ActiveX控件中不安全方法漏洞的檢測(cè)技術(shù)
掃描二維碼
隨時(shí)隨地手機(jī)看文章
另一方面,伴隨著Windows 2003和SP2在操作系統(tǒng)安全機(jī)制上的提升,很多漏洞的利用方式被成功遏制。如今要想在Windows系統(tǒng)中找到能夠利用的漏洞已經(jīng)是一件很困難的事情,因此更多的黑客與安全人員把目光轉(zhuǎn)向了第三方軟件。近幾年,一些知名的軟件公司都曾被發(fā)現(xiàn)其注冊(cè)的ActiveX控件中存在嚴(yán)重的漏洞,鑒于控件的特點(diǎn),可以說這些漏洞跟IE自身的漏洞沒有多大的區(qū)別。所以在漏洞挖掘中盡早發(fā)現(xiàn)這類漏洞并及時(shí)地通知相關(guān)廠商,以便做出及時(shí)的應(yīng)對(duì)措施顯得尤為重要。
1 ActiveX控件
1.1 什么是ActiveX
ActiveX是微軟公司在1996年引進(jìn)的,它是在組件對(duì)象模型(COM)、對(duì)象鏈接和嵌入(OLE)技術(shù)的基礎(chǔ)上發(fā)展而來[2]。COM規(guī)范是ActiveX技術(shù)的基礎(chǔ),而COM的目的是創(chuàng)建對(duì)象和提供接口來實(shí)現(xiàn)代碼片段的簡(jiǎn)單復(fù)用,而這些接口又能被其他的COM對(duì)象或者程序調(diào)用,ActiveX就是這項(xiàng)規(guī)范與IE的結(jié)合。這種結(jié)合提供了IE瀏覽器與第三方軟件的接口,使用ActiveX控件可以對(duì)IE瀏覽器進(jìn)行功能擴(kuò)展,可建立應(yīng)用程序與網(wǎng)站之間的聯(lián)系,而這種聯(lián)系通過瀏覽器來實(shí)現(xiàn)。比如登錄一個(gè)在線視頻網(wǎng)站的時(shí)候,網(wǎng)站正是通過瀏覽器調(diào)用ActiveX控件打開本地的視頻資源。
每一個(gè)ActiveX控件通常使用CLSID(Class Identifier)來區(qū)別于其他的控件。CLSID是標(biāo)識(shí)一個(gè)COM類對(duì)象的全球唯一的標(biāo)識(shí)符,它是一個(gè)128位的隨機(jī)數(shù)??梢詮淖?cè)表中的HKEY_CLASSES_ROOTCLSID來讀出本機(jī)已經(jīng)注冊(cè)的CLSID。
ActiveX控件并不能直接使用,它首先需要在目標(biāo)機(jī)器中進(jìn)行注冊(cè),有很多種方法可以注冊(cè)控件,除了所有的屬于IE和操作系統(tǒng)的控件以外,新安裝控件可以通過應(yīng)用程序的安裝注冊(cè)一些控件;還可以通過網(wǎng)頁(yè)中<OBJECT>標(biāo)簽中的CODEBASE屬性,從指定位置下載并注冊(cè)控件;另外通過DOS命令regsvr32也能手動(dòng)注冊(cè)一個(gè)控件。
1.2 腳本安全
一個(gè)ActiveX控件可以被標(biāo)注為腳本安全SFS(Safe For Scripting),這意味著IE可以通過腳本語(yǔ)言如JavaScript或VBScript調(diào)用控件,并設(shè)置或獲得它的屬性。
有兩種方法可以描述一個(gè)控件是腳本安全的,第一種方法是使用組件目錄管理(Component Categories Manager)來在系統(tǒng)注冊(cè)表中創(chuàng)建合適的項(xiàng)目。可以通過在這冊(cè)表編輯器中查看“HKEY_CLASSES_ROOTCLSID<control clsid>Implemented Categories”是否擁有子鍵7DD95801-9882-11CF-9FA9-00AA06C42C4。第二種方法是通過實(shí)現(xiàn)IObjectSafety接口,通過調(diào)用IObjectSafety::SetInterfaceSafetyOptions方法來確定控件是否為腳本安全[3]。
1.3 KillBit
KillBit是注冊(cè)表中的一項(xiàng),用來標(biāo)識(shí)控件使得在IE瀏覽器或者腳本環(huán)境運(yùn)行時(shí)不加載控件。當(dāng)發(fā)現(xiàn)有漏洞的控件時(shí),可以先通過設(shè)置KillBit來使IE在使用默認(rèn)設(shè)置時(shí)永不調(diào)用ActiveX控件。KillBit是ActiveX控件的兼容性標(biāo)志DWORD值在注冊(cè)表中的特定值0x00000400。針對(duì)IE與操作系統(tǒng)的不同,KillBit在注冊(cè)表中的位置略有不同[4],可分別表示為:
