沙箱逃逸-来自安全软件的鼎力相助.pdf

沙箱逃逸： 来自安全软件的鼎力相助 丁川达 腾讯玄武实验室 关于演讲者 • 曾经从事软件开发工作 • 基于 Chromium 的浏览器开发，移动浏览器开发 • 2014 年加入腾讯 • 玄武实验室专注于研究真实世界的安全问题 安全软件指的是…… • 名字里带“安全”字样的 • Internet Security • Total Security • Maximum Security • … • 有显著安全影响的软件 在AV-Test列出的杀毒软件里… 55% 有漏洞 数据来自 2015 年 12 月 Home User Product Test 中列出的产品 Windows 上的沙箱 • 早期原型可能来自 HIPS 软件 • 例如 System Saf ety Monitor （还有人记得么？） • 两大流派 • 基于内核钩子，例如 Sandboxie • 应用层沙箱，依赖于系统访问控制 Windows 上的应用层沙箱 • 最早见于 Internet Explorer 7 保护模式 • David LeBlanc 在 Practical Windows Sandboxing 中 进行了详细介绍 • 后来被 Google Chrome 使用 • 现在在 Microsof t Off ice, Adobe Reader 等软件中 大量使用 沙箱相关的 API 支持 Windows Windows Windows XP Windows Windows 8 Windows 10 NT 2000 Vista •Restricted •AppContainer •Silo Token •Process •Token •Job Object •Integrity Level •SAFER Mitigation Options 一个常见的应用层沙箱实现 • Restricted Token • 限制对安全对象的访问 • Job Object • 限制进程数，Win32k 相关的功能 • 独立的桌面、窗口站 • 限制窗口消息、窗口钩子、键盘钩子 • Low Integrity Level • 又一层对安全对象的访问限制 • 给新创建的对象加上标签 • AppContainer • 限制对象名称空间 • 限制网络访问 各种作死姿势 花样作死 “我们需要聊聊”式作死 • 高权限组件和低权限组件 • 它们需要交流信息 • 但却不知道正确的方式 • 作死 BitDef ender Total Security • 几乎所有内核对象都设置了 ALL APPLICATION PACKAGES ACE • 命名管道 \\.\pipe\VSSERV 没有任何安全措施 struct message { int unknown [3]; int control_code; int total