🈯️ 🙏🏿 🔲 ABBYY FineReader में विशेषाधिकार वृद्धि को मान्यता 🗃️ 🙋🏻 😂

Windows अनुप्रयोगों में मुझे विशेषाधिकार वृद्धि कमजोरियों के चक्र का पता चलता रहता है। पिछली श्रृंखला में: स्टीम ( CVE-2019-14743 , CVE-2019-15316 , CVE-2019-17180 ) और उत्पत्ति ( CVE-2019-19247, CVE-2019-19248 )। लेकिन आज हम गेम लॉन्चर के बारे में बात नहीं करेंगे, लेकिन एबीबीवाई फिनएडर एप्लिकेशन सॉफ्टवेयर पैकेज के बारे में।

सारांश - मैं आपको बताऊंगा कि, लाइसेंस की जांच करने वाले घटक के लिए धन्यवाद, 10 मिनट में आप उपयोगकर्ता के अधिकार से लेकर NT AUTHORITY \ SYSTEM तक अपने अधिकारों को बढ़ा सकते हैं। भेद्यता को पहचानकर्ता CVE-2019-20383 सौंपा गया था, जो ABBYY वेबसाइट का एक लिंक था ।

खुफिया सेवा

मैंने एबीबीवाई वेबसाइट से फाइनरडर के परीक्षण संस्करण को डाउनलोड किया और यह देखने के लिए जल्दी से इसे देखा कि क्या यह विशेषाधिकारों को बढ़ाने के लिए उत्पाद लेने का कोई मतलब है। हां, उत्पाद में एक सेवा शामिल है, जिसे "ABBYY नेटवर्क लाइसेंस सर्वर" नाम से देखते हुए, लाइसेंस के साथ जुड़ा हुआ है और डिफ़ॉल्ट रूप से उपयोगकर्ता NT AUTHORITY \ SYSTEM से लॉन्च किया गया है। मैंने शुरू किया ProcMon ने सेवा के व्यवहार को देखना शुरू कर दिया।

मेरा ध्यान पथ "C: \ ProgramData \ ABBYY \ FineReader \ 15 \ लाइसेंस \ लाइसेंसिंग .nt" के साथ स्थित फ़ाइल पर गया था। सेवा इससे कुछ पढ़ती है, इसके लिए कुछ लिखती है, सामान्य तौर पर, फ़ाइल प्रयोगों के लिए एक दिलचस्प उम्मीदवार की तरह दिखती है। "C: \ ProgramData \ ABBYY \ FineReader \ 15 \ लाइसेंस" फ़ोल्डर पर विचार करें। पैरेंट फ़ोल्डर से विरासत में मिला ऑल-फुल एक्सेस एसीएल ("C: \ ProgramData \ ABBYY \ FineReader \ 15") इस फ़ोल्डर के लिए मान्य है, जिसका अर्थ है कि आप फ़ाइल "लाइसेंसिंग .nt" सहित इसकी सभी सामग्री हटा सकते हैं।

फ़ाइल की अनुपस्थिति का पता लगाने वाली सेवा ने इसे बनाने की कोशिश की, और थोड़े अजीब तरीके से। उन्होंने फॉर्म की एक फाइल बनाई "tmpXXXX-YYYYYYYYY.tmp", इसमें कुछ डेटा लिखे, और फिर इसे "लाइसेंसिंग.कंटेन" नाम दिया।

यहाँ ProcMon लॉग है जिसमें यह ऑपरेशन दो बार किया जाता है।

सबसे पहले, यह 20:36 पर होता है, और फिर 20:46 पर होता है। इन टाइमस्टैम्प के बीच, फ़ाइल को फिर से बनाने के लिए हटा दिया गया था।

आयत 1 उस स्थिति को इंगित करता है जब सेवा ने फ़ाइल की अनुपस्थिति का पता लगाया है। आयत 2 - एक अस्थायी फ़ाइल बनाएँ। आयत 3 - अस्थायी फ़ाइल का नाम बदलें। आयत 4 - 10 मिनट के बाद संचालन दोहराएं।

"TmpXXXX_YYYYYYYYY.tmp" नाम के प्रारूप पर विचार करें। एक चल रही प्रक्रिया के हिस्से के रूप में, XXXX हमेशा स्थिर, अतिरिक्त, वास्तव में, यह उस थ्रेड का पहचानकर्ता होता है जो इस कार्य को करता है। YYYYYYYYYY स्थिर नहीं रहता है, लेकिन अगर हम दो पड़ोसी शुरू होते हैं (मान: 430210515 और 430810515), तो ऐसा प्रतीत होता है कि यह सिर्फ कुछ समय का निशान है - संख्या 600000 के बीच का अंतर - आश्चर्यजनक रूप से 10 मिनट के अंतर के साथ मेल खाता है। कुछ और परीक्षण हमारी धारणा की पुष्टि करते हैं।
इस भाग को संक्षेप में बताने के लिए। कोई भी उपयोगकर्ता "C: \ ProgramData \ ABBYY \ FineReader \ 15 \ लाइसेंस \ लाइसेंसिंग .nt" फ़ाइल को हटा सकता है, फिर वह बहुत बार फ़ोल्डर की सामग्री "C: \ ProgramData \ ABBYY" FineReader \ 15 \ लाइसेंस "का अनुरोध कर सकता है।" कुछ बिंदु पर, "tmpXXXX_YYYYYYYYY.tmp" नामक एक फ़ाइल ढूंढें। अब उपयोगकर्ता तैयार हो जाएगा, फ़ाइल को हटाने के बाद, वह ठीक उसी समय पता कर लेगा कि अगली बार फ़ाइल किस नाम से बनाई जाएगी।

अब हम सहानुभूति के साथ खेलेंगे

व्यवस्थापक अधिकारों के बिना सहानुभूति कैसे बनाएं

, . . , , «C:\abc\1» «C:\def\2».

