Безопасное открытие дескриптора виртуального устройства

Сейчас на форуме: tyns777 (+4 невидимых)

Посл.ответ	Сообщение
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 21 августа 2010 09:38 · Личное сообщение · #1 Добрый день, товарищи. Вопрос у меня такого характера: пишу свой драйвер, общающийся с приложением через DeviceIoControl. Но, начитавшись статей про эскалацию привилегий, понял, что давать возможность другим программкам из третьего кольца открывать моё устройство и передавать ему запросы - не есть хорошо. Т.е. нужно как-то сделать, чтоб лишь моя программулина могла получить доступ к символической ссылке, созданной в драйвере. Но при этом меня не устраивает возможность открытия только одного дескриптора одновременно. Побродив по просторам инета, на сайте Старфорса нашёл инфу о том, что у их собственного драйвера была та же проблема, и когда-то давно это смогли использовать - написали эксплоит для их дровины. Но потом они, якобы, стали использовать крипто с открытым ключом, и другие программы не могли получить доступ к их драйверу. Но или я не допёр, или они так туманно выразились, но что-то не пойму, как эта схема тут может работать? Даже если для шифрования запросов и используется открытый ключ, то внутри дров должен юзать закрытый, значит путём простого реверсинга можно выудить оба ключа. Или же всё-таки есть способ, кто что думает? ----- Stuck to the plan, always think that we would stand up, never ran.

Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 21 августа 2010 11:13 · Личное сообщение · #2 Генери рандомный линк да и всё. Или рандомный ключ, который проверяется перед всей работой. А ещё лучше пиши правильно дрова, чтобы не бояться того, что другие откроют. От активного аналитика, который в состоянии разревёрсить всё приложение и подделать на своей машине, не спасёт ничего. Сначала модель злоумышленника прикинь.
Coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 21 августа 2010 12:31 · Личное сообщение · #3 Но, начитавшись статей про эскалацию привилегий, понял, что давать возможность другим программкам из третьего кольца открывать моё устройство и передавать ему запросы - не есть хорошо. Т.е. нужно как-то сделать, чтоб лишь моя программулина могла получить доступ к символической ссылке, созданной в драйвере. Можно и из ядра общаться, создать еще один драйвер и через него открывать символьную ссылку через ZwDeviceIoControl() ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 21 августа 2010 13:09 · Личное сообщение · #4 Ты предлагаешь юзать 0дей сплоит для повышения привилегий из драйвера? Нужная штука.
ntldr Ранг: 369.8 (мудрец), 400thx Активность: 0.39↘0 Статус: Участник	Создано: 21 августа 2010 13:10 · Личное сообщение · #5 Если виртуальное устройство выполняет какие-либо функции, которые должны быть доступны только администратору, то будет правильно выставить соответствующие атрибуты безопасности на устройство. И конечно же в драйвере все данные приходящие из юзермода должны проверяться на правильность, чтобы передавая мусор невозможно было вызвать бсод. Пример установки атрибутов безопасности: Code: int dc_set_default_security(HANDLE h_object) { SID_IDENTIFIER_AUTHORITY autort = SECURITY_NT_AUTHORITY; PSID adm_sid; PSID sys_sid; PACL sys_acl; ULONG dacl_sz; NTSTATUS status; SECURITY_DESCRIPTOR sc_desc; int resl; adm_sid = NULL; sys_sid = NULL; sys_acl = NULL; do { adm_sid = mm_alloc(RtlLengthRequiredSid(2), 0); sys_sid = mm_alloc(RtlLengthRequiredSid(1), 0); if ( (adm_sid == NULL) \|\| (sys_sid == NULL) ) { resl = ST_NOMEM; break; } RtlInitializeSid(adm_sid, &autort, 2); RtlInitializeSid(sys_sid, &autort, 1); RtlSubAuthoritySid(adm_sid, 0)[0] = SECURITY_BUILTIN_DOMAIN_RID; RtlSubAuthoritySid(adm_sid, 1)[0] = DOMAIN_ALIAS_RID_ADMINS; RtlSubAuthoritySid(sys_sid, 0)[0] = SECURITY_LOCAL_SYSTEM_RID; dacl_sz = sizeof(ACL) + (2 * sizeof(ACCESS_ALLOWED_ACE)) + SeLengthSid(adm_sid) + SeLengthSid(sys_sid) + 8; if ( (sys_acl = mm_alloc(dacl_sz, 0)) == NULL) { resl = ST_NOMEM; break; } status = RtlCreateAcl(sys_acl, dacl_sz, ACL_REVISION); if (NT_SUCCESS(status) == FALSE) { resl = ST_ERROR; break; } status = RtlAddAccessAllowedAce( sys_acl, ACL_REVISION, GENERIC_ALL, sys_sid); if (NT_SUCCESS(status) == FALSE) { resl = ST_ERROR; break; } status = RtlAddAccessAllowedAce( sys_acl, ACL_REVISION, GENERIC_ALL, adm_sid); if (NT_SUCCESS(status) == FALSE) { resl = ST_ERROR; break; } status = RtlCreateSecurityDescriptor(&sc_desc, SECURITY_DESCRIPTOR_REVISION1); if (NT_SUCCESS(status) == FALSE) { resl = ST_ERROR; break; } status = RtlSetDaclSecurityDescriptor(&sc_desc, TRUE, sys_acl, FALSE); if (NT_SUCCESS(status) == FALSE) { resl = ST_ERROR; break; } status = ZwSetSecurityObject(h_object, DACL_SECURITY_INFORMATION, &sc_desc); if (NT_SUCCESS(status) != FALSE) { resl = ST_OK; } else { resl = ST_ERROR; } } while (0); if (sys_acl != NULL) { mm_free(sys_acl); } if (adm_sid != NULL) { mm_free(adm_sid); } if (sys_sid != NULL) { mm_free(sys_sid); } return resl; } Если не нужна совместимость с Windows 2000, то всё упрощается, т.к. можно использовать IoCreateDeviceSecure ----- PGP key <0x1B6A24550F33E44A>
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 21 августа 2010 17:25 · Личное сообщение · #6 Как альтернативный способ, предлагаю просто pid процесса проверять. Не наш pid - ACCESS_DENIED. ----- IZ.RU
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 21 августа 2010 17:42 · Личное сообщение · #7 И как ты узнаешь, ваш пид или нет, если общения никакого нет?
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 21 августа 2010 19:19 · Поправил: mak · Личное сообщение · #8 //Но потом они, якобы, стали использовать крипто с открытым ключом, и другие программы не могли получить доступ к их драйверу.// А можно ссылку ? Тоже прочитать .. Можно попробовать хучить иоконтролдевайс или IoValidateDeviceIoControlAccess ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 21 августа 2010 19:54 · Личное сообщение · #9 Archer пишет: И как ты узнаешь, ваш пид или нет, если общения никакого нет? Подумать и пореверсить нужно. Я уверен и чувствую, что небесперспективно решение.... Почему не PsGetCurrentProcessId? ----- IZ.RU
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 21 августа 2010 20:03 · Личное сообщение · #10 Хотя бы потому, что ИД текущего процесса-это тот, кто к нему вообще ломится. А это кто угодно может быть. И весь этот способ-частный случай общего ключа.
Coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 21 августа 2010 20:19 · Личное сообщение · #11 Самый лучший способ это тот что ntldr предложил - через установку аттрибутов безопасности ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 21 августа 2010 21:55 · Личное сообщение · #12 Archer пишет: это тот, кто к нему вообще ломится Процесс, регистрирующий сервис и/или запускающий его, ведь никто угодно, верно? ----- IZ.RU
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 21 августа 2010 21:58 · Личное сообщение · #13 Да неверно. Никто не мешает запустить сервис любому. К тому же при запуске пид не виден, запуск дрова в контексте систем происходит. Да и вообще у него модель злоумышленника другая, по-моему. В общем, предлагаю окончить гадания и подождать автора.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 25 августа 2010 15:42 · Личное сообщение · #14 Coderess пишет: Самый лучший способ это тот что ntldr предложил - через установку аттрибутов безопасности Ну, это немного не то, что требовалось. Получается, что кроме админа, никто не может открыть. Но если зловредный код запустился с привилегиями администратора, то он-то всё равно может открыть Symbolic link? ----- Stuck to the plan, always think that we would stand up, never ran.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 25 августа 2010 16:38 · Личное сообщение · #15 Если он из-под админа, ему твой линк не сдался, он свой драйвер загрузит. Ещё раз говорю: определи модель злоумышленника сначала.
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 25 августа 2010 17:53 · Личное сообщение · #16 Вообще обыкновенная схема если с крипто , как ты не дал ссылку (((( , то обычно делают приложение + сервис + драйвер , ограничения таковы , что все общение с дровиной идет через этот сервис , туда же суют все остальное , а сам дров работает только с этим сервисом , сервис запротекчен. Более современный вид есть , там уже такая же схема , но только работа через инет , особо не разбирал этот метод , а выше приведенный пример в сети можно поискать. А вообще верно =) Модель злоумышлинника оч важна , так не знаешь что писать и только тупишь ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
ntldr Ранг: 369.8 (мудрец), 400thx Активность: 0.39↘0 Статус: Участник	Создано: 26 августа 2010 01:20 · Личное сообщение · #17 ARCHANGEL пишет: Получается, что кроме админа, никто не может открыть. Если нужно чтобы с драйвером работал не админ, то драйвер не должен делать ничего, что нельзя разрешать делать кому угодно. Работаем со стандартной системой безопасности и не изобретаем велосипед с квадратными колесами. ARCHANGEL пишет: Но если зловредный код запустился с привилегиями администратора То сливай воду и суши вёсла. Примем за аксиому, что любой код запускающийся с привилегиями администратора может всё, и с этим ничего нельзя поделать. ----- PGP key <0x1B6A24550F33E44A>
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 26 августа 2010 12:10 · Личное сообщение · #18 mak На офф сайте этой FrontLine Secure где-то видел интервью, посвящённое конкретно Старфорсу как защите. Там как раз упоминалось об этом. Точную ссылку дать не могу, т.к. сам не помню, где конкретно нашёл это. ntldr Спасибо, всё понял. )) За сим тему закрываю. ----- Stuck to the plan, always think that we would stand up, never ran.

Для печати