KeePass 内存泄漏漏洞 (CVE-2023-32784):利用与防御架构

目标

分析 KeePass Password Safe (v2.53) 中的 CVE-2023-32784 漏洞，演示通过内存转储提取主密码，并设计稳健的检测与缓解控制措施。

漏洞描述

KeePass 使用自定义的 SecureTextBoxEx 处理主密码输入，该控件会在进程地址空间中为每个键入的字符生成残留的字符串片段。通过捕获运行进程的 .DMP 文件，这些片段可以被拼接起来，从而重建明文密码。

我的主要贡献：漏洞检测架构

在团队合作进行利用和缓解阶段的同时，我专门设计了漏洞设计与检测策略，利用 Windows 安全审计：

1. 进程创建审计 (Event ID 4688)：配置组策略以记录所有进程执行的完整命令行参数。这成功捕获了 C# 利用工具 (keepass_password_dumper.exe KeePass.DMP) 的确切执行字符串。

2. 对象访问审计 (Event IDs 4663 & 4656)：为 KeePass.exe 和 Database.kdbx 配置文件系统审计。每当有人尝试访问或请求敏感内存空间的句柄时，就会触发警报。

整体团队缓解策略

1. 访问控制：通过本地安全策略从标准用户中移除“调试程序”权限，以防止在操作系统级别创建未经授权的内存转储。

2. 加密：部署 BitLocker 全磁盘加密，使用 XTS-AES 128 位加密保护静态内存转储和分页文件。