 51-बिट अनुक्रम संख्या है। जाने-माने नामों में उनके सीरियल नंबर में 4-चरित्र वाला पारिवारिक टैग शामिल है, और शेष 21 बिट्स का उपयोग एक विशिष्ट पहचानकर्ता के रूप में किया जाता है। स्थायी नाम रजिस्ट्री मूल्य "SequenceNumber" के साथ अपने वेतन वृद्धि संख्या को संग्रहीत करते हैं। लगातार और अस्थायी नाम एक सामान्य वेतन वृद्धि काउंटर का उपयोग करते हैं, जो एक वैश्विक चर में स्थित है। यह डेटा प्रत्येक कंटेनर (प्रति-साइलो) के लिए अलग से संग्रहीत और संसाधित किया जाता है और PspHostSiloGlobals-> WnfSiloState में उपलब्ध है।

Microsoft के अंदर, प्रत्येक WNF नाम में एक "दोस्ताना" पहचानकर्ता होता है जो कोड में उपयोग किया जाता है, कभी-कभी इसे उसी नाम के साथ वैश्विक नामस्थान में संग्रहीत किया जाता है। उदाहरण के लिए, प्रतीक nt! WNF_BOOT_DIRTY_SHUTDOWN, जिसका मान 0x1589012fa3bc0875 है। जादू निरंतर WNF_STATE_KEY के साथ XOR के बाद हमें 0x544f4f4200000801 का मान मिलता है, जिसकी व्याख्या बिटवाइज़ के रूप में की जा सकती है:

 BOOT1, Well-Known Lifetime, System Scope, Version 1

WNF के साथ काम करने के लिए सिस्टम कॉल

कर्नेल सिस्टम कॉल आपको WNF राज्य नाम पंजीकृत करने और हटाने, WNF राज्य नाम डेटा प्रकाशित करने और प्राप्त करने की अनुमति देते हैं, और WNF से विभिन्न सूचनाएं भी प्राप्त करते हैं।

WNF स्थिति नाम पंजीकृत करें

जाने-माने नामों (जैसा कि पहले उल्लेख किया गया है) के अपवाद के साथ, WNF स्थिति नाम पंजीकृत किया जा सकता है, जबकि OS चल रहा है:

 NTSTATUS ZwCreateWnfStateName ( _Out_ PWNF_STATE_NAME StateName, _In_ WNF_STATE_NAME_LIFETIME NameLifetime, _In_ WNF_DATA_SCOPE DataScope, _In_ BOOLEAN PersistData, _In_opt_ PCWNF_TYPE_ID TypeId, //      _In_ ULONG MaximumStateSize, //   4-  _In_ PSECURITY_DESCRIPTOR SecurityDescriptor // **  );

एक सममित प्रणाली कॉल ZwDeleteWnfStateName है जिसके साथ आप पंजीकृत राज्य नाम (फिर से, प्रसिद्ध लोगों को छोड़कर) को हटा सकते हैं।

WNF स्थिति डेटा प्रकाशित करें

WNF स्थिति नाम डेटा को सेट या बदलने के लिए, आप ZwUpdateWnfStateData सिस्टम का उपयोग कर सकते हैं:

 NTSTATUS ZwUpdateWnfStateData ( _In_ PCWNF_STATE_NAME StateName, _In_reads_bytes_opt_(Length) const VOID* Buffer, _In_opt_ ULONG Length, //   ,   MaximumSize,    _In_opt_ PCWNF_TYPE_ID TypeId, //      _In_opt_ const PVOID ExplicitScope, //  , SID ,  (ID)  _In_ WNF_CHANGE_STAMP MatchingChangeStamp, //     _In_ LOGICAL CheckStamp //         );

WNF स्थिति नाम के डेटा को हटाने (साफ) करने के लिए ZwDeleteWnfStateData एक सममित प्रणाली कॉल है।

WNF स्टेटस डेटा प्राप्त करना

WNF स्थिति नाम डेटा का अनुरोध करने के लिए, निम्नलिखित सिस्टम कॉल का उपयोग किया जा सकता है (अधिकांश पैरामीटर अपडेट फ़ंक्शन के समान हैं):

