Ломаем дескрипторы! Как злоупотреблять хендлами в Windows

Хен­длы (они же дес­крип­торы) в Windows — это один из важ­ных кам­ней в фун­дамен­те сис­темы. На хен­длах пос­тро­ено и осно­выва­ется все вза­имо­дей­ствие из прог­рам­мно­го кода с ком­понен­тами Windows. Имен­но бла­года­ря дес­крип­торам ядро понима­ет, к какому объ­екту мы хотим обра­тить­ся и с каким уров­нем дос­тупа. Хендл обыч­но мож­но получить с помощью стан­дар­тных фун­кций. На файл — через CreateFile(), на LSA — через LsaOpenPolicy(). В Windows очень мно­го раз­ных объ­ектов, с которы­ми мож­но вза­имо­дей­ство­вать. Ты можешь открыть спи­сок WinAPI, ткнуть на любой инте­ресу­ющий ком­понент и убе­дить­ся, что самой основной и важ­ной апи­хой будет API для получе­ния хен­дла на нуж­ный объ­ект. Не получил хендл — не смог вза­имо­дей­ство­вать с сис­темой.

Зна­ешь ли ты, что есть ата­ки и на сами хен­длы?

Интересные хендлы

Во‑пер­вых, сле­дует опре­делить­ся с тем, что мы ищем. Нас инте­ресу­ют далеко не все хен­длы. Конеч­но, при­ори­тет­нее все­го про­цес­сы и потоки. Вза­имо­дей­ствие с ними поз­волит запус­тить шелл‑код. Впро­чем, тут опять не все так глад­ко. Получен­ный хендл дол­жен иметь хотя бы пра­во PROCESS_VM_WRITE (для про­цес­са) или THREAD_SET_CONTEXT (для потока). Кста­ти, нам подой­дут и хен­длы на сек­ции памяти и — в исклю­читель­ных слу­чаях — на кон­крет­ные фай­лы или клю­чи реес­тра.

Изучение хендлов процесса

Пе­ред тем как прис­тупить, можем гля­нуть хен­длы кон­крет­ных про­цес­сов в сис­теме. Это поз­волит наметить даль­нейший век­тор раз­вития ата­ки. Удоб­нее все­го, как мне кажет­ся, исполь­зовать ути­литу Process Hacker.

Есть так­же System Explorer и Sysinternals, но я ими поль­зовал­ся не очень мно­го.

Handle Duplicating

Это самая пер­вая ата­ка на хен­длы. Осно­вана она по боль­шей час­ти на фун­кции DuplicateHandle() и ее более низ­коуров­невых ана­логах вро­де NtDuplicateObject().

Взгля­нем на про­тотип фун­кции.

• hSourceProcessHandle — хендл про­цес­са, из которо­го тре­бует­ся ско­пиро­вать хендл. Дол­жен иметь мас­ку дос­тупа PROCESS_DUP_HANDLE;
• hSourceHandle — хендл, который нуж­но ско­пиро­вать;
• hTargetProcessHandle — про­цесс, в который нуж­но ско­пиро­вать хендл;
• lpTargetHandle — куда класть ско­пиро­ван­ный хендл;
• dwDesiredAccess — фла­ги дос­тупа;
• bInheritHandle — нас­леду­емый ли дес­крип­тор, то есть мож­но ли его переда­вать в дочер­ние про­цес­сы;
• dwOptions — допол­нитель­ные парамет­ры.

Под­робнее каж­дый аргу­мент мож­но изу­чить в офи­циаль­ной докумен­тации.

Итак, вся ата­ка зак­люча­ется в том, что мы находим про­цес­сы, на которые можем зап­росить хендл с мас­кой PROCESS_DUP_HANDLE, затем копиру­ем их хен­длы, изу­чаем, на что они ука­зыва­ют, пос­ле чего экс­плу­ати­руем! Нап­ример, на про­цесс victim.exe из нашего про­цес­са target.exe мож­но успешно получить хендл с нуж­ной мас­кой. Пос­ле копиро­вания дес­крип­торов из целево­го про­цес­са обна­ружи­ваем, что у нас есть дес­крип­тор про­цес­са lsass.exe! Как следс­твие, успешно дам­пим про­цесс.

Ко­неч­но, в целевом про­цес­се может быть ука­зана пло­хая мас­ка дос­тупа, которая не под­ходит для дам­па про­цес­са. Тем не менее, если у нас есть хендл, мы можем рас­парсить его и извлечь мас­ку дос­тупа, исполь­зуемую для получе­ния это­го хен­дла.

Здесь нам поможет фун­кция NtQueryObject() и переда­ча струк­туры PUBLIC_OBJECT_BASIC_INFORMATION.

Есть проб­лема: мы пар­сим мас­ки, совер­шенно забывая о том, что мас­ки дос­тупа могут иметь перек­рыва­ющиеся зна­чения. Нап­ример, у про­цес­са есть PROCESS_VM_READ, у потока — THREAD_SET_CONTEXT, а эти оба зна­чения ука­зыва­ют на 0x0010, поэто­му нашу фун­кцию пар­синга мас­ки дос­тупа нуж­но модифи­циро­вать, научив рас­позна­вать передан­ный хендл.

Да­леко ходить не надо — исполь­зуем ту же фун­кцию NtQueryObject(), толь­ко будем переда­вать ей струк­туру PUBLIC_OBJECT_TYPE_INFORMATION.

Здесь будем отталки­вать­ся толь­ко от поля TypeName. Имен­но там содер­жится тип объ­екта, на который ука­зыва­ет хендл.