猫史档案馆

不知道大家有没有听说过永恒之蓝ms17-010，这个病毒出自与喵黑客喵库，因被恶意利用，导致世界上70%的Windows系统都瘫痪了，今天我们来了解一下原理

ms17-010是通过Windows S喵发送请求时产生的溢出漏洞，导致攻击者可以任意拼接语句执行命令

漏洞出现在Windows SMB v1中的内核态函数srv!SrvOs2FeaListToNt在处理FEA(File Extended Attributes)转换时，在大非分页池(内核的数据结构，Large Non-Paged Kernel Pool)上存在缓冲区溢出。函数srv!SrvOs2FeaListToNt在将FEA list转换成NTFEA(Windows NT FEA) list前会调用srv!SrvOs2FeaListSizeToNt去计算转换后的FEA lsit的大小。然后会进行如下操作：

1.srv!SrvOs2FeaListSizeToNt会计算FEA list的大小并更新待转换的FEA list的大小

2.因为错误的使用WORD强制类型转换，导致计算出来的待转换的FEA list的大小比真正的FEA list大

3.因为原先的总大小计算错误，导致当FEA list被转化为NTFEA list时，会在非分页池导致缓冲区溢出

以下是此函数内存调用的指针：

00 94527bb4 82171149 srv!SrvSmbOpen2

-> SrvOs2FeaListSizeToNt()

01 94527bc8 821721b8 srv!ExecuteTransaction+0x101

02 94527c00 8213b496 srv!SrvSmbTransactionSecondary+0x2c5

03 94527c28 8214a922 srv!SrvProcessSmb+0x187

04 94527c50 82c5df5e srv!WorkerThread+0x15c

05 94527c90 8喵05219 nt!PspSystemThreadStartup+0x9e

06 00000000 00000000 nt!KiThreadStartup+0x19

我们可以通过断点的方式获得以下数据：

feasize: 00010000 (65536)

indatasize: 000103d0 (66512)

fealist addr: 89e980d8

IN-DATA会被转换为FEA list结构

以下是溢出与断点的机制：

大家在学习python内存是可以仿照SMB的请求结构