 NTSTATUS ZwQueryWnfStateData ( _In_ PCWNF_STATE_NAME StateName, _In_opt_ PCWNF_TYPE_ID TypeId, _In_opt_ const VOID* ExplicitScope, _Out_ PWNF_CHANGE_STAMP ChangeStamp, _Out_writes_bytes_to_opt_(*BufferSize, *BufferSize) PVOID Buffer, _Inout_ PULONG BufferSize //   0,      );

असली ताकत इस तथ्य में निहित है कि अद्यतन और क्वेरी API फ़ंक्शन वास्तव में एक पंजीकृत WNF राज्य नाम की आवश्यकता नहीं है। और यदि नाम अस्थायी नहीं है (और कॉलिंग कोड में पर्याप्त विशेषाधिकार हैं), तो वास्तविक समय में नाम का एक उदाहरण पंजीकृत किया जा सकता है!

WNF सूचनाएं

अब तक, हमने मान लिया है कि उपभोक्ता को पता है कि डेटा अधिग्रहण फ़ंक्शन को कब कॉल करना है। लेकिन वहाँ भी पढ़ने को अवरुद्ध कर रहा है , जो एक अधिसूचना प्रणाली (जो कि सच्चे प्रकाशक-ग्राहक मॉडल के करीब है) का उपयोग करके काम करता है।

सबसे पहले, प्रक्रिया को ZwSetWnfProcessNotificationEvent फ़ंक्शन को कॉल करके घटना को पंजीकृत करना होगा। तब आपको ZwSubscribeWnfStateChange फ़ंक्शन को कॉल करने की आवश्यकता होती है, जो आउटपुट पर सदस्यता पहचानकर्ता को प्राप्त करने के लिए ईवेंट मास्क निर्दिष्ट करता है। घटनाएँ दो प्रकार की हो सकती हैं:

डेटा सूचनाएं:
- 0x01 - डेटा उपस्थिति
- 0x10 - नाम विनाश
मेटा मेटानोटाइज़ेशन
- 0x02 - डेटा सूचना प्राप्त करने वाले ग्राहक की उपस्थिति (डेटा सब्सक्राइबर)
- 0x04 - मेटा सूचनाएँ प्राप्त करने वाले ग्राहक की उपस्थिति (मेटा सब्सक्राइबर)
- 0x08 - डेटा सूचना और मेटा-नोटिफिकेशन प्राप्त करने वाले ग्राहक की उपस्थिति (जेनेरिक सब्सक्राइबर)

फिर आपको उस घटना की प्रतीक्षा करने की आवश्यकता है जो रिकॉर्ड की गई थी। और हर बार जब ईवेंट सिग्नल बन जाता है, तो आपको ZwGetCompleteWnfStateSubscription फ़ंक्शन को कॉल करना होगा, जो WNF_DELIVERY_DESCRIPTOR देता है।

लेकिन इन निम्न-स्तरीय API फ़ंक्शंस में एक समस्या है (इसकी जाँच के लिए गैबी के लिए धन्यवाद): प्रत्येक प्रक्रिया में केवल एक पंजीकृत घटना हो सकती है।

उच्च स्तरीय उपयोगकर्ता मोड API (ntdll)

जब सूचनाओं की बात आती है, तो चीजें जटिल हो जाती हैं, इसलिए ntdll.dll से rtl परत एक सरल इंटरफ़ेस प्रदान करती है:

 NTSTATUS RtlSubscribeWnfStateChangeNotification ( _Outptr_ PWNF_USER_SUBSCRIPTION* Subscription, _In_ WNF_STATE_NAME StateName, _In_ WNF_CHANGE_STAMP ChangeStamp, _In_ PWNF_USER_CALLBACK Callback, _In_opt_ PVOID CallbackContext, _In_opt_ PCWNF_TYPE_ID TypeId, _In_opt_ ULONG SerializationGroup, _In_opt_ ULONG Unknown );

वास्तव में, सिस्टम सेवाओं को सीधे कॉल करने की आवश्यकता नहीं है: बस एक ntdll.dll- चालित ईवेंट कतार का उपयोग करें।