(1)32位IE/32位Windows:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet
ExplorerActiveX Compatibility
(2)64位IE/64位Windows:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet
ExplorerActiveX Compatibility
(3)32位IE/64位Windows:
HKEY_LOCAL_MACHINESOFTWAREWow6432NodeMicrosoft
Internet ExplorerActiveX Compatibility
1.4 控件函數(shù)枚舉
由于ActiveX遵循COM規(guī)范,因此它也像其他的COM控件一樣使用相同的方式實(shí)現(xiàn)了COM接口,COM接口中很好地定義了一個(gè)COM組件中所實(shí)現(xiàn)的方法和屬性。如果控件實(shí)現(xiàn)了IDispatch或者IDispatchEx接口,那么可以通過獲得IDispatch接口來枚舉出控件的方法、參數(shù)以及屬性等信息。
2 不安全方法漏洞及檢測(cè)
2.1不安全方法漏洞
通過分析NVD以及US-CERT(US-Computer Emer-
gency Readiness Team)中關(guān)于ActiveX漏洞的描述信息,ActiveX漏洞與其他的漏洞在類型上大致相同,占據(jù)漏洞比例絕大部份的是由于缺乏必要輸入驗(yàn)證而帶來的緩沖區(qū)溢出漏洞。另外還包括由于IE加載惡意網(wǎng)頁(yè)而引發(fā)的在控件實(shí)例化過程中造成的崩潰[5]。本文要提到的不安全方法漏洞,也是在ActiveX控件中頻頻出現(xiàn)的一種漏洞。
如果一個(gè)方法被設(shè)計(jì)是由IE調(diào)用,那么它應(yīng)該就被標(biāo)記為腳本安全,微軟在MSDN中提供了編寫一個(gè)安全的控件時(shí)對(duì)于哪些應(yīng)該被標(biāo)為安全提供了指導(dǎo)。但是由于編程人員在安全性上的疏忽,或者根本就不熟悉ActiveX的調(diào)用機(jī)制,一些標(biāo)記為腳本安全的方法能夠輕易地被遠(yuǎn)程調(diào)用者不加任何限制地調(diào)用,或者一些本不應(yīng)該被IE所使用的方法錯(cuò)誤地被標(biāo)注上了腳本安全,這些方法給系統(tǒng)帶來很大的安全隱患。這類漏洞往往表現(xiàn)為任意的注冊(cè)表讀寫、本地文件系統(tǒng)的讀寫、網(wǎng)絡(luò)端口的開放,執(zhí)行文件、敏感信息的泄漏等。由于這類漏洞的利用一般非常簡(jiǎn)單,因此這類漏洞利用門檻很低,危害性極大。
2.2 ActiveX控件的檢測(cè)
2.2.1 威脅建模
威脅建模(Threat modeling)是一個(gè)過程,軟件開發(fā)人員可以使用它來評(píng)估,從而減少控件所面臨的潛在的威脅[6]。威脅建模來自于軟件測(cè)試領(lǐng)域,威脅建模的一般步驟是先分解應(yīng)用程序,建立數(shù)據(jù)流圖,然后識(shí)別所面臨的威脅,根據(jù)威脅識(shí)別潛在的漏洞。對(duì)于識(shí)別潛在的威脅,可以利用Howard和Leblanc提到的STRIDE威脅目錄[7]。
但是由于威脅建模一般是建立在擁有軟件設(shè)計(jì)細(xì)節(jié)的基礎(chǔ)上。作為漏洞挖掘工作,常常面臨的只是軟件的二進(jìn)制文件形式,很難得到軟件設(shè)計(jì)的源代碼,構(gòu)建完整的數(shù)據(jù)流圖。因此,基于威脅建模的漏洞挖掘工作,很難建立起準(zhǔn)確的威脅模型。
2.2.2 基于STRIDE指導(dǎo)的滲透測(cè)試
滲透測(cè)試是指測(cè)試人員圍繞網(wǎng)絡(luò)或者系統(tǒng)的安全性展開探測(cè),以發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)[6]。在不安全方法的測(cè)試中,函數(shù)的參數(shù)成為滲透測(cè)試的主要入口,分析大量的已公布不安全方法漏洞,發(fā)現(xiàn)從暴露的方法名字中,一般就能推斷出該方法執(zhí)行的操作。因?yàn)樵诖a編寫時(shí),常常使用有意義的單詞來表示方法和參數(shù)的名字,如下面的一些例子:
LaunchExe(BSTR ExeName)
SaveFile(BSTR FileName,BSTR Url)
Update(BSTR Url,BSTR LocFile)
ExecuteCommand(BSTR Command)
