This media is not supported in your browser
VIEW IN TELEGRAM
#VMware #Escape CVE-2017-4905
نمونه ای از فرار بدافزار بواسطه بهره برداری از آسیب پذیری باینری پروتکل RPC و درایور رابط Host با ماشین Guest که منجر به اجرای کد در حافظه Host خواهد شد.
مکانیزمی با نام Backdoor وجود دارد که برای ارتباطات guest-host است، که این Backdoor دو Port دارد 5658 و 5659، اولی برای ارتباطات کوتاه، دومی برای ارتباطات پهنای باند بالا است.
ماشین مهمان درخواست in/out را بواسطه instructions های خود به دو Port ارسال کرده و Hypervisor درخواستی را به سرویس میدهد.
پروتکل GuestRPC ویژگی های Drag، Drop و غیره را بین Guest-Host برقرار میکند که مبتنی بر xHCI Host Controller بر روی Ring 0 فعالیت دارد.
اما باگ، از ساختار XHCI یک Device Context گزارش میشود که در ثبات DCBAAP در RAM فیزیکی ذخیره میشوند، اما XHCI یک کش داخلی از Device Context را نگه میدارد و تنها زمانی که تغییراتی رخ میدهد آنرا بروز میکند.
ماشین مجازی Map موقعیت Device Context را بدست آورده و یک بروز رسانی DCBAAP انجام میدهد، این بروز رسانی چک نمیشود و مهاجم میتواند مقدار آدرس را تغییر دهد.
@Unk9vvN
نمونه ای از فرار بدافزار بواسطه بهره برداری از آسیب پذیری باینری پروتکل RPC و درایور رابط Host با ماشین Guest که منجر به اجرای کد در حافظه Host خواهد شد.
مکانیزمی با نام Backdoor وجود دارد که برای ارتباطات guest-host است، که این Backdoor دو Port دارد 5658 و 5659، اولی برای ارتباطات کوتاه، دومی برای ارتباطات پهنای باند بالا است.
ماشین مهمان درخواست in/out را بواسطه instructions های خود به دو Port ارسال کرده و Hypervisor درخواستی را به سرویس میدهد.
پروتکل GuestRPC ویژگی های Drag، Drop و غیره را بین Guest-Host برقرار میکند که مبتنی بر xHCI Host Controller بر روی Ring 0 فعالیت دارد.
اما باگ، از ساختار XHCI یک Device Context گزارش میشود که در ثبات DCBAAP در RAM فیزیکی ذخیره میشوند، اما XHCI یک کش داخلی از Device Context را نگه میدارد و تنها زمانی که تغییراتی رخ میدهد آنرا بروز میکند.
ماشین مجازی Map موقعیت Device Context را بدست آورده و یک بروز رسانی DCBAAP انجام میدهد، این بروز رسانی چک نمیشود و مهاجم میتواند مقدار آدرس را تغییر دهد.
@Unk9vvN
#Browser V8 Heap #Sandbox #Escape
اخیرا روشی در کنفرانس OffensiveCon 2024 مطرح شده در خصوص دور زدن Sandbox مرورگر Chrome با موتور اجرایی V8.
این روش مطرح شده به این صورت است که مهاجم بواسطه یک آسیب پذیری Memory Corruption توان خواندن و نوشتن در منطقه حافظه Sandbox را پیدا میکند، لذا بواسطه تعریف چند HeapObj امکان دسترسی به Base Address ساختمان PTR Table شده و مقدار آدرس را با نوع محتوای عددی، دریافت میشود.
اما همانطور که میدانید Sandbox ها از Control Flow Integrity استفاده میکنند برای ترسیم پرش ها و اشاره های درون یک برنامه، محقق اینجا میکوشد تا بواسطه HeapObjها یک اشاره گر External را تعریف کرده تا از منطقه Trust حافظه خارج شده و اقدام به فراخوانی Gadget در بیرون حافظه کند.
که این موضوع موجب میشود محقق بتواند یک پردازش بیرون از Sandbox را ایجاد کرده و مکانیزم را دور بزند، این مسئله در پی باگی در نحوه پوشش Sandbox موتور اجرایی V8 رخ میدهد که External Object ها را Isolate نمیکند.
@Unk9vvN
اخیرا روشی در کنفرانس OffensiveCon 2024 مطرح شده در خصوص دور زدن Sandbox مرورگر Chrome با موتور اجرایی V8.
این روش مطرح شده به این صورت است که مهاجم بواسطه یک آسیب پذیری Memory Corruption توان خواندن و نوشتن در منطقه حافظه Sandbox را پیدا میکند، لذا بواسطه تعریف چند HeapObj امکان دسترسی به Base Address ساختمان PTR Table شده و مقدار آدرس را با نوع محتوای عددی، دریافت میشود.
اما همانطور که میدانید Sandbox ها از Control Flow Integrity استفاده میکنند برای ترسیم پرش ها و اشاره های درون یک برنامه، محقق اینجا میکوشد تا بواسطه HeapObjها یک اشاره گر External را تعریف کرده تا از منطقه Trust حافظه خارج شده و اقدام به فراخوانی Gadget در بیرون حافظه کند.
که این موضوع موجب میشود محقق بتواند یک پردازش بیرون از Sandbox را ایجاد کرده و مکانیزم را دور بزند، این مسئله در پی باگی در نحوه پوشش Sandbox موتور اجرایی V8 رخ میدهد که External Object ها را Isolate نمیکند.
@Unk9vvN