पर्दे के पीछे, WNF_DELIVERY_DESCRIPTOR की सामग्री को कॉलबैक मापदंडों में परिवर्तित किया जाता है:

 typedef NTSTATUS (*PWNF_USER_CALLBACK) ( _In_ WNF_STATE_NAME StateName, _In_ WNF_CHANGE_STAMP ChangeStamp, _In_opt_ PWNF_TYPE_ID TypeId, _In_opt_ PVOID CallbackContext, _In_ PVOID Buffer, _In_ ULONG BufferSize);

प्रत्येक नई सदस्यता के लिए, एक प्रविष्टि बनाई जाती है, जिसे वैश्विक चर RtlpWnfProcessSubsults द्वारा इंगित सूची में रखा गया है। सूची WNF_NAME_SUBSCRIPTION फ़ील्ड में से एक पर बनाई गई है, जो LIST_ENTRY प्रकार की है। WNF_NAME_SUBSCRIPTION में से प्रत्येक में, कॉलबैक और संदर्भ के साथ WNF_USER_SUBSCRIPTION की सूची के आयोजन के लिए एक और LIST_ENTRY फ़ील्ड है।

उच्च स्तरीय कर्नेल स्तर API (पूर्व)

WNF कर्नेल मोड कोड के लिए लगभग समान फ़ंक्शन प्रदान करता है (जिसका उपयोग ड्राइवर से किया जा सकता है): दोनों निर्यात प्रणाली कॉल के माध्यम से और रनटाइम (EX लेयर) में उच्च-स्तरीय API फ़ंक्शन के माध्यम से।

ExSubscribeWnfStateChange फ़ंक्शन राज्य नाम, प्रकार मास्क और इनपुट के रूप में कॉलबैक फ़ंक्शन + संदर्भ के पते को स्वीकार करता है, और सदस्यता विवरणक लौटाता है। कॉलबैक फ़ंक्शन लक्ष्य नाम, ईवेंट मास्क, परिवर्तन लेबल प्राप्त करते हैं, लेकिन बफर या इसके आकार के नहीं।

पारित सदस्यता विवरणक के आधार पर ExQueryWnfStateData फ़ंक्शन, वर्तमान स्थिति डेटा को पढ़ता है। वास्तव में, प्रत्येक कॉलबैक सूचना से संबंधित डेटा प्राप्त करने के लिए ExQueryWnfStateData फ़ंक्शन को कॉल करता है।

कर्नेल मोड सदस्यता और उपयोगकर्ता मोड सदस्यता दोनों के लिए, WNF (सदस्यता को ट्रैक करने के लिए) WNF_SUBSCRIPTION संरचना का एक उदाहरण बनाता है। लेकिन उपयोगकर्ता मोड के लिए, कुछ फ़ील्ड नहीं भरे जाएंगे, उदाहरण के लिए कॉलबैक और संदर्भ, क्योंकि उपयोगकर्ता मोड के लिए, हैंडलर के पते ntdll.dll द्वारा संग्रहीत और संसाधित किए जाते हैं।

WNF डेटा संरचनाएँ

अनुवादक से : अगला भाग देखें।

WNF विश्लेषण उपयोगिताएँ

एक अनुवादक से : यहाँ यह फिर से याद करने लायक है कि प्रस्तुति का संचालन न केवल एलेक्स ने किया था, बल्कि गेब्रियल वेला ने भी किया था । विशेष रूप से, इसका प्राधिकरण नीचे वर्णित WnfCom मॉड्यूल से संबंधित है। इसके अलावा, गेब्रियल ने डब्ल्यूएनएफ की आंतरिक संरचनाओं का पर्याप्त विवरण में वर्णन किया (पिछले अनुभाग में चित्रण देखें)। इसकी अधिकांश स्लाइड, दुर्भाग्यवश, प्रस्तुति की पीडीएफ (मूल के रूप में) में अनुपस्थित हैं या शीर्षकों द्वारा विशेष रूप से संकेतित हैं। लेकिन:

