Windows CNG.sys 池缓冲区溢出漏洞分析（CVE-2020-17087）教学文档<\/h1>

一、漏洞概述<\/h2>

1.1 漏洞基本信息<\/h3>

漏洞名称<\/strong>：Windows CNG.sys 池缓冲区溢出漏洞<\/li>
漏洞编号<\/strong>：CVE-2020-17087<\/li>
漏洞类型<\/strong>：整数溢出导致的池缓冲区溢出<\/li>
影响范围<\/strong>：本地权限提升<\/li>
CVSS v3.0评分<\/strong>：7.8（高危）<\/li>
基础权限要求<\/strong>：普通用户权限<\/li>

受影响组件<\/strong>：cng.sys（Cryptography Next Generation驱动程序）<\/li> <\/ul>
1.2 漏洞环境<\/h3>

操作系统<\/strong>：Windows 10 2004（19041.264）<\/li>
分析工具<\/strong>：

Windbg 1.2506.12002.0<\/li>
IDA Pro 9.0<\/li>
VS 2022<\/li> <\/ul> <\/li> <\/ul>
二、漏洞原理分析<\/h2>
2.1 漏洞位置<\/h3>
漏洞位于cng.sys驱动程序的CfgAdtpFormatPropertyBlock<\/code>函数中，该函数处理IOCTL 0x390400请求。<\/p>
2.2 漏洞机制<\/h3> 2.2.1 整数溢出<\/h4> 关键漏洞代码：<\/p> USHORT OutputLength =<\/span> SourceLength *<\/span> 6<\/span>; \/\/ 整数溢出点 <\/span><\/span><\/span><\/span>PVOID OutputBuffer =<\/span> ExAllocatePoolWithTag(NonPagedPool, OutputLength, '<\/span>gfNC'<\/span>); <\/span><\/span><\/code><\/pre>漏洞分析<\/strong>：<\/p> SourceLength<\/code>为输入参数，USHORT<\/code>为16位无符号整数（最大值65535）<\/li> 当SourceLength ≥ 0x2AAB<\/code>时，0x2AAB * 6 = 0x10002<\/code>，超过USHORT最大值<\/li> 发生整数溢出，OutputLength<\/code>被截断为0x0002<\/li> 实际分配仅2字节缓冲区，但后续操作会写入0x10002字节数据<\/li> <\/ul> 2.2.2 缓冲区溢出<\/h4> 在二进制转十六进制的循环处理中：<\/p> 每个输入字节转换为6字节十六进制表示（如24 → "0x18 "）<\/li> 加上空格分隔符，导致写入数据远超分配缓冲区大小<\/li> 溢出发生在非分页池（NonPagedPool）中<\/li> <\/ul> 三、漏洞复现<\/h2> 3.1 复现步骤<\/h3> 编译并执行提供的exp1.exe<\/li> 执行前使用whoami<\/code>确认当前权限<\/li> 运行exp1.exe后再次执行whoami<\/code>验证权限提升<\/li> <\/ol> 3.2 PoC代码分析<\/h3> #include<\/span> <cstdio><\/span> <\/span><\/span><\/span>#include<\/span> <windows.h><\/span> <\/span><\/span><\/span><\/span> <\/span><\/span>int<\/span> main<\/span>() { <\/span><\/span> \/\/ 打开CNG设备 <\/span><\/span><\/span><\/span> HANDLE hCng =<\/span> CreateFileA("<\/span>\\\\<\/span>.<\/span>\\<\/span>GLOBALROOT<\/span>\\<\/span>Device<\/span>\\<\/span>Cng"<\/span>, <\/span><\/span> GENERIC_READ |<\/span> GENERIC_WRITE, 0<\/span>, NULL, <\/span><\/span> OPEN_EXISTING, 0<\/span>, NULL); <\/span><\/span> <\/span><\/span> CONST DWORD DataBufferSize =<\/span> 0x2AAB<\/span>; \/\/ 触发溢出的关键值 <\/span><\/span><\/span><\/span> CONST DWORD IoctlSize =<\/span> 4096<\/span> +<\/span> DataBufferSize; <\/span><\/span> BYTE *<\/span>IoctlData =<\/span> (BYTE *<\/span>)HeapAlloc(GetProcessHeap(), 0<\/span>, IoctlSize); <\/span><\/span> <\/span><\/span> \/\/ 构造恶意IOCTL数据 <\/span><\/span><\/span><\/span> *<\/span>(DWORD*<\/span>) &<\/span>IoctlData[0x50<\/span>] =<\/span> DataBufferSize; \/\/ 溢出参数 <\/span><\/span><\/span><\/span> <\/span><\/span> \/\/ 发送恶意IOCTL <\/span><\/span><\/span><\/span> DeviceIoControl(hCng, 0x390400<\/span>, IoctlData, IoctlSize, <\/span><\/span> &<\/span>OutputBuffer, sizeof<\/span>(OutputBuffer), &<\/span>BytesReturned, NULL); <\/span><\/span> <\/span><\/span> return<\/span> 0<\/span>; <\/span><\/span>} <\/span><\/span><\/code><\/pre>四、利用技术深入分析<\/h2> 4.1 利用框架概述<\/h3> 利用过程采用命名管道（Named Pipe）机制进行内核池布局和利用，主要步骤：<\/p> 池风水布局（Heap Feng Shui）<\/li> 精确池喷射（Precise Pool Spraying）<\/li> 任意读原语构建（Arbitrary Read Primitive）<\/li> 任意写原语构建（Arbitrary Write Primitive）<\/li> 令牌窃取提权（Token Stealing）<\/li> <\/ol> 4.2 关键技术组件<\/h3> 4.2.1 命名管道机制<\/h4> NPFS.sys<\/strong>：命名管道文件系统驱动<\/li> DATA_QUEUE_ENTRY结构<\/strong>：<\/li> <\/ul> typedef<\/span> struct<\/span> _DATA_QUEUE_ENTRY { <\/span><\/span> LIST_ENTRY ListEntry; \/\/ 双向链表指针 <\/span><\/span><\/span><\/span> PVOID SecurityContext; \/\/ 安全上下文（用于模拟） <\/span><\/span><\/span><\/span> ULONG EntryType; \/\/ 条目类型（缓冲\/非缓冲） <\/span><\/span><\/span><\/span> PIRP Irp; \/\/ 关联的IRP结构 <\/span><\/span><\/span><\/span> ULONG QuotaInEntry; \/\/ 配额计数 <\/span><\/span><\/span><\/span> ULONG DataSize; \/\/ 数据大小 <\/span><\/span><\/span><\/span> \/\/ ... 其他字段 <\/span><\/span><\/span><\/span>} DATA_QUEUE_ENTRY; <\/span><\/span><\/code><\/pre> 条目类型<\/strong>：缓冲条目<\/strong>：数据存储在NPFS分配的池缓冲区中<\/li> 非缓冲条目<\/strong>：数据存储在用户提供的缓冲区中<\/li> <\/ul> <\/li> <\/ul> 4.2.2 池分配策略<\/h4> 池喷射布局表<\/strong>：<\/p> 管道类型<\/th> 数量<\/th> 数据大小<\/th> 目的<\/th> <\/tr> <\/thead> spare_pipe<\/td> 10000<\/td> 0x1F0<\/td> 清空FreeChunkTree，强制连续分配<\/td> <\/tr> subsegments_pipe<\/td> 10<\/td> 0x8E20<\/td> 隔离布局区域，防止溢出扩散<\/td> <\/tr> victim_pipes<\/td> 10000<\/td> 0x2D0\/0x4000<\/td> 主要攻击目标<\/td> <\/tr> bcrypt_pipe<\/td> 1<\/td> 0x8D2<\/td> 触发漏洞的管道<\/td> <\/tr> <\/tbody> <\/table> 4.3 利用步骤详解<\/h3> 4.3.1 阶段一：池布局准备<\/h4> 激活LFH<\/strong>：通过EnableLookaside<\/code>函数激活低碎片堆（LFH）<\/li> 池风水<\/strong>：精确控制内存分配模式，确保可预测的布局<\/li> hole创建<\/strong>：在布局中预留特定位置用于漏洞触发<\/li> <\/ol> 4.3.2 阶段二：漏洞触发与覆盖<\/h4> 