1. 极安网首页
  2. 网络安全技术

Windows Search Indexer 本地提权漏洞分析

Windows Service中最近发生的大多数LPE漏洞都是逻辑漏洞。通过这种方式,对Windows Search Indexer的内存损坏漏洞进行分析非常有趣。因此,此后的Windows Service中很可能会出现这种内存损坏漏洞。

Windows Search Indexer 介绍

Windows Search Indexer是一项Windows服务,用于为Windows Search处理文件索引,这为Windows内置的文件搜索引擎提供了动力,该引擎为从“开始”菜单搜索框到Windows资源管理器甚至是“库”函数的所有函数提供支持。

Search Indexer有助于从GUI的角度通过GUI和索引选项将用户定向到服务界面,如下所示。

Windows Search Indexer 本地提权漏洞分析-极安网

索引过程中的所有数据库和临时数据都存储为文件并进行管理。通常,在Windows Service中,整个过程都是使用NT AUTHORITY SYSTEM特权执行的。如果由于修改文件路径而碰巧存在逻辑漏洞,则可能会触发特权提升。(例如Symlink攻击)

鉴于最近在Windows Service中发生的大多数漏洞都是由于逻辑漏洞而导致的LPE漏洞,因此我们假定Search Indexer可能有类似的漏洞,但是,我们的分析结果并非如此,随后将介绍更多详细信息。

补丁对比

分析环境是Windows7 x86,因为它具有较小的更新文件,并且易于识别差异,我们下载了该模块的两个补丁版本。

可以从Microsoft更新目录下载它们:

· patch程序版本(1月程序):KB4534314 2

· 补丁程序版本(2月补丁):KB4537813 3

我们从patch过的二进制文件的BinDiff开始(在这种情况下,只有一个:searchindexer.exe)

Windows Search Indexer 本地提权漏洞分析-极安网

大多数补丁都是在CSearchCrawlScopeManager和CSearchRoot类中完成的。前者在1月进行了patch,而后者在下个月进行了patch。这两个类都包含相同的更改,因此我们专注于patch的CSearchRoot。

下图显示添加了原始代码,该代码使用Lock来安全地访问共享资源。我们推断,访问共享资源会导致竞争条件漏洞的发生,因为该补丁由putter, getter函数组成。

Windows Search Indexer 本地提权漏洞分析-极安网

Windows Search Indexer 本地提权漏洞分析-极安网

原创文章,作者: Admin ,转载请注明出处:https://www.secvery.com/3861.html