यह उनके संयुक्त प्रदर्शन की रिकॉर्डिंग देखने के लिए एक उत्कृष्ट अवसर है: विंडोज अधिसूचना सुविधा: सबसे अहानिकारक कर्नेल हमला सतह के प्याज को छीलना ( फिर भी गैब्रिएल की शुरुआत ~ 19: 27)। वहाँ (डेटा संरचनाओं के अलावा) वहाँ एक कहानी होगी कि उन्होंने डिबगर एक्सटेंशन कैसे तय किया! Wnf (स्पॉइलर - NT इनसाइडर में वर्णित विधि का उपयोग करके - फिक्सिंग ब्रोकन डीबगर एक्सटेंशन )
गैब्रिएल का एक अलग अच्छा लेख है (विस्तृत, एक प्रस्तुति के रूप में नहीं) - विंडोज नोटिफिकेशन फैसिलिटी (डब्ल्यूएनएफ) के साथ खेलना , जिसे सभी रुचि के लिए पढ़ने के लिए भी अत्यधिक अनुशंसित किया जाता है।

और अनुवादक से : यदि कोई गैब्रिएल स्लाइड की सामग्री के साथ वर्तमान अनुवाद को पूरक करना चाहता है या भाषण के वीडियो के किसी भी हिस्से से शॉर्टहैंड के अनुवाद का विस्तार करना चाहता है - स्वागत है। बड़ी मात्रा में जोड़ने / बदलने की सुविधा के लिए, मैं अनुवाद स्रोत को गीथब (या किसी अन्य संस्करण नियंत्रण सर्वर) पर प्रकाशित कर सकता हूं।

WnfCom

WnfCom एक अजगर मॉड्यूल ( github स्रोत कोड ) है जो WNF के माध्यम से अंतर को दर्शाता है। मुख्य विशेषताएं:

आपको मौजूदा इंस्टेंस उदाहरणों से डेटा पढ़ने / लिखने की अनुमति देता है
आपको अस्थायी राज्य नाम ( सर्वर के रूप में) बनाने की अनुमति देता है
आपको एक क्लाइंट- साइड ऑब्जेक्ट का एक उदाहरण प्राप्त करने की अनुमति देता है जो किसी नाम के विशिष्ट उदाहरण को बदलने के बारे में सूचनाओं को संसाधित करेगा

उपयोग उदाहरण:

 >>> from wnfcomimport Wnfcom >>> wnfserver = Wnfcom() >>> wnfserver.CreateServer() [SERVER] StateNamecreated: 41c64e6da5559945 >>> wnfserver.Write(b"potatosoup") Encoded Name: 41c64e6da5559945, Clear Name: 6e99931 Version: 1, Permanent: No, Scope: Machine, Lifetime: Temporary, Unique: 56627 State update: 11 bytes written

 >>> from wnfcomimport Wnfcom >>> wnfclient = Wnfcom() >>> wnfclient.SetStateName("41c64e6da5559945") >>> wnfclient.Listen() [CLIENT] Event registered: 440 [CLIENT] Timestamp: 0x1 Size: 0xb Data:00000000: 70 6F 74 61 74 6F 20 73 6F 75 70 potato soup

WnfDump

WnfDump C. में लिखी एक कमांड लाइन उपयोगिता है। निष्पादन योग्य फ़ाइल को आवश्यक बिट गहराई के उपनिर्देशिका का चयन करके https://github.com/ionescu007/wnfun पर पाया जा सकता है। उपयोगिता का उपयोग डब्ल्यूएनएफ राज्य के नामों के बारे में जानकारी खोजने के लिए किया जा सकता है:

-d ( D ump) रजिस्ट्री-आधारित गणन का उपयोग करके सभी WNF राज्य नामों को डंप करें। इसे विकल्पों के साथ पूरक किया जा सकता है:
- -v ( V erbose) एक वर्बोज़ आउटपुट जिसमें WNF राज्य डेटा का एक हेक्साडेसिमल डंप शामिल है;
- -s ( S ecurity) सुरक्षा डिस्क्रिप्टर - SDNL WNF स्थिति नाम के लिए अनुमतियों के तार।
-b ( बी रुट-बल) अस्थायी WNF राज्य के नामों की प्रत्यक्ष गणना (इस पर अधिक)
-i ( I nformation) एकल निर्दिष्ट WNF राज्य नाम के बारे में जानकारी प्रदर्शित करें
-r ( R ead) निर्दिष्ट WNF स्थिति नाम से डेटा पढ़ें
-w ( डब्ल्यू संस्कार) निर्दिष्ट WNF स्थिति नाम के लिए डेटा लिखें
-एन ( एन ओटीफिकेशन) निर्दिष्ट डब्ल्यूएनएफ स्थिति नाम के लिए एक अधिसूचना ग्राहक पंजीकृत करें (इसके बाद एज के लिए एक अधिक विशिष्ट उपयोग मामला होगा)

डब्ल्यूएनएफ हमले की सतह

यह खंड (अधिक सटीक रूप से, इसके उपखंड) संभावित हमलों और दिलचस्प संवेदनशील डब्ल्यूएनएफ डेटा पर चर्चा करेगा।

विशेषाधिकार डेटा प्रकटीकरण

सिस्टम में मौजूद हजारों डब्ल्यूएनएफ राज्य नामों को पढ़ना, कई पर ध्यान दिया जा सकता है, जिनमें से डेटा बहुत दिलचस्प दिखता है। उनमें से कुछ ऐसे थे जिनका डेटा संदिग्ध रूप से संकेत या अन्य विशेषाधिकार प्राप्त डेटा के समान है।

कई मशीनों पर खेलने के बाद, कुछ मामलों में यह एक गुच्छा, स्टैक और अन्य विशेषाधिकार प्राप्त जानकारी को खोजने के लिए संभव था, जो कि विशेषाधिकार प्राप्त सीमाओं में खुलासा किया गया था। बग / भेद्यता रिपोर्ट जुलाई में MSRC को सौंपी गई थी, लेकिन नवंबर में (प्रस्तुति के बाद) सही कर दी गई थी। उदाहरण के लिए: WNF_AUDC * ईवेंट के माध्यम से 4 किलोग्राम स्टैक लीक हुआ!

मुख्य समस्याएं वही हैं जो हमने पिछले अध्ययनों में j00ro, टैविसो और अन्य से देखी थीं। कुछ डब्ल्यूएनएफ राज्य के नामों में विभिन्न पैडिंग और / या संरेखण समस्याओं के साथ एन्कोडेड डेटा संरचनाएं हैं। कुछ मामलों में, बिन बुलाए मेमोरी लीक हो जाती है।
अनुवादक से : दस्तावेज़ के परिचयात्मक भाग का अनुवाद कर्नेट मेमोरी डिस्क्लोजर का पता लगाने में x86 एमुलेशन और मेट्ट्ज़ जर्कज़ी उर्फ j00ro से टैन्ट ट्रैकिंग ।

राज्य के नाम और अनुमतियों की खोज

पहला दृष्टिकोण सभी संभावित राज्य नामों की खोज करना था जिन्हें दुर्भावनापूर्ण तरीके से हेरफेर किया जा सकता था। अच्छी तरह से ज्ञात, स्थायी और लगातार नाम के लिए, रजिस्ट्री कुंजियों की गणना द्वारा गणना संभव है। फिर पाया मूल्यों की तुलना मैत्रीपूर्ण पहचानकर्ताओं के साथ की जा सकती है (कई जगह हैं जहां आप उन्हें ढूंढ सकते हैं :))

फिर हम रजिस्ट्री में सुरक्षा डिस्क्रिप्टर को भी देख सकते हैं (यह डेटा बफर में पहली बात है)। सुरक्षा विवरणक विहित नहीं है: इसका कोई स्वामी और समूह नहीं है, इसलिए यह तकनीकी रूप से मान्य नहीं है। लेकिन सुरक्षा डिस्क्रिप्टर को ठीक करने के लिए नकली मालिक और समूह को प्रतिस्थापित करने में कोई समस्या नहीं है।