发送恶意IOCTL<\/strong>：触发cng.sys中的整数溢出<\/li> 覆盖DATA_QUEUE_ENTRY<\/strong>：精确覆盖相邻chunk的flink指针<\/li> 构造伪造条目<\/strong>：通过覆盖实现内存任意读写能力<\/li> <\/ol> 4.3.3 阶段三：任意读原语<\/h4> \/\/ 伪造的非缓冲条目结构 <\/span><\/span><\/span><\/span>struct<\/span> UNDERCOVER_ENTRY<\/span> { <\/span><\/span> LIST_ENTRY ListEntry; \/\/ 被覆盖的链表指针 <\/span><\/span><\/span><\/span> PVOID SecurityContext; \/\/ 安全上下文 <\/span><\/span><\/span><\/span> ULONG EntryType; \/\/ 条目类型 <\/span><\/span><\/span><\/span> PIRP Irp; \/\/ 指向用户控制的IRP <\/span><\/span><\/span><\/span> ULONG QuotaInEntry; \/\/ 配额 <\/span><\/span><\/span><\/span> ULONG DataSize; \/\/ 数据大小 <\/span><\/span><\/span><\/span>}; <\/span><\/span><\/code><\/pre>实现机制<\/strong>：<\/p> 覆盖victim_pipe条目的flink指向用户态构造的伪造条目<\/li> 通过PeekNamedPipe操作读取伪造条目指向的内核数据<\/li> 利用IRP的SystemBuffer字段实现任意地址读取<\/li> <\/ul> 4.3.4 阶段四：任意写原语<\/h4> 伪造IRP结构<\/strong>：构建用于权限提升的恶意IRP<\/li> 线程挂起条目<\/strong>：创建stalled_entry获取线程和进程信息<\/li> 令牌替换<\/strong>：通过任意写将system进程令牌复制到当前进程<\/li> <\/ol> 4.3.5 阶段五：权限提升<\/h4> 获取EPROCESS<\/strong>：通过线程结构找到系统进程<\/li> 令牌窃取<\/strong>：读取system进程的token值<\/li> 令牌覆盖<\/strong>：将当前进程token替换为system token<\/li> <\/ol> 4.4 关键技术难点<\/h3> 4.4.1 精确池控制<\/h4> LFH激活<\/strong>：确保特定大小的分配从LFH进行<\/li> Lookaside列表<\/strong>：利用Lookaside机制提高分配可预测性<\/li> 子段隔离<\/strong>：防止溢出影响其他关键结构<\/li> <\/ul> 4.4.2 地址信息泄露<\/h4> PeekNamedPipe利用<\/strong>：通过该函数获取内核地址信息<\/li> 链表遍历<\/strong>：利用DATA_QUEUE_ENTRY的双向链表特性<\/li> 偏移计算<\/strong>：精确计算各种结构体在内核中的偏移<\/li> <\/ul> 4.4.3 稳定性保障<\/h4> 错误处理<\/strong>：完善的错误检测和恢复机制<\/li> 竞争条件避免<\/strong>：通过合适的同步机制防止竞争<\/li> 多重验证<\/strong>：对关键操作结果进行多重验证<\/li> <\/ul> 五、防御和缓解措施<\/h2> 5.1 微软官方补丁<\/h3> 修复cng.sys中的整数溢出检查<\/li> 增加输入参数验证机制<\/li> 改进池分配大小计算<\/li> <\/ul> 5.2 系统级防护<\/h3> 驱动签名验证<\/strong>：确保加载的驱动程序经过数字签名<\/li> 池保护机制<\/strong>：启用PoolTag和PoolMonitor检测异常池操作<\/li> 权限最小化<\/strong>：遵循最小权限原则，减少攻击面<\/li> <\/ol> 5.3 开发建议<\/h3> 安全编码<\/strong>：对数值运算进行边界检查<\/li> 静态分析<\/strong>：使用代码分析工具检测整数溢出漏洞<\/li> 模糊测试<\/strong>：对驱动程序IOCTL接口进行充分的模糊测试<\/li> <\/ol> 六、总结与启示<\/h2> CVE-2020-17087是一个典型的内核池溢出漏洞，其利用技术展示了现代Windows内核漏洞利用的多个重要方面：<\/p> 漏洞利用复杂性<\/strong>：从简单的缓冲区溢出到完整的权限提升链<\/li> 内核池管理理解<\/strong>：深入理解Windows内存管理机制是成功利用的关键<\/li> 利用技术演进<\/strong>：结合了池风水、任意读写原语等高级技术<\/li> <\/ol> 该漏洞的分析对于理解Windows内核安全机制、驱动漏洞利用技术以及相应的防御措施具有重要参考价值。<\/p>

