0x00 简介

安恒威胁信息中心在2020年12月中旬发现的BITTER (在分析组织攻击组件的过程中，发现利用了win32kfull模块的0日漏洞。 该漏洞是通过win32kfull.sys实现内核权利的漏洞，该漏洞利用的是Windows操作系统win32k

0x01 漏洞概述

这个漏洞的根本原因是在Windows窗口制作(CreateWindowEx )中，Windows图形驱动程序。 win32k满！ xxxCreateWindowEx函数调用win32k完全！ xxxclientallocwindowclassextrabytes的结果是，可以根据内核状态的桌面堆的起始地址修改指定的offset地址数据，从而实现任意地址的读取/写入。 然后，通过获取内核地址、遍历EPROCESS链来搜索system进程，并复制system进程的token值来完成授权。

0x02 影响版本

windows服务器，版本20 H2 (服务器核心安装) )。

windows 10版本20 H2表单64 -基于系统

windows 10版本20 H2 for 32位系统

windows 10版本20 H2福克斯64 -基于系统

windows服务器，版本2004 (服务器核心安装)。

windows 10版本2004福克斯64 -基于系统

windows 10版本2004表单64 -基于系统

windows 10版本2004 for 32位元系统

windows服务器，版本1909 (服务器核心安装)。

windows 10版本1909表单64 -基于系统

windows 10版本1909福克斯64 -基于系统

windows 10版本1909 for 32位元系统

windows服务器2019 (服务器核心安装)

windows服务器2019

windows 10版本1809表单64 -基于系统

windws 10版本1809福克斯64 -基于系统

windows 10版本1809 for 32位元系统

windows 10版本1803表单64 -基于系统

windows 10版本1803福克斯64 -基于系统

windows 10版本1803 for 32位元系统

0x03 环境搭建

1 .安装vmwareworkstationpro或其他虚拟机软件。

2 .安装受影响版本的Windows系统。

此次测试使用的是windows 10版本1903 x64。

下载

0x04 漏洞复现

1.exp程序

359 Github.com/Ascot be/Kernel Hub/Blob/master/CVE-2021-1732/CVE-2021-1732.EXE2. Win 10虚拟机的windowsdefeefe

打开Windows安全中心。 如下图所示。

关闭“实时防护”和“自动提交样本”。 如下图所示。

2 .将下载的exp程序复制到虚拟机的桌面或其他位置。 如下图所示。

3 .用win键r快捷键执行“cmd”，然后打开命令窗口，执行以下命令进入exp程序所在的目录

CDC : 用户用户桌面计算机- 2021-1732 (9505.163.com () ) ) ) ) ) ) ) ) ) ) ) )

4 .执行以下命令(参数) whoami )可以替换为任意命令) ) ) ) )。

CVE-2021-1732.exe whoami 。

exp程序利用漏洞以系统权限执行“whoami”命令，返回到底部，结果表明该进程成功获得了系统权限。

0x05 修复建议

微软官方于2021年2月发布了应对该漏洞的补丁。 可以通过以下链接获取和安装相关的安全修补程序。

3359 M src .微软.com /更新指南/价值/CVE-2021-1732