研究人员利用微软的记事本打开远程shell访问

Google Project Zero研究人员发现了微软记事本Windows应用程序中的一个错误。

Microsoft Windows记事本应用程序中的内存损坏错误可用于打开远程shell访问 - 通常是攻击者渗透系统的第一步。

这个漏洞是由谷歌Project Zero团队的漏洞猎人Tavis Ormandy发现的。在一条推文中，他表示该错误与记事本中的内存损坏缺陷有关，记事本是自1985年以来在所有版本的Windows上发布的基本文本编辑器。

“我是第一个在记事本中弹出外壳的人吗？”Ormandy在推文中问道。他接着说：“这是一个真正的内存损坏漏洞，我已经向MSRC（微软安全响应中心）报告了这个漏洞。令人惊讶的是，有人回答说我只是点击了一些东西.... 我说'这是一个真正的错误'😆我花了整个周末才找到好的CFG（Control Flow Guard）小工具，只是炫耀一下。“

该研究人员表示，该漏洞的更多细节将在90天后公布，作为谷歌Project Zero披露政策的一部分，或在微软修补漏洞之后。

我是第一个在记事本中弹出贝壳的人吗？🤣....信不信由你，这是一个真正的错误！🐞 pic.twitter.com/t2wTh7E93p- Tavis Ormandy（@taviso），2019年5月28日

“我只能说这是一个严重的安全漏洞，我们已经给微软提供了长达90天的时间来处理它（就像我们报告的所有漏洞一样）。这就是我可以分享的一切，“他在周五的推文对话中写道。

White Ops的首席科学家兼创始人丹·卡明斯基说，让这次袭击发挥作用令人印象深刻。“记事本暴露的攻击面很少，值得注意的是它仍然足以让攻击者能够运行任意代码，”卡明斯基说。“这并不是说，鉴于记事本所做的事情很少，因此没有出错的地方。”

对于许多研究人员来说，通过记事本应用程序“弹出一个shell”还没有公开记录。术语“弹出shell”是描述攻击者利用计算机并通过shell连接获得远程访问的攻击的简写。

Zerodium的创始人Chaouki Bekrar是一家购买零日漏洞的公司，他通过推特称，记事本应用程序过去曾被利用过，而不是公开的。在回复Ormandy的推文中，他写道：“没有Tavis，你不是第一个用记忆腐败来记录记事本的人，但你可能是第一个向MS报告的人;-)”

没有塔维斯，你不是第一个用记忆腐败来记录记事本的人但是你可能是第一个向MS报告的人😉https : //t.co/udQGduVpKO- Chaouki Bekrar（@cBekrar），2019年5月29日

但是，由于远程攻击者首先必须触发启动记事本然后“弹出”打开一个shell，因此该bug的影响是在安全威胁的上下文中提出的。

“这是一件好事吗？或者这是一个真正的威胁？好吧，你必须问自己，攻击者是否可以启动记事本，并使其解析其中一个文件。因为如果你不能到达特定的应用程序，那么如果有错误并不重要，“Kaminsky说。

他指出，有一些旧版本的Internet Explorer（IE 11）可以在攻击场景中操作以启动记事本。“但今天发布IE缓解措施后，除非你坐在电脑前，否则无法在系统上启动记事本，”Kaminsky说。

许多研究人员在Twitter上对这个漏洞进行了权衡，他们达成了共识，即人们不应该为担心Notepad作为潜在威胁载体的山丘而奔波。

“所以有人可能会想，好吧，也许你有权破坏记忆。但你能绕过Control Flow Guard吗？你能绕过ASLR吗？您是否可以解决我们为帮助最终用户抵御攻击所做的所有事情？即使有这些限制，答案是'不'他仍然有效，“卡明斯基说。

当被问及Ormandy可能称之为他的错误时，他说“NoteBad”。

原文始发于微信公众号（红数位）：研究人员利用微软的记事本“打开远程shell访问”