WindowsXP核心驱动AFD.sys本地权限提升漏洞分析 .pdfVIP

文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持.

WindowsXP核心驱动AFD.sys本地权限提升漏洞分析

(ms08066)

创建时间：2008-10-15

文章属性：原创

文章提交：whitecell(sinister_at_whitecell.org)

Author:Polymorphours

Email:

Homepage:

Date:2008-10-15

漏洞模块:AFD.sys

漏洞类型:任意内核地址可写

这个漏洞又是一个可以写任意内核地址的漏洞，产生这个漏洞的原因是ProbeForWrite函数

因为检查长度为0的Buffer被绕过。下面看下具体漏洞的情况，这个漏洞出现在函数

AfdGetRemoteAddress中，当传入的第7个参数为0的时候，ProbeForWrite的检查形同虚设了。

注意第六个参数PVOIDAddress,它是由Irp-UserBuffer传入的，而SIZE_TLength为

OutputBufferLength，那么如果在DeviceIoControl中的OutputBuffer设置成内核需要写

的地址，OutputBufferLength设置为0，并设置正确的IoDeviceCode即可触发这个漏洞.

PAGE:00017D17;int__stdcallAfdGetRemoteAddress(int,int,char,int,int,PVOIDAddress,SIZE_T

Length,int)

PAGE:00017D17__stdcallAfdGetRemoteAddress(x,x,x,x,x,x,x,x)procnear

PAGE:00017D17

;DATAXREF:.data:0001230Co

PAGE:00017D17

PAGE:00017D17var_24=dwordptr-24h

PAGE:00017D17var_20=dwordptr-20h

PAGE:00017D17var_1C=dwordptr-1Ch

PAGE:00017D17ms_exc=CPPEH_RECORDptr-18h

PAGE:00017D17arg_0=dwordptr8

PAGE:00017D17arg_8=byteptr10h

PAGE:00017D17Address=dwordptr1Ch

PAGE:00017D17Length=dwordptr20h

PAGE:00017D17arg_1C=dwordptr24h

PAGE:00017D17

PAGE:00017D17push14h

PAGE:00017D19pushoffsetunk_11B00

PAGE:00017D1Ecall__SEH_prolog

1

文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持.

PAGE:00017D1E

PAGE:00017D23moveax,[ebp+arg_0]

PAGE:00017D26movebx,[eax+0Ch]

PAGE:00017D29