अस्थायी राज्य नामों और उनकी अनुमतियों का पता लगाना

लेकिन अस्थायी नामों के साथ, ऊपर वर्णित चालें काम नहीं करेंगी: वे रजिस्ट्री में नहीं हैं। और केवल कर्नेल मेमोरी में उनके लिए डेटा संरचनाओं (! Wnf) को संग्रहीत करता है। लेकिन अस्थायी नाम वास्तव में उस कठिन शक्ति को कम करने के लिए नहीं हैं:

संस्करण हमेशा 1 मायने रखता है
लाइफटाइम हमेशा WnfTemporaryStateName मायने रखता है
स्थायी ध्वज को हमेशा साफ़ किया जाता है (अस्थायी राज्य का नाम स्थायी डेटा नहीं हो सकता है)
स्कोप (स्कोप) 4 में से एक मान ले सकता है

हाँ, लेकिन शेष अनुक्रम संख्या ५१ बिट्स है! वास्तव में ... लेकिन यह मत भूलो कि सीरियल नंबर नीरस रूप से बढ़ रहे हैं। और अस्थायी नामों के लिए, अनुक्रम को प्रत्येक बूट पर 0 पर रीसेट किया जाता है। परम्परागत रूप से, आप एक लाख सीरियल नंबरों की विंडो ले सकते हैं: एक लूप में, ZwQueryWnfStateNameInformation से अनुरोधित सूचना वर्ग WnfInfoStateNameExist (यह देखते हुए कि नाम का अस्तित्व भी इंगित करता है) को कॉल करके प्रत्येक नाम (0 से शुरू) के अस्तित्व की जाँच करें। यदि कोई अन्य मिलियन नाम मौजूद नहीं है, तो आप खोज को रोक सकते हैं।

अस्थायी नाम सुरक्षा डिस्क्रिप्टर (अन्य अस्थायी नाम डेटा की तरह) कर्नेल में संग्रहीत किए जाते हैं। इसलिए, उनसे अनुरोध करने का एकमात्र तरीका कर्नेल मोड डीबग करते समय Wnf एक्सटेंशन है। लेकिन हम कर सकते हैं:

डेटा पढ़ने की कोशिश करते समय पठन अनुमतियों के बारे में एक निष्कर्ष निकालें।
यह निष्कर्ष निकालने के लिए कि डेटा लिखने का प्रयास करके रिकॉर्डिंग की अनुमति है। लेकिन यह विचार करने योग्य है कि एक सफल लेखन यहां तक कि 0 बाइट डेटा को नष्ट कर देता है जो वास्तविक उपभोक्ता अभी तक प्राप्त करने में कामयाब नहीं हुआ है। और फिर, एक चाल है: हम उपयुक्त परिवर्तन स्टाम्प लागू कर सकते हैं। हम लेबल 0xFFFFFFFF के साथ लिखने का प्रयास कर रहे हैं: लेबल का उपयोग एक्सेस चेक के बाद किया जाता है, इसलिए, त्रुटि मान परिणाम लिखने की अनुमति के रिसाव के कारण होता है।

यह हमें पूर्ण सुरक्षा डिस्क्रिप्टर नहीं देता है, लेकिन विभिन्न विशेषाधिकारों के साथ कोड चलाकर हम विभिन्न सिस्टम खातों (लो IL / उपयोगकर्ता / व्यवस्थापक / प्रणाली) के लिए प्रतिबंधों का कुछ विचार प्राप्त कर सकते हैं।

सूचीबद्ध सदस्य

WNF_PROCESS_CONTEXT संरचना में, फ़ील्ड में से एक इस प्रक्रिया के सभी सदस्यता के सूची प्रमुख (LIST_ENTRY) है। प्रत्येक सदस्यता WNF_SUBSCRIPTION का एक अलग उदाहरण है।

कर्नेल-मोड ग्राहक मुख्य रूप से सिस्टम प्रक्रिया के स्वामित्व में हैं। हम WNF_SUBSCRIPTT सिस्टम प्रक्रिया में पंजीकृत हैंडलर और उनके मापदंडों को डंप करने के लिए सूची डिबगर कमांड का उपयोग कर सकते हैं। यह ध्यान देने योग्य है कि कुछ मामलों में, एक इवेंट एग्रीगेटर (CEA.SYS) का उपयोग किया जाता है, जो अपने संदर्भ संरचना में वास्तविक कॉलबैक पते को छुपाता है।

