freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

BlackHat议题解读|基于WMI的用户态防御削弱
2023-01-11 17:40:49
所属地 北京

01 背景

今年的BlackHat会议上,来自Binarly的研究团队分享了议题《Blasting Event-Driven Cornucopia: WMI-based User-Space Attacks Blind SIEMs and EDRs》,研究了如何使基于WMI进行性能监视与数据收集的SIEM和EDR解决方案失效的案例。

WMI(Windows Management Infrastructure)是一种Windows系统机制,旨在收集系统相关组件信息,如正在运行的程序与服务、注册表项、文件系统信息、终端安全信息等。

基于WMI获取终端设备数据具有以下优点:

1.适用范围广:可用系统包括从Windows NT 4.0之后的所有Windows操作系统

2.支持通过COM接口生成和使用设备事件的标准化框架

3.WMI事件几乎涵盖了所有操作系统事件

4.提供注册永久事件订阅以将操作与WMI事件相关联的功能

基于WMI机制能够方便地对系统进行监控与检测,因此,WMI也被各种工具与终端安全解决方案利用。WMI强大的设备检测能力在为安全解决方案提供便利性的同时,也带来了被攻击者利用于防御削弱的潜在风险。

02 WMI攻击框架

WMI作为系统监测的手段,在设计之初并没有过多地考虑到其安全性,WMI服务也未被视为关键服务,Binarly提出的WMI威胁模型可以直接在用户态下实现攻击效果。

1673429827_63be8343e2e9a102049d9.png!small?1673429829828

本文将着重介绍针对WMI进程数据的攻击,通过修改WMI依赖的基础设施中特定的全局标志变量,能够达到破坏WMI正常执行的目的。WMI进程数据攻击模型如下:

1673429849_63be8359502fae222eb30.png!small?1673429851628

WMI组件中存在许多类似的逻辑,以一个全局的标志变量作为“开关”,每当有对应事件发生时,先检查“开关”是否开启。若“开关”关闭则跳过处理流程,返回相应错误代码。

以WMI组件wbemcore.dll的利用为例

1673429862_63be836645f97e0234c2a.png!small?1673429865831

定位到函数DllCanUnloadNow(),注意到函数Shutdown():

1673429872_63be837022c0ae99788a2.png!small?1673429874034

跟进Shutdown():

1673429882_63be837a36cb66a54b22e.png!small?1673429884006

全局变量g_bDontAllowNewConnections被赋值为true。也就是说,当g_bDontAllowNewConnections被赋值为true时,表示相关功能的关闭。

回到议题介绍中:

1673429895_63be8387594a56e9d4c1c.png!small?1673429897953

控制该变量值为1会导致返回错误码0x80080008:

1673429907_63be8393182cb5d258d04.png!small?1673429909141

下面尝试patch该全局变量。在IDA中查看该变量的偏移:

1673429924_63be83a4e2eb2bb7f165b.png!small?1673429926831

偏移是0x1D2A58。在WinDbg中附加到WMI的进程Winmgmt,定位模块wbemcore.dll:

1673429935_63be83af9ff0cd4a35e4a.png!small?1673429937603

定位到偏移0x1D2A58:

1673429946_63be83bac6c4a6de4be4d.png!small?1673429948839

确定该flag就是标志g_bDontAllowNewConnections,其值为0,patch后:

1673429956_63be83c4d86261f81d07b.png!small?1673429958689

验证:连接WMI

1673429966_63be83cecdc9bf780c7ff.png!small?1673429968686

WMI无法被连接,错误编号0x80080008。

通过patch的方式可能破坏基于WMI的正常功能。例如使用WMI监控进程创建,正常情况下,利用WMI监控Notepad.exe进程创建:

1673429985_63be83e1a5851d144aa2f.png!small?1673429987734

可以监听到目标进程的创建。Patch g_bDontAllowNewConnections变量后,基于WMI的进程监控失效了:

1673429994_63be83ea0f6f55f21ae05.png!small?1673429995924

重启监听程序,已无法连接WMI:

1673430005_63be83f52f7c71bc25012.png!small?1673430007166

Windows10环境下WMI相关组件以及全局变量脆弱项总结如下:

模块

全局变量

功能

wbemcore.dll

EventDelivery

值为false(0)时所有内部事件被禁用,Sysmon无法接收事件ID为19(WmiEventFilter)、20(WmiEventConsumer)、21(WmiEventConsumerToFilter)的事件

wbemcore.dll

g_pEss_m4

值为false(0)时WMI Consumer安装回调失败

repdrvfs.dll

g_bShuttingDown

值为true(1)时WMI连接被禁用,回调程序返回失败

repdrvfs.dll

*(DWORD*)(g_Glob+0x0)

值为false(0)时无法添加EventFilter

repdrvfs.dll

*(QWORD*)(g_Glob+0x7)

值为false(0)时无法添加EventFilter

repdrvfs.dll

*(DWORD*)(g_Glob+0xBC)

值为false(0)时无法连接到WMI,已连接的客户端无法枚举WMI

通过控制对应的标志变量,可以实现对WMI功能不同程度的削弱和破坏。

03 总结

去年的Black Hat Europe上,Binarly团队介绍了对Windows事件跟踪(ETW)的攻击,使得Process Monitor(procmon等)和Windows Defender之类依赖于ETW作为信息源来检测操作系统级别以上的恶意行为的方案失效。今年,他们提出了用户模式下禁用WMI功能的攻击,这种类型的攻击方式可以使得基于WMI的系统监控工具或安全防护机制的效果被削弱。Binarly团队在近两年的Black Hat大会上都将关注点放在基于破坏操作系统提供的检测基础设施,实现防御削弱效果上。通过操作系统本身的基础设施的削弱,使得基于此的终端防护失去效果,未来的终端对抗或许也会沿着这一方向继续发展。

WMI属于操作系统级别的管理基础设施。单个安全检测机制可能由于其难以修复的设计缺陷和没有引入相应保护机制的原因,存在被攻击者破坏或绕过的可能。因此,综合性的终端安全防御体系应该尽量收集多种来源的监控基础设施情报。在综合所有信息的基础上进行决策,规避单个机制被破坏造成的影响,以获得更好的防护效果。

# 网络安全技术
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录