CVE-2017-8464：震网三代漏洞windbg动态调试-安全客

漏洞历史

2010年，攻击伊朗核工厂的漏洞利用工具就是“震网一代”，它因此被公认为世界上首个网络“超级破坏性武器”。

2011年，“震网二代”蠕虫病毒出现，因为他会在临时目录下生成名为~DQ的随机文件，也被称作Duqu。

2017年6月14日，微软在补丁中修补了一个快捷方式漏洞，也就是CVE-2017-8464漏洞，公告称此漏洞被国家背景的网络攻击所使用。该漏洞的原理同2010年美国和以色列入侵并破坏伊朗核设施的震网行动中所使用的穿透核设施隔离网络的漏洞（CVE-2010-2568）非常类似，对能源、交通、金融等基础设施隔离网极具杀伤力，所以CVE-2017-8464漏洞也被称为震网三代。

它可以很容易的被黑客利用来攻击基础设施、存放关键资料的核心隔离系统等。当存在漏洞的电脑被插上保存有漏洞文件的U盘时，不需要格外操作，漏洞攻击程序就可以执行并完全控制用户的电脑系统。

分析环境

采取双机调试的方法，被调试机使用Windows 7版本虚拟机，在硬件选项中添加串行端口，并命名为\.\pipe\com_1，在I/O模式中勾选轮询时主动放弃。调试机使用Windows 10版本物理机，在桌面创建windbg(x86)版本快捷方式，并在属性的目标后添加-b -k com:pipe,port=\.\pipe\com_1,resets=0。

poc采用网上已经有的test.lnk和a.dll文件，将a.dll文件放到C盘目录下，进行漏洞利用。(建议桌面只剩一个test.lnk，避免加载其它快捷方式干扰调试)。

总体调试

首先使用!process 0 0找到explorer.exe的PROCESS

断到指定进程环境下.process -i -r -p 883802e8`

再下断点bp kernel32!LoadLibraryW

键入g命令继续运行，在被调试机中刷新桌面，windbg断下，显示如下内容：

kernel32!LoadLibraryW:

001b:765cf142 8bff      mov   edi,edi

接下来键入k查看栈回溯。

看到SHELL32!CShellLink::_LoadFromFile，猜测是从这个函数开始解析lnk文件的。使用lm v m shell32命令查看得到shell32.dll的在漏洞机中的路径：

然后就可以拿出来有漏洞的文件啦，我们接下来一边动态调试一边静态分析。

分步调试

首先在关键函数处下断点

bp SHELL32!CShellLink::_LoadFromStream
bp shell32!CShellLink::_LoadIDList 
bp shell32!CShellLink::_DecodeSpecialFolder
bp shell32!TranslateAliasWithEvent
bp shell32!ReparseRelativeIDList
bp shell32!DisplayNameOfAsString 
bp shell32!ReparseRelativeIDList+0xd5
bp shell32!CControlPanelFolder::_GetTemporaryAppIdForApplet 
bp shell32!CControlPanelFolder::ParseDisplayName  
bp shell32!CControlPanelFolder::_GetPidlFromAppletId 
bp CControlPanelFolder::_GetAppletPathForTemporaryAppId
bp shell32!CPL_LoadCPLModule

首先是断到CShellLink::_LoadFromStream处，根据ida分析，我们可以知道它对lnk文件进行了一些必要的格式检查。