हम उपयोगकर्ता-मोड प्रक्रियाओं के लिए इस दृष्टिकोण को दोहरा सकते हैं, लेकिन कॉलबैक पता NULL होगा, क्योंकि ये उपयोगकर्ता-मोड ग्राहक हैं। इसलिए, हमें प्रक्रिया के उपयोगकर्ता स्थान में शामिल होने की आवश्यकता है, RtlpWnfProcessSubscos टेबल प्राप्त करें, और फिर WNF_USER_SUBSCRIPTION उदाहरणों की सूची को डंप करें, जिनमें से प्रत्येक में पहले से ही कॉलबैक पता है। दुर्भाग्य से, यह चरित्र स्थिर है, जिसका अर्थ है कि यह खुले पात्रों में नहीं है, लेकिन यह असंतुष्ट होकर पाया जा सकता है। और फिर, यह ध्यान देने योग्य है (CEA.SYS कर्नेल मोड के साथ सादृश्य द्वारा) कि उपयोगकर्ता-मोड हैंडलर में से कई इवेंट एग्रीगेटर (EventAggregation.dll) का उपयोग करते हैं, जो कॉलबैक को इसके संदर्भ में संग्रहीत करता है।

दिलचस्प और संवेदनशील डब्ल्यूएनएफ राज्य के नाम

यह खंड कुछ दिलचस्प उदाहरण प्रदान करेगा कि कैसे कुछ WNF राज्य के नाम सिस्टम की जानकारी को प्रकट करते हैं।

WNF का उपयोग करके सिस्टम की स्थिति और उपयोगकर्ता व्यवहार का निर्धारण करना

कुछ WNF पहचानकर्ताओं का उपयोग उस मशीन की स्थिति के बारे में जानकारी प्राप्त करने के लिए किया जा सकता है जो आपकी रुचि है:

WNF_WIFI_CONNECTION_STATUS - वायरलेस स्थिति
WNF_BLTH_BLUETOOTH_STATUS - इसी तरह, लेकिन ब्लूटूथ के लिए भी (WNF_TETH_TETHERING_STATE)
WNF_UBPM_POWER_SOURCE - पावर स्रोत (बैटरी या पावर एडॉप्टर) दिखाता है
WNF_SEB_BATTERY_LEVEL - में बैटरी स्तर होता है
विंडोज फोन पर WNF_CELL_ * - के बारे में जानकारी शामिल है: नेटवर्क, नंबर, सिग्नल की शक्ति, धार या 3G, ...

WNF :

WNF_AUDC_CAPTURE/RENDER — ( PID), /
WNF_TKBN_TOUCH_EVENT — ,
WNF_SEB_USER_PRESENT/WNF_SEB_USER_PRESENCE_CHANGED — Windows

API

, API , API , , /. WNF . , , WNF .

: WNF_SHEL_(DESKTOP)_APPLICATION_(STARTED/TERMINATED) modern- ( , ) DCOM, Win32. — ShellExecute: Explorer, cmd.exe, ...

, WNF API , :

WNF_SHEL_LOCKSCREEN_ACTIVE —
WNF_EDGE_LAST_NAVIGATED_HOST — URL, ( ) Edge

: Edge

WNF

WNF, . : WNF_FSRL_OPLOCK_BREAK — , (/), PID' !

WNF , . : WNF_SHEL_DDC_(WNS/SMS)_COMMAND – 4 , .

, WNF, . : WNF_CERT_FLUSH_CACHE_TRIGGER ( ), WNF_BOOT_MEMORY_PARTITIONS_RESTORE, WNF_RTDS_RPC_INTERFACE_TRIGGER_CHANGED, ...

WNF

WriteProcessMemory —
( ) —
(Atom) —
— , WM_COPYDATA DDE,
GUI — ( ) ,