Windows DHCP Server远程代码执行误差剖析（CVE-2019-0626）
宣布时间 2019-02-19
误差配景
2月12日 ，，，微软宣布2月份月度例行清静通告 ，，，修复了多个高危误差 ，，，其中包括Windows DHCP Server远程代码执行误差CVE-2019-0626。。。。。 。。 。当攻击者向DHCP效劳器发送全心设计的数据包并乐成使用后 ，，，就可以在DHCP效劳中执行恣意代码 ，，，误差影响规模较大。。。。。 。。 。针对此误差 ，，，凯发k8ADLab第一时间对其举行了详细剖析。。。。。 。。 。
误差影响版本
Windows 7
Windows 8.1
Windows 10
Windows Server 2008
Windows Server 2012
Windows Server 2016
传输的DHCP协议报文需遵照以下名堂：
DHCP包括许多类型的Option ，，，每个Option由Type、Length和Data三个字段组成。。。。。 。。 。
Type取值规模1~255 ，，，部分Type类型如下图所示。。。。。 。。 。
DHCP效劳在处置惩罚Vendor Specific 类型（Type=43）的Option结构保存清静误差。。。。。 。。 。首先看下DHCP效劳程序对Option的处置惩罚历程 ，，， ProcessMessage函数认真处置惩罚收到的DHCP报文 ，，，挪用ExtractOptions函数处置惩罚DHCP的Option字段 ，，，传入函数ExtractOptions的参数1（v7）为DHCP报文指针 ，，，参数3（*(unsigned int *)(v5 + 16)）对应指针偏移位置+16的数据 ，，，即Len字段。。。。。 。。 。
ExtractOption函数如下所示。。。。。 。。 。 v6 = (unsigned __int64)&a1[a3 - 1];指向报文末尾位置 ；；；；；；；v10=a1+240;指向报文中Option结构。。。。。 。。 。在for循环中处置惩罚差别类型的Option结构 ，，，当type=43（Vendor Specific Information） ，，，传入指针v10和指针v6作为参数 ，，，挪用ParseVendorSpecific函数举行处置惩罚。。。。。 。。 。
结构一个DHCP Discovery报文 ，，，POC如下所示 ，，，POC包括两个vendor_specific 类型的Option结构。。。。。 。。 。vendor_specific1是正当的Option结构 ，，，Length取值0x0a即是Data的现实长度（0x0a） ，，，vendor_specific2是不正当的Option结构 ，，， Length取值0x0f大于Data的现实长度（0x0a）。。。。。 。。 。
DHCP效劳器收到Discovery请求报文 ，，，对数据包举行处置惩罚。。。。。 。。 。首先执行ExtractOptions处置惩罚Options ，，，当处置惩罚vendor_specific类型的Option时 ，，，进入到ParseVendorSpecific举行处置惩罚。。。。。 。。 。POC中结构一个正当的vendor_specific1 ，，，目的是为了绕过84~85行的校验代码 ，，，使程序顺遂执行到ParseVendorSpecific函数。。。。。 。。 。
补丁比对
补丁后的版本添加了对Length字段的有用性判断。。。。。 。。 。
2月12日 ，，，微软宣布2月份月度例行清静通告 ，，，修复了多个高危误差 ，，，其中包括Windows DHCP Server远程代码执行误差CVE-2019-0626。。。。。 。。 。当攻击者向DHCP效劳器发送全心设计的数据包并乐成使用后 ，，，就可以在DHCP效劳中执行恣意代码 ，，，误差影响规模较大。。。。。 。。 。针对此误差 ，，，凯发k8ADLab第一时间对其举行了详细剖析。。。。。 。。 。
误差影响版本
Windows 7
Windows 8.1
Windows 10
Windows Server 2008
Windows Server 2012
Windows Server 2016
Windows Server 2019
协议简介
传输的DHCP协议报文需遵照以下名堂：
DHCP包括许多类型的Option ，，，每个Option由Type、Length和Data三个字段组成。。。。。 。。 。
Type取值规模1~255 ，，，部分Type类型如下图所示。。。。。 。。 。
DHCP效劳在处置惩罚Vendor Specific 类型（Type=43）的Option结构保存清静误差。。。。。 。。 。首先看下DHCP效劳程序对Option的处置惩罚历程 ，，， ProcessMessage函数认真处置惩罚收到的DHCP报文 ，，，挪用ExtractOptions函数处置惩罚DHCP的Option字段 ，，，传入函数ExtractOptions的参数1（v7）为DHCP报文指针 ，，，参数3（*(unsigned int *)(v5 + 16)）对应指针偏移位置+16的数据 ，，，即Len字段。。。。。 。。 。
ExtractOption函数如下所示。。。。。 。。 。 v6 = (unsigned __int64)&a1[a3 - 1];指向报文末尾位置 ；；；；；；；v10=a1+240;指向报文中Option结构。。。。。 。。 。在for循环中处置惩罚差别类型的Option结构 ，，，当type=43（Vendor Specific Information） ，，，传入指针v10和指针v6作为参数 ，，，挪用ParseVendorSpecific函数举行处置惩罚。。。。。 。。 。
ParseVendorSpecific函数内部挪用UncodeOption函数。。。。。 。。 。UncodeOption函数参数a1指向option起始位置 ，，，a2指向报文的末尾位置。。。。。 。。 。UncodeOption函数保存清静误差 ，，，下面连系POC和补丁比对举行剖析。。。。。 。。 。
结构一个DHCP Discovery报文 ，，，POC如下所示 ，，，POC包括两个vendor_specific 类型的Option结构。。。。。 。。 。vendor_specific1是正当的Option结构 ，，，Length取值0x0a即是Data的现实长度（0x0a） ，，，vendor_specific2是不正当的Option结构 ，，， Length取值0x0f大于Data的现实长度（0x0a）。。。。。 。。 。
DHCP效劳器收到Discovery请求报文 ，，，对数据包举行处置惩罚。。。。。 。。 。首先执行ExtractOptions处置惩罚Options ，，，当处置惩罚vendor_specific类型的Option时 ，，，进入到ParseVendorSpecific举行处置惩罚。。。。。 。。 。POC中结构一个正当的vendor_specific1 ，，，目的是为了绕过84~85行的校验代码 ，，，使程序顺遂执行到ParseVendorSpecific函数。。。。。 。。 。
ParseVendorSpecific挪用UncodeOption函数 ，，，详细如下：
48行挪用HeapAlloc分派堆内存 ，，，分派的内存巨细v13=a。。。。。 。。 。
补丁比对
补丁后的版本添加了对Length字段的有用性判断。。。。。 。。 。
京公网安备11010802024551号