CVE-2023-32784 漏洞利用演示

项目概述

本仓库演示了 CVE-2023-32784，这是 KeePass 2.54 之前版本中存在的一个严重漏洞。该漏洞可通过内存转储恢复主密码，从而暴露存储的凭据。本文档逐步说明了如何搭建漏洞利用环境、执行 PoC 工具以及理解缓解策略。

漏洞详情

描述

CVE-2023-32784 是 KeePass 2.0 至 2.53 版本中存在的一个内存泄漏漏洞，源于 KeePass 的 Secure Textbox EX 组件对字符串处理不当。主密码中输入的每个字符都会在内存中留下痕迹，从而可通过内存转储恢复密码。

主要特征：

• 严重性：高
• 可利用性：需要物理或本地访问内存转储；不涉及远程代码执行。
• 影响：从内存中提取主密码（第一个字符除外）可导致未经授权访问存储的凭据。

漏洞利用详情

工具与技术

该漏洞利用借助 KeePass Master Password Dumper 工具，通过内存模式识别从内存转储中提取字符。

• 局限性：密码的第一个字符无法恢复，但这并非重大障碍，因为密码的其余部分可以轻松重建或猜测。
• 威胁模型：该漏洞凸显了共享系统或无人值守系统上的风险，在这些系统中可能获取内存转储（例如 pagefile.sys 或 hiberfil.sys）。

漏洞利用计划

前提条件

要成功执行此漏洞利用，需要以下环境和工具：

1. 虚拟化软件：VMware 或等效工具，用于隔离测试环境。
2. Windows 10 ISO：用于安装存在漏洞的 KeePass 的操作系统。
3. KeePass 2.x：2.54 之前的版本。
4. .NET 7 运行时：运行 PoC 工具所需。
5. PoC 工具：KeePass Password Dumper，可在 GitHub 上获取。

步骤及理由

1. 环境搭建

• 为什么使用虚拟机？
  虚拟机提供了安全且受控的环境来测试漏洞，而不会危及生产系统。
• 步骤：
  • 安装 VMware 并创建一个运行 Windows 10 的新虚拟机实例。
  • 安装 KeePass 2.x（例如 2.53 版）并设置主密码。
  • 示例主密码：user。

2. 安装依赖项

• 为什么使用 .NET 7？
  PoC 工具基于 .NET 7 框架构建。使用正确的运行时可确保兼容性。
• 步骤：
  • 从 Microsoft 官方网站下载并安装 .NET 7。
  • 使用以下命令确认安装：
    root@kitploit:~

    dotnet --version
    

3. 创建内存转储

• 为什么要转储 KeePass 进程内存？
  漏洞存在于 KeePass 的内存处理中。捕获转储可以分析内存足迹，密码痕迹就驻留其中。
• 步骤：
  • 打开 KeePass 并使用主密码解锁数据库。
  • 使用任务管理器为 KeePass 进程创建 .DMP 文件：
    • 在任务管理器中找到 KeePass。
    • 右键单击并选择创建转储文件。
  • 记下 .DMP 文件的位置（通常位于 %TEMP% 目录中）。

4. 运行 PoC 工具

• 为什么将转储文件复制到 PoC 目录？
  PoC 工具在其工作目录内处理转储文件。此步骤可确保分析正确的文件。
• 步骤：
  • 将 .DMP 文件移动到解压后的 PoC 文件夹中。
  • 为保持一致，将文件重命名为 KeePass.DMP。
  • 打开终端，导航到 PoC 目录并执行该工具：
    root@kitploit:~

    cd Downloads/keepass-password-dumper-main  
    dotnet run KeePass.DMP  
    

• 预期结果：
  该工具将输出除第一个字符外的所有密码字符。

示例命令序列

cd Downloads/keepass-password-dumper-main  
dir  
dotnet run KeePass.DMP  

缓解策略

建议的修复措施

1. 更新 KeePass：
   升级到 KeePass 2.54 可通过以下改进解决该漏洞：

   • 增强敏感数据的内存处理。
   • 随机化字符串插入，降低内存中的可预测性。

2. 保护内存转储：

   • 定期清除或覆盖敏感文件，例如 pagefile.sys 和 hiberfil.sys。
   • 定期重启系统，以从内存中清除敏感数据。

3. 践行安全的内存管理：
   开发人员应采用处理敏感字符串的最佳实践，例如使用可变数据结构或在使用后清除内存缓冲区。

重要说明

• 仅用于演示：
  此漏洞利用旨在用于受控环境中的教育目的。请勿恶意使用此信息。
• 影响认知：
  各组织应评估该漏洞对共享或多用户系统的影响，并相应实施缓解措施。

观看我的 YouTube 视频，了解该 CVE 的实时漏洞利用演示

https://youtu.be/o855F0RvI30?si=WXOtPu-jgtC31O-5

参考链接

• NVD CVE-2023-32784
• KeePass Master Password Dumper (GitHub)
• Cyberis Analysis
• Sysdig 关于 CVE-2023-32784 的博客

作者

Bhargav Raj Dutta
网络安全与数字取证信息技术学士（莫道克大学）

如有任何问题或合作咨询，欢迎通过 [LinkedIn www.linkedin.com/in/bhargav-raj-dutta-80251a1b4) 与我联系