来自 CC防护 2022-05-16 06:30 的文章

阿里云高防ip_阿里云ddos高防ip_免费试用

阿里云高防ip_阿里云ddos高防ip_免费试用

谨防新的Windows安全漏洞(MS12-024)

作为4月份"补丁星期二"的一部分,微软发布了MS12-024/CVE-2012-0151漏洞的修复程序。

我们发现并研究了这个问题;在过去的几个月里,我们一直在与微软的工程师联系,以解决这个问题。这篇博文的目的是解释修复的问题、风险和可能的后果。

CVE-2012-0151的标题是"WinVerifyTrust签名验证漏洞"。现在,这个特殊的"WinVerifyTrust"是什么?它是操作系统的一部分,负责验证数字签名。因此,当有人——无论是操作系统本身,还是希望检查其完整性的应用程序,或者用户从"属性"选项卡手动检查文件的完整性——想要验证文件时,这段代码将被调用以处理数字签名。处理包括两个步骤;第一步是确保文件没有被篡改。代码应用复杂的数学算法来验证文件是否未被任何方式修改,以及文件是否与签名时完全相同。确认后,第二步是检查特定签名者是否确实受到系统的信任。咨询系统的证书存储并验证信任链。

然而,事实证明,在第一步中存在问题。可以修改已签名的可执行文件,使其使用/执行已修改(可能是恶意的)代码部分,但文件的签名仍然有效。这会破坏数字签名的关键属性—确保签名文件未被篡改。

那么,后果是什么?数字签名真的那么重要吗?可执行文件的签名在过去几年中变得越来越重要;许多程序和服务已经上线,互联网上的恶意文件数量大幅增长,而试图将这些文件传递给受害者的社会工程技术也只得到了改进。数字签名可以区分来自可信来源的文件和恶意攻击者伪造的文件。在64位版本的Windows操作系统中,微软甚至进一步加强了对驱动程序文件的特殊签名,目的是防止在新系统中安装匿名/未经授权的内核代码(请注意,我们没有发现任何证据表明所讨论的漏洞也会影响驱动程序验证码-这似乎是安全的。)

当您从Internet下载文件并尝试运行它时,或者当UAC提示显示需要以管理员权限运行程序时,将选中数字签名并显示签名者的姓名。然而,如果你不能确定文件是真实的,你就不能说"这个文件来自我信任的公司,可以运行它"。或者,为了扭转这种情况,虚拟主机怎么防御ddos,如果一个伪造文件是由一家已知公司签名的,并且操作系统本身向您提供了该信息,那么您很有可能会落入该陷阱并运行该文件——这比文件由未知人签名或根本没有签名的可能性要高得多。因此,该漏洞使恶意软件作者有机会提高其创作的可信度,并随后增加其发行量。

另一种可能的情况是邪恶等级攻击。许多当前的应用程序(浏览器、浏览器加载项、PDF阅读器、Java、Windows本身)会自动在线检查其更新,这很好,因为它可以加快修复这些程序中发现的其他漏洞。找到更新后,将下载、验证并最终安装。为什么要执行验证步骤?首先,要确保文件下载过程中没有任何损坏,其次要检查是否存在任何网络重定向(本地重定向,如主机文件劫持,或远程重定向,由邪恶的ISP或被黑客攻击的路由器),以及文件是否真的从完全无关的位置下载。

他们如何进行此类验证?是的,检查下载文件的数字签名是一个自然的选择。但是,如果有可能伪造文件内容并保持数字签名有效。。。我们有一个问题;想象一下,一个流氓ISP向所有连接的客户端提供虚假的浏览器更新,在其机器上安装任意代码。这个流氓"ISP"的范围可能从公共场所的简单WiFi热点到政府控制互联网连接的整个国家,并试图进入人民的计算机。

甚至安全产品本身也可能受到影响。检查文件的数字签名并根据结果为该文件分配一定程度的信任-这是一种相当常见的做法。由特定受信任的供应商签署的应用程序可能会被列入白名单——无论是针对某些操作还是完全的。但当然,有问题的文件必须真正来自预期的供应商;如果它被第三方修改,信任是不合理的。

正如我们在上面的几个例子中所看到的,不能信任可执行文件的数字签名可能是一个严重的问题。那么,现在怎么办?补丁发布了,每个人都安装了它,ddos10g防御够吗,我们又回到了一切正常的世界?好。。。大部分。问题是有多种方法可以修改签名的可执行文件。其中一些漏洞很容易被检测到,因为生成的文件是如此扭曲,以至于没有人会创建这样的文件而不实际尝试利用该漏洞。还有一些更难避免,免费ddos集群防御,因为它们不是由Windows代码中的任何错误启用的——它们部分是一个设计缺陷(因为我们讨论的是可执行文件和数字签名的格式,这是不容易更改的,因为它会使数百万已签名的可执行文件失效),部分原因是可修改可执行文件本身存在缺陷(即易受此类攻击的第三方应用程序中存在的问题)。虽然补丁试图尽最大努力阻止那些更难检测的方法,可能有一些应用程序仍然可以被篡改,同时保持其签名有效。