管道类型<\/th>	数量<\/th>	数据大小<\/th>	目的<\/th> <\/tr> <\/thead>
spare_pipe<\/td>	10000<\/td>	0x1F0<\/td>	清空FreeChunkTree，强制连续分配<\/td> <\/tr>
subsegments_pipe<\/td>	10<\/td>	0x8E20<\/td>	隔离布局区域，防止溢出扩散<\/td> <\/tr>
victim_pipes<\/td>	10000<\/td>	0x2D0\/0x4000<\/td>	主要攻击目标<\/td> <\/tr>
bcrypt_pipe<\/td>	1<\/td>	0x8D2<\/td>	触发漏洞的管道<\/td> <\/tr> <\/tbody> <\/table> 4.3 利用步骤详解<\/h3> 4.3.1 阶段一：池布局准备<\/h4> 激活LFH<\/strong>：通过`EnableLookaside<\/code>函数激活低碎片堆（LFH）<\/li>` `池风水<\/strong>：精确控制内存分配模式，确保可预测的布局<\/li>` hole创建<\/strong>：在布局中预留特定位置用于漏洞触发<\/li> <\/ol> 4.3.2 阶段二：漏洞触发与覆盖<\/h4> 发送恶意IOCTL<\/strong>：触发cng.sys中的整数溢出<\/li> 覆盖DATA_QUEUE_ENTRY<\/strong>：精确覆盖相邻chunk的flink指针<\/li> 构造伪造条目<\/strong>：通过覆盖实现内存任意读写能力<\/li> <\/ol> 4.3.3 阶段三：任意读原语<\/h4> \/\/ 伪造的非缓冲条目结构 <\/span><\/span><\/span><\/span>struct<\/span> UNDERCOVER_ENTRY<\/span> { <\/span><\/span> LIST_ENTRY ListEntry; \/\/ 被覆盖的链表指针 <\/span><\/span><\/span><\/span> PVOID SecurityContext; \/\/ 安全上下文 <\/span><\/span><\/span><\/span> ULONG EntryType; \/\/ 条目类型 <\/span><\/span><\/span><\/span> PIRP Irp; \/\/ 指向用户控制的IRP <\/span><\/span><\/span><\/span> ULONG QuotaInEntry; \/\/ 配额 <\/span><\/span><\/span><\/span> ULONG DataSize; \/\/ 数据大小 <\/span><\/span><\/span><\/span>}; <\/span><\/span><\/code><\/pre>实现机制<\/strong>：<\/p> 覆盖victim_pipe条目的flink指向用户态构造的伪造条目<\/li> 通过PeekNamedPipe操作读取伪造条目指向的内核数据<\/li> 利用IRP的SystemBuffer字段实现任意地址读取<\/li> <\/ul> 4.3.4 阶段四：任意写原语<\/h4> 伪造IRP结构<\/strong>：构建用于权限提升的恶意IRP<\/li> 线程挂起条目<\/strong>：创建stalled_entry获取线程和进程信息<\/li> 令牌替换<\/strong>：通过任意写将system进程令牌复制到当前进程<\/li> <\/ol> 4.3.5 阶段五：权限提升<\/h4> 获取EPROCESS<\/strong>：通过线程结构找到系统进程<\/li> 