网站防御_高铁防松螺母_优惠券

网站防御_高铁防松螺母_优惠券

联想系统接口基础-DLL预加载和潜在滥用(CVE-2019-6189)2019年11月21日哈达安全研究人员,SafeBreak实验室介绍SafeBreach实验室在联想系统接口基础服务中发现了一个新的漏洞,java防御ddos攻击,该服务预装在联想个人电脑上。在这篇文章中,我们将演示如何使用CVE-2019-6189漏洞,通过将任意未签名的DLL加载到以NT AUTHORITY\SYSTEM运行的签名进程中,从而实现防御规避和持久性。注意:要利用此漏洞进行攻击,攻击者需要具有管理员权限。联想系统接口基础联想系统接口基础是以下通用Windows平台应用程序的必要组成部分:联想华帝联想企业设置该组件预装在基于Windows的联想电脑上。脆弱性发现在我们的探索中,我们针对的是联想系统接口基础服务。除了它是一个以NT AUTHORITY\SYSTEM运行的签名进程之外,这项服务很有趣,因为它是预装在基于Windows的联想PC上的。这个预装在许多设备中的漏洞可能会造成广泛的影响,给成千上万的用户带来严重后果。联想系统接口基础服务启动后,ddos攻击的检测与防御研究,执行Lenovo.Modern.ImController.PluginHost.Device.exe作为NT授权\系统。一旦执行,进程将尝试加载Wintrust.dll从它自己的目录,而不是SysWOW64:然后服务尝试加载丢失的DLL文件(Wintrust.dll).PoC演示为了测试此漏洞,CDN部署防御DDOS,高防cdn的目标客户,我们编译了一个x86任意DLL,该DLL将以下内容写入txt文件的文件名:加载它的进程的名称执行它的用户名DLL文件的名称然后我们将它放在下面的路径中并重新启动计算机:C:\Program Files(x86)\Lenovo\ImController\PluginHost\wintrust.dll我们能够加载一个任意的DLL并在其中执行我们的代码Lenovo.Modern.ImController.插件主机设备由"联想集团有限公司"签署的exe文件,运行方式为NT AUTHORITY\SYSTEM。根本原因分析为了分析这个问题,我们使用了dnSpy,因为易受攻击的可执行文件是基于.NET的。为了验证不同二进制文件的证书(例如,只加载受信任的库),使用Lenovo.Modern.ImController.PluginHost.Device.exe进程使用WinVerifyTrust WinAPI函数。实现可以在联想现代公用事业.dll(用于联想二进制文件的共享框架),位于联想现代公用事业.服务.验证.Tvt.WinVerifyTrustTools类。它使用DllImport属性来加载Wintrust.dll非托管DLL:此漏洞有两个根本原因:没有针对此特定二进制文件进行数字证书验证。程序确实验证了它加载的不同DLL文件是否被签名,但是当它导入Wintrust.dll库,它没有验证它(因为它依赖于DLL中的WinVerifyTrust函数,该函数尚未加载)。因此,它能够加载任意无符号DLL。不受信任的DLL搜索顺序代码没有使用DllImportSearchPath枚举的System32值的DefaultDllImportSearchPathsAttribute属性,因此它尝试先在应用程序的CWD中查找库,而不是直接从SysWOW64加载它。潜在的恶意使用和影响下面我们展示了攻击者利用上面我们发现和记录的CVE-2019-6189漏洞的三种可能方式。签名执行,白名单绕过该漏洞使攻击者能够在联想签名进程的上下文中加载和执行恶意负载。攻击者可能出于不同的目的(例如执行和规避)滥用此功能,例如:绕过应用程序白名单。持久性机制该漏洞使攻击者能够在每次加载服务时以持久的方式加载和执行恶意负载。这意味着一旦攻击者丢弃恶意DLL,xdos和ddos防御,服务将在每次重新启动时加载恶意代码。受影响的产品和版本联想系统接口基础-1.1.18.2之前的版本时间轴2019年8月28日-向联想PSIRT报告了漏洞2019年8月28日-联想的初始自动响应2019年8月28日-联想要求澄清2019年8月29日-我们发出了澄清2019年8月30日-联想最新状态2019年9月6日-联想最新状态2019年9月13日-联想确认了该漏洞2019年9月25日-联想分享了fix部署的时间表2019年10月22日-联想发布了CVE-2019-6189,并共享了公开披露的最终时间表(11月底)。2019年11月15日-联想表示将于11月19日披露该问题。2019年11月19日-联想发布了一份安全公告[1]工具书类[1]https://support.lenovo.com/us/en/product_security/LEN-29198/***推荐的配置变量:编辑并取消注释下面的部分,以插入来自您的平台或CMS的动态值。*了解定义这些变量的重要性:https://discus.com/admin/universalcode/#配置-变量*//*var discus_config=函数(){此.page.url=PAGE_URL;//将PAGE_URL替换为页面的规范URL变量this.page.identifier=PAGE_IDENTIFIER;//将PAGE_IDENTIFIER替换为页面的唯一标识符变量};*/(function(){//不要在此行下方编辑var d=文档,s=d.createElement('script');s、 src='https://safebreach-com.discus.com/embed.js';s、 setAttribute('data-timestamp',+new Date());(头|体)附属物;})();请启用JavaScript查看由discus支持的评论

热门推荐
  • ddos防御工具_腾讯云服务器安全防护_免费

      在Navigate'16欧洲大会上,我们有机会听取了获奖的安全专家Mikko Hypponen关于"敌人的身份"的演讲。Hypponen是F-Secure的首席研究官......

    09-30    来源:长虹华伟

    分享
  • 阿里云高防ip_ddos防御多少钱_如何防

      这个标题真正应该说的是"频繁的手动密码轮换的利弊"。说实话,我想不出任何人都应该频繁地进行手动密码轮换的好理由。......

    10-01    来源:长虹华伟

    分享
  • 游戏盾_国内高防bgp服务器_怎么防

      很少有人会反驳有效的身份管理对有效的安全至关重要。今天尤其如此。今天,所有的组织都有新的数字资产定期上线:新的......

    10-01    来源:长虹华伟

    分享
  • 服务器安全防护_防ddos服务_如何防

      在拉斯维加斯紧随Gartner IAM之后,本次展会的一个主要主题是软件机器人。我们花了一些时间在展厅里对IT领导者进行了调查......

    10-01    来源:长虹华伟

    分享
  • DDOS高防服务_装修防护网_3天试用

      在当今的环境中,如果不将人与恶意软件本身分开,就很难将恶意行为体与有效用户区分开来。《错误身份》的大卫·李和迈......

    10-01    来源:长虹华伟

    分享
  • ddos高防_防ddos流量攻击_解决方案

      今天是欧盟通用数据保护条例(GDPR)颁布一周年。欧洲的数据隐私法规对过去20年来最严厉的一些消费者保护法进行了处罚,......

    10-02    来源:长虹华伟

    分享
  • ddos防御攻击_服务器高防哪家便宜_如何防

      我认为可以肯定地说,时不时地,我们都渴望一个"简单"的时代。这是一个概念,我们可以很容易地应用到我们个人生活的各......

    10-02    来源:长虹华伟

    分享
  • 网站安全防护_防血糖高的食物有哪些_零

      今天,帆船点自豪地宣布两个麻省理工学院的发布许可的、开源的sdk,实现了当前的FastFed规范。在这篇博文中实施者的草案......

    10-26    来源:长虹华伟

    分享
  • cc防护_网站防御软件_免费测试

      如果你听新闻报道的熔毁和幽灵,你会毫不怀疑这些问题必须立即解决。根据大多数报告,熔毁和幽灵的弱点动摇了每个人对......

    10-26    来源:长虹华伟

    分享
  • 香港高防_高防服务器哪家好_如何解决

      我们听说似乎每天都有重大违规行为发生,而实际上,每分钟都有新的违规行为发生,但这一切到底值多少钱?你对一个黑客......

    10-27    来源:长虹华伟

    分享
返回列表
Ctrl+D 将本页面保存为书签,全面了解最新资讯,方便快捷。