NTFS reparse point ( NTFS mount point) «C:\abc» «\RPC Control\". «\RPC Control\» – , , , . , , , , . NTFS reparse point , , . - , - .

. "\RPC Control\1" <-> «C:\def\2». , «C:\abc\1», «C:\def\2».

प्रारंभ में, लाइसेंस फ़ाइल बनाने की प्रक्रिया इस तरह दिखाई देती है:

जब हम अगले ऐसे ऑपरेशन के सही क्षण को जानते हैं, तो हम निम्नलिखित सिमिलिंक बना सकते हैं (हम स्रोत फ़ोल्डर का नाम छोड़ देंगे "C: \ ProgramData \ ABBYY \ FineRder_ 15 \ लाइसेंस"): YYYYYYYA, YYYYYBY YYYYYYYYZ, ... YYYYYYYYYZ - ये YYYYYYYYYY + 10minutes में अलग टाइमस्टैम्प हैं (यदि टाइमस्टैम्प थोड़ा देर से है)। अगला, लिंक बनाएं: ध्यान दें कि इनमें से कोई भी फाइल वास्तव में मौजूद नहीं है। यह आवश्यक है ताकि जब उदाहरण के लिए, tmpXXXX_YYYYYYYYBBmp को संदर्भित करें, तो दो रीडायरेक्ट होते हैं और परिणामस्वरूप, सेवा "C: \ test \ l2's nope" फ़ाइल के साथ काम करती है। जैसे ही हमें फ़ाइल "C: \ test \ l2 \ nope" के निर्माण का पता चलता है, हमें तुरंत दो नए उपकरण बनाने चाहिए:

tmpXXXX_YYYYYYYYA.tmp <-> C:\test\l1\proxy
tmpXXXX_YYYYYYYYB.tmp <-> C:\test\l1\proxy
tmpXXXX_YYYYYYYYC.tmp <-> C:\test\l1\proxy
…
tmpXXXX_YYYYYYYYZ.tmp <-> C:\test\l1\proxy

C:\test\l1\proxy <-> C:\test\l2\nope

C:\test\l1\proxy <-> C:\test\l2\payload
Licensing.cnt <-> C:\target\path

सेवा "C: \ test \ l2 \ nope" फ़ाइल की सामग्री लिखना जारी रखेगी, लेकिन नए सिम्कलिन से गुजरने के बाद इसका नाम बदल देगी। इस प्रकार, नाम बदलने के बजाय, उदाहरण के लिए, "tmpXXXX_YYYYYYYYC.tmp" को "लाइसेंसिंग.कंटेन", "C: \ test \ l2 \ पेलोड" को वास्तव में "C: \ target \ path" में बदला (स्थानांतरित) किया जाएगा। वास्तव में, हम उपयोगकर्ता NT AUTHORITY \ SYSTEM की ओर से किसी भी पथ में किसी भी सामग्री के साथ एक फ़ाइल रख सकते हैं ।

योजनाबद्ध रूप से, यह इस तरह दिखाई देगा:

रंग इंगित करता है कि वास्तव में सहानुभूति के प्रभाव के कारण क्या प्रदर्शन किया जाएगा।

परिणामी आदिम का उपयोग करके विशेषाधिकार बढ़ाना पहले से ही आसान है - आप अपने dll को सिस्टम प्रक्रियाओं और अन्य समान चीजों से जोड़ सकते हैं। इस स्तर पर, मैंने एबीबीवाई के प्रतिनिधियों से संपर्क किया और उन्हें भेद्यता के बारे में जानकारी दी।

फिलहाल, एबीबीवाई के अनुसार, भेद्यता बंद है।

समय

2019/11/25 - जोखिम का पता लगाने
2019/11/26 - निर्माता से अनुरोध सुरक्षा संपर्क
2019/11/26 निर्माता के लिए भेजें भेद्यता रिपोर्ट -
2019/12/09 - भेद्यता निर्माता द्वारा पुष्टि की गई
2020/10/01 - जोखिम तय किया गया था
2020/01/22 पर - कमजोरियों CVE-2,019-20,383 सौंपा गया
2019/02/19 .2020 - इस लेख का प्रकाशन

अभी कई परियोजनाएँ हैं और हम "संभावित निगरानी" टीम का विस्तार कर रहे हैं। हम स्रोत कोड के अध्ययन में विशेषज्ञों के साथ-साथ मोबाइल अनुप्रयोगों के विश्लेषण में विशेषज्ञों की तलाश कर रहे हैं। मेरी टीम में शामिल होना चाहते हैं - मुझे लिखें, अनास्तासिया (Ana2121) या मेल द्वारा info@amonitoring.ru

यह लेख अंग्रेजी में।

ABBYY FineReader में विशेषाधिकार वृद्धि को मान्यता

खुफिया सेवा

अब हम सहानुभूति के साथ खेलेंगे

समय

More articles: