Windows 10 19H1是Windows操作系統(tǒng)的下一個(gè)主要版本，它將包含一系列針對(duì)微軟稱之為“小型錯(cuò)誤類”的修復(fù)程序，并且已由Google安全工程師發(fā)現(xiàn)。

這些補(bǔ)丁不僅修復(fù)了一些Windows內(nèi)核代碼以防止?jié)撛诘墓?，而且還標(biāo)志著谷歌和微軟安全團(tuán)隊(duì)之間近兩年的合作結(jié)束，這本身就是一個(gè)罕見(jiàn)的事件。

什么是這個(gè)“小說(shuō)蟲類”

所有這一切都始于2017年，當(dāng)時(shí)Google的Project Zero精英漏洞搜尋團(tuán)隊(duì)的安全研究員James Forshaw發(fā)現(xiàn)了攻擊Windows系統(tǒng)的新方法。

Froshaw發(fā)現(xiàn)在具有正常權(quán)限(用戶模式)的Windows系統(tǒng)上運(yùn)行的惡意應(yīng)用程序可以利用本地驅(qū)動(dòng)程序和Windows I / O管理器(促進(jìn)驅(qū)動(dòng)程序和Windows內(nèi)核之間通信的子系統(tǒng))來(lái)運(yùn)行惡意命令。最高的Windows權(quán)限(內(nèi)核模式)。

Forshaw發(fā)現(xiàn)的是一種執(zhí)行先前未記錄的特權(quán)提升(EoP)攻擊的新方法。

但是，盡管找到了一些安全研究人員后來(lái)稱之為“整潔”的錯(cuò)誤，但當(dāng)他無(wú)法重現(xiàn)成功的攻擊時(shí)，F(xiàn)orshaw最終還是碰壁了。

原因是Forshaw對(duì)Windows I / O Manager子系統(tǒng)的工作原理并不了解，以及他如何配置驅(qū)動(dòng)程序“啟動(dòng)器”功能和內(nèi)核“接收器”功能以實(shí)現(xiàn)完全攻擊。

合作至關(guān)重要

為了解決這個(gè)問(wèn)題，F(xiàn)orshaw聯(lián)系了唯一可以提供幫助的人--Microsoft的工程師團(tuán)隊(duì)。

“這導(dǎo)致與Redmond 2017 [安全會(huì)議]的各個(gè)團(tuán)隊(duì)在Redmond舉行會(huì)議，制定了一項(xiàng)計(jì)劃，讓Microsoft使用他們的源代碼訪問(wèn)來(lái)發(fā)現(xiàn)Windows內(nèi)核和驅(qū)動(dòng)程序代碼庫(kù)中此類錯(cuò)誤的程度， “Forshaw說(shuō)。

微軟在他離開時(shí)接受了Forshaw的研究，并追蹤了哪些是易受攻擊的以及需要修補(bǔ)的內(nèi)容。

在研究期間，微軟團(tuán)隊(duì)發(fā)現(xiàn)自Windows XP發(fā)布以來(lái)所有Windows版本都容易受到Forshaw的EoP攻擊程序的攻擊。

負(fù)責(zé)此項(xiàng)指控的微軟工程師史蒂文·亨特表示，Windows代碼共有11個(gè)潛在的啟動(dòng)器和16個(gè)可能被濫用于攻擊的潛在接收器。

好消息 - 這11個(gè)啟動(dòng)器和16個(gè)接收器功能中的任何一個(gè)都可以互連用于攻擊濫用Windows安裝附帶的默認(rèn)驅(qū)動(dòng)程序之一。

壞消息 - 自定義驅(qū)動(dòng)程序可能會(huì)促進(jìn)Windows團(tuán)隊(duì)在其研究期間無(wú)法調(diào)查的攻擊。

出于這個(gè)原因，一些補(bǔ)丁將附帶下一個(gè)Windows 10版本，計(jì)劃在幾周內(nèi)發(fā)布，以防止任何潛在的攻擊。

“大多數(shù)這些修復(fù)程序都有望在Windows 10 19H1中發(fā)布，有一些修復(fù)因?yàn)檫M(jìn)一步的兼容性測(cè)試和/或因?yàn)樗鼈兇嬖诘慕M件在默認(rèn)情況下被棄用和禁用，”Hunter說(shuō)。“我們敦促所有內(nèi)核驅(qū)動(dòng)程序開發(fā)人員檢查他們的代碼，以確保正確處理IRP請(qǐng)求和防御性地使用文件開放API。”

有關(guān)這種新型EoP攻擊方法的更多技術(shù)細(xì)節(jié)可以在Forshaw和Hunter的報(bào)告中找到。

微軟安全響應(yīng)中心(MSRC)和谷歌的Project Zero團(tuán)隊(duì)之間的合作也讓信息安全社區(qū)的許多人感到驚訝，因?yàn)樵谶^(guò)去的某個(gè)時(shí)刻，這兩個(gè)團(tuán)隊(duì)之間存在著一種小小的不和，并且公開披露彼此產(chǎn)品中未修補(bǔ)的缺陷。 。