這些函數(shù)及參數(shù)明顯地暗示了函數(shù)的功能以及所需參數(shù)的意義,應(yīng)當(dāng)首先嘗試使用合適的值來測(cè)試這些方法。而利用威脅建模中的STRIDE威脅目錄可以保證測(cè)試的全面性。結(jié)合ActiveX控件中常常被用來作為功能擴(kuò)展的方面,應(yīng)該從表1所列的幾個(gè)方面來測(cè)試確定該控件是否包含了不安全方法。
2.3 測(cè)試的一般步驟
結(jié)合ActiveX控件的特點(diǎn)及其安全方法機(jī)制,圖1所示的基本流程圖提出了不安全方法漏洞挖掘的一般步驟。
其中,檢查是否標(biāo)注為腳本安全一般先看該控件是否實(shí)現(xiàn)了IObjectSafety接口,如果沒實(shí)現(xiàn)則再檢查注冊(cè)表中是否標(biāo)注腳本安全。在枚舉方法中一般可以使用IDispatch接口,但是如果控件沒有類型庫(kù)信息,就要借助一些二進(jìn)制掃描工具如Strings[8]來搜查ActiveX控件的方法和屬性。測(cè)試網(wǎng)頁(yè)中,一般使用<OBJECT CLASSIS="CLSID:"></OBJECT>標(biāo)簽根據(jù)提供的CLSID來裝載控件,然后可以在腳本語(yǔ)言中對(duì)枚舉出的函數(shù)進(jìn)行調(diào)用。函數(shù)調(diào)用中要根據(jù)測(cè)試者之前預(yù)測(cè)的潛在威脅輸入合適的參數(shù),如果測(cè)試結(jié)果符合預(yù)期假設(shè)的威脅,則漏洞分析成功,如果測(cè)試結(jié)果沒有實(shí)現(xiàn)預(yù)期的威脅,則返回查看是否還有其他的潛在威脅可能存在,循環(huán)進(jìn)行測(cè)試,直到被測(cè)函數(shù)被認(rèn)定不會(huì)包含表1中所具有的威脅為止。
3 實(shí)驗(yàn)及結(jié)果分析
本文選取了三款國(guó)產(chǎn)軟件,分別是UUsee2008、暴風(fēng)影音、迅雷看看。將三款軟件安裝到機(jī)器后,分別枚舉控件并且檢查每個(gè)控件的信息,三款軟件共在機(jī)器上安裝新COM控件60個(gè),其中有2個(gè)設(shè)置KillBit,10個(gè)被標(biāo)注為腳本安全。詳細(xì)信息如表2所示,表中可以看到暴風(fēng)影音沒有被標(biāo)注為腳本安全的控件,在防范不安全方法漏洞方面做得比較好。
(1)UUSee任意文件下載漏洞
軟件:UUSee2008
控件名稱:UUUpgrade Control
函數(shù):VARIANT_BOOL Update(BSTRbstrLocalINIFile-
Name,BSTR bstrRemoteINIURL,BSTR bstrDetailURL,short nMode)
根據(jù)函數(shù)名字推測(cè)可能具有使用遠(yuǎn)程文件更新本地文件的作用,符合威脅列表中第一條威脅。因此需要編寫測(cè)試網(wǎng)頁(yè)對(duì)該方法進(jìn)行測(cè)試,測(cè)試結(jié)果發(fā)現(xiàn)存在之前預(yù)測(cè)的威脅。該漏洞為已公布漏洞,已發(fā)布于國(guó)內(nèi)綠盟漏洞數(shù)據(jù)庫(kù)上[9]。
(2)系統(tǒng)信息暴露漏洞
軟件:UUSee2008
控件名稱:UUUpgrade Control
函數(shù):BSTR GetMacID( )
BSTR GetHDID( )
通過分析函數(shù)的名字可預(yù)測(cè)這兩個(gè)函數(shù)可能分別能使遠(yuǎn)程攻擊者得到本地機(jī)器的MAC地址和硬盤ID,存在一定的信息暴露危害,測(cè)試結(jié)果顯示符合之前的預(yù)測(cè)。兩個(gè)方法存在泄露系統(tǒng)信息漏洞。
軟件:迅雷看看
控件名稱:DapCtrl Class
函數(shù):long IsFileExist([in] BSTR filePath)
該函數(shù)能夠根據(jù)攻擊者指定的文件路徑名稱,返回該文件是否存在,返回值為1表示存在,為0表示不存在。這在遠(yuǎn)程滲透攻擊中會(huì)給遠(yuǎn)程攻擊者提供幫助。因此存在信息泄漏的危害。
本文只對(duì)ActiveX控件中的不安全方法漏洞的挖掘方法作了介紹,這種漏洞利用難度較易,危害極大。本文
介紹的方法,只能對(duì)單個(gè)的方法分別進(jìn)行測(cè)試,但是還有一些控件的方法需要調(diào)用屬性信息或者其他方法的結(jié)果,這種方法對(duì)造成的漏洞需要先對(duì)控件中的方法屬性之間利用數(shù)據(jù)流分析建立起聯(lián)系,這是以后研究中需要進(jìn)一步完成的工作。