菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。
简介
2020年12月微软公布CVE-2020-17096的补丁,zecops团队对此破绽举行了剖析,文章在这里,本文凭据其文章举行复现学习。这个洞是NTFS模块,zecops剖析出来是内存泄露,然则微软对这类内存泄露的洞很少收,而且标注的是Remote Code Execution
,zecops团队也没有找到远程代码执行的地方,以是真正是否为zecops团队剖析的那样还需要进一步研究。
补丁对比
问题出在ntfs.sys
中,下面是对比的18362.1171
和18362.1256
,出除去一些未识别的符号,可以直接定位到NtfsOffloadRead
函数
从函数名可以猜到是文件卸载读的操作,搜一下文档可以找到[MS-FSCC],其中的2.3.41 FSCTL_OFFLOAD_READ Request就是卸载读的操作,应该和这个函数有关
,,欢迎进入Allbet注册(Allbet Game):www.aLLbetgame.us,欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe *** 、Allbet电脑客户端、Allbet手机版下载等业务。
before patch
after patch
新版本红框函数内第一个参数从NULL
变为 IrpConetxt
并删除了一些对参数的判断,这个 IrpContext
就是 NtfsOffloadRead
函数的第一个参数 ,第一个函数和调试跟踪有关,应该是开发人员使用的,以是重点应该放在第二个 NtfsExtendedCompleteRequestInternal
函数,下面的代码基于补丁前的版本,若是第一个参数为NULL则直接跳过对第一个参数的操作,然后挪用IRP完成函数
void __fastcall NtfsExtendedCompleteRequestInternal(__int64 a1, IRP *irp, int a3, __int64 a4, int a5) { _QWORD *v5; // r13 unsigned __int8 v6; // r12 IRP *Irp; // rsi _IO_STACK_LOCATION *v10; // r15 __int64 v11; // rax void *v12; // rcx bool v13; // sf void *v14; // rcx _QWORD *v15; // r14 _QWORD *v16; // rax void *v17; // rcx PFILE_OBJECT v18; // rax __int64 v19; // rcx __int64 v20; // r8 v5 = 0i64; v6 = a4; Irp = irp; v10 = 0i64; if ( irp ) { v10 = irp->Tail.Overlay.CurrentStackLocation; if... } if ( a1 ) { // ... } LABEL_27: if ( Irp ) { v18 = v10->FileObject; if ( v18 ) v5 = v18->FsContext; Irp->IoStatus.Status = a3; if ( (unsigned __int8)(v10->MajorFunction - 3) <= 1u && a3 == 0xC000009A && v5 && (*(_DWORD *)(v5[21] + 4i64) & 4) != 0 && IoIsOperationSynchronous(Irp) ) { ++NtfsFailedPagingFileOps; } if ( v10->MajorFunction == 3 && a3 == 0xC000009A && (Irp->Flags & 2) != 0 ) ++NtfsFailedPagingReads; IofCompleteRequest(Irp, 1); } }
在patch之后会传入IrpContext
,若其非零则会剖析许多字段,做一些释放资源和释放内存的操作,挪用一些Cancel
、Cleanup
、Dereference
的函数,由此预测patch之前没有很好的处置这些释放的资源,导致了内存泄露
if ( irpcontext )登录并阅读全文 Allbet Gaming声明:该文看法仅代表作者自己,与www.allbetgame.us无关。转载请注明:usdt充值接口(www.caibao.it):NTFS CVE-2020-17096 剖析复现
usdt跑分平台菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。目测这网站,这文会火