令牌窃取<\/strong>：读取system进程的token值<\/li> 令牌覆盖<\/strong>：将当前进程token替换为system token<\/li> <\/ol> 4.4 关键技术难点<\/h3> 4.4.1 精确池控制<\/h4> LFH激活<\/strong>：确保特定大小的分配从LFH进行<\/li> Lookaside列表<\/strong>：利用Lookaside机制提高分配可预测性<\/li> 子段隔离<\/strong>：防止溢出影响其他关键结构<\/li> <\/ul> 4.4.2 地址信息泄露<\/h4> PeekNamedPipe利用<\/strong>：通过该函数获取内核地址信息<\/li> 链表遍历<\/strong>：利用DATA_QUEUE_ENTRY的双向链表特性<\/li> 偏移计算<\/strong>：精确计算各种结构体在内核中的偏移<\/li> <\/ul> 4.4.3 稳定性保障<\/h4> 错误处理<\/strong>：完善的错误检测和恢复机制<\/li> 竞争条件避免<\/strong>：通过合适的同步机制防止竞争<\/li> 多重验证<\/strong>：对关键操作结果进行多重验证<\/li> <\/ul> 五、防御和缓解措施<\/h2> 5.1 微软官方补丁<\/h3> 修复cng.sys中的整数溢出检查<\/li> 增加输入参数验证机制<\/li> 改进池分配大小计算<\/li> <\/ul> 5.2 系统级防护<\/h3> 驱动签名验证<\/strong>：确保加载的驱动程序经过数字签名<\/li> 池保护机制<\/strong>：启用PoolTag和PoolMonitor检测异常池操作<\/li> 权限最小化<\/strong>：遵循最小权限原则，减少攻击面<\/li> <\/ol> 5.3 开发建议<\/h3> 安全编码<\/strong>：对数值运算进行边界检查<\/li> 静态分析<\/strong>：使用代码分析工具检测整数溢出漏洞<\/li> 模糊测试<\/strong>：对驱动程序IOCTL接口进行充分的模糊测试<\/li> <\/ol> 六、总结与启示<\/h2> CVE-2020-17087是一个典型的内核池溢出漏洞，其利用技术展示了现代Windows内核漏洞利用的多个重要方面：<\/p> 漏洞利用复杂性<\/strong>：从简单的缓冲区溢出到完整的权限提升链<\/li> 内核池管理理解<\/strong>：深入理解Windows内存管理机制是成功利用的关键<\/li> 利用技术演进<\/strong>：结合了池风水、任意读写原语等高级技术<\/li> <\/ol> 该漏洞的分析对于理解Windows内核安全机制、驱动漏洞利用技术以及相应的防御措施具有重要参考价值。<\/p>

Windows CNG.sys 池缓冲区溢出漏洞分析（CVE-2020-17087）教学文档<\/h1>

一、漏洞概述<\/h2>

二、漏洞原理分析<\/h2>

2.1 漏洞位置<\/h3> 漏洞位于cng.sys驱动程序的CfgAdtpFormatPropertyBlock<\/code>函数中，该函数处理IOCTL 0x390400请求。<\/p>

三、漏洞复现<\/h2>

四、利用技术深入分析<\/h2>

4.2 关键技术组件<\/h3>

4.3 利用步骤详解<\/h3>

4.4 关键技术难点<\/h3>

五、防御和缓解措施<\/h2>

2.1 漏洞位置<\/h3>
漏洞位于cng.sys驱动程序的`CfgAdtpFormatPropertyBlock<\/code>函数中，该函数处理IOCTL 0x390400请求。<\/p>`