من تعليق على حبري إلى ضعف في د. الويب

في الآونة الأخيرة نسبيًا ، ظهر مقال بعنوان " أداة تعديل كلمة المرور في برنامج Avira Free Antivirus" من قبل المستخدم على حبريVeliant... وجد المؤلف أنه في التسليم القياسي لمضاد الفيروسات المذكور يوجد مكون يسمح لك باستخراج كلمات المرور بسهولة من تخزين متصفح Chrome.



كان هناك نقاش في التعليقات حول ما إذا كان يمكن اعتبار ذلك نقطة ضعف. لكنني أعلق على تعليق واحد من قبل المؤلف:

هل يمكن تنفيذ ذلك ، على سبيل المثال ، في شكل ملف DLL ، والذي ، عندما يتم استدعاؤه بواسطة واجهة برمجة التطبيقات الخاصة به ، يتحقق من التوقيع الرقمي لبرنامج الاستدعاء؟

والحقيقة هي أنني قبل ذلك مباشرةً ، بحثت في العديد من البرامج التي تعتمد على التحقق من التوقيع الرقمي بنفس الطريقة. وكان هذا الاختيار سهل التنقل.





يتطابق التوقيع الرقمي لملف فقط مع الملف التنفيذي نفسه ، ولكن البرنامج الذي يعمل ليس مجرد ملف قابل للتنفيذ. هناك عدة طرق للتأثير على تشغيل البرنامج دون تغيير الملف القابل للتنفيذ: يمكنك استبدال المكتبات التي يتم تحميلها أو إدخال الشفرة مباشرة في الذاكرة.



نظرت إلى الملف الشخصي للمؤلف: "يعمل في: Doctor Web". ولكن ماذا لو نظرت لمعرفة ما إذا كانت منتجات هذه الشركة تستخدم الشيك الذي يتحدث عنه المؤلف؟ قررت البحث ، ووجدت أن هناك ثغرة أمنية تسمح لك برفع امتيازاتك إلى مستخدم النظام Dr.Web Security Space for Windows.

خدمة ذكية

لا أفهم منتجات دكتور ويب ، لذلك أخذت أول منتج يمكنني تنزيله على موقع الويب - كان Dr.Web Security Space 12 لنظام التشغيل Windows. في الإعدادات الافتراضية ، يتحقق هذا المنتج من وجود تحديثات كل نصف ساعة. وتم العثور على ثغرة أمنية في آلية التحديث.



أقدم أدناه فيديو تشغيل يصف ما يحدث في الفيديو مع الإشارة إلى الوقت. سيكون هناك أيضًا وصف لما كانت عليه الثغرة الأمنية بالضبط.

تشغيل الفيديو

يعمل العرض التوضيحي على Windows 10 x64 من مستخدم بدون حقوق المسؤول.

0: 00-0: 12 إظهار من خلال وحدة تحكم Windows أن المستخدم الحالي ليس مسؤولًا

0: 12-0: 24 إظهار الإصدار المثبت من Dr.Web Security Space

0: 24-0: 29 يوجد ملف drweb_eop_upd_dll.dll في المجلد الموجود على سطح المكتب (يتم إرفاق أكواد المصدر والملف بالتذكرة)

0: 29-0: 34 أظهر أن هناك 3 ملفات في المجلد C: \ ProgramData \ Doctor Web \ Updater \ etc

0: 34-0: 47 أنسخ مكتبة drweb_eop_upd_dll.dll في المجلد الموجود على سطح المكتب ونسخة واحدة أسميها version.dll ، وأخرى - cryptui.dll

0: 47-0: 56 أنسخ الملف C: \ Program Files \ Common Files \ Doctor Web \ Updater \ drwupsrv.exe إلى المجلد على سطح المكتب ، بجوار ملف dll ...

0: 56-1: 00 قم بتشغيل الملف المنسوخ



يقوم الملف القابل للتنفيذ drwupsrv.exe من المجلد الموجود على سطح المكتب بتحميل version.dll الموجود في مكان قريب. تقوم هذه المكتبة بإنشاء الملف C: \ ProgramData \ Doctor Web \ Updater \ etc \ drwupsrv.xml.new. يمتلك المستخدم حقوقًا في إنشاء ملفات إلى المجلد C: \ ProgramData وفي أعماقها ، لذلك تعد هذه عملية قانونية. إذا حاولت إنشاء مثل هذا الملف يدويًا ، فمن المحتمل أن تمنع آليات أمان Dr.Web مثل هذه العملية. ولكن أثناء التشغيل ، يتم إنشاء الملف نيابة عن drwupsrv.exe ، والذي ربما يتجاوز عمليات التحقق الداخلية ويتم إنشاء الملف. في الواقع ، هذا تجاوز لعملية التحقق من التوقيع التي تمت مناقشتها في بداية المقالة.



1: 00-1: 22 صباحًا يوضح الملف الذي تم إنشاؤه ومحتوياته. بشكل عام ، يحتوي الملف على نفس محتوى الملف C: \ ProgramData \ Doctor Web \ Updater \ etc \ drwupsrv.xml ، لكن جميع المسارات تشير إلى مجلد على سطح المكتب (C: \ Users \ User \ Desktop \ dwtest)

1: 22-2 : 00 لا يحدث شيء (في هذه المرحلة أنا في انتظار عملية تحديث البرنامج ، والتي تحدث افتراضيًا كل نصف ساعة ويمكن العثور على الوقت المتوقع في السجلات)

2: 00-2: 14 على ما يبدو ، مع أخذ ملف التكوين الذي تم إنشاؤه ، يرى المحدث أن لا توجد ملفات برنامج Dr.Web في المجلد C: \ Users \ User \ Desktop \ dwtest ، فهو يبدأ في نسخ ملفات البرنامج هناك.



تتضمن الملفات المنسوخة ملف dwservice.exe ، الذي تم تشغيله وقت التحديث كمستخدم NT AUTHORITY \ SYSTEM. يقوم هذا الملف بتحميل مكتبة cryptui.dll ، التي كانت موجودة في المجلد C: \ Users \ User \ Desktop \ dwtest. يقوم رمز المكتبة ببساطة بتشغيل وحدة التحكم التفاعلية ، والتي تكون مرئية على الشاشة. استخدم الأمر whoami للتأكد من الحصول على حقوق النظام.

النتيجة

تم إرسال تقرير الثغرات الأمنية إلى Doctor Web ويبدو أن المطورين قاموا بإصلاح كل شيء.



الجدول الزمني:



15/15/2020 - الاتصال بالدعم الفني مع طلب لتوفير اتصال أمني.

05/20/2020 - أتلقى إجابة مفادها أنه من الممكن تقديم تقرير في هذا النداء

05/20/2020 - أحيل تقرير

06/14/2020 - أتلقى إجابة بأن الثغرة قد تم إصلاحها للإصدار 12. في انتظار ترقية الإصدار 11.

07/07/2020 - يؤكد المطورون أنه تم إصدار الإصلاحات.



هذه المقالة باللغة الإنجليزية.