SMB v3远程拒绝服务漏洞分析

最新推荐文章于 2024-07-10 17:18:40 发布

weixin_33974433

最新推荐文章于 2024-07-10 17:18:40 发布

阅读量519

点赞数

CC 4.0 BY-SA版权

原文链接：https://yq.aliyun.com/articles/222246

本文分析了Windows SMBv3中存在的远程拒绝服务漏洞，该漏洞源于mrxsmb20.sys驱动处理TreeConnectResponse时的不当包长度检查。通过特定长度的数据包即可触发漏洞，导致系统崩溃。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本文讲的是 SMB v3远程拒绝服务漏洞分析，

漏洞简介

此漏洞是由于Windows处理SMB协议驱动mrxsmb20.sys在解析Tree Connect Response时，未正确处理包长度导致的空指针引用漏洞。当Tree Connect Response包中smb协议长度大于0x400（1024）时，会造成蓝屏崩溃。

漏洞重现

根据已公开的 POC，在win10 14393中重现了此漏洞。需要注意的是，Windows系统中可能默认监听了445端口，在这种情况下运行POC会出现如下错误: socket.error: [Errno 10013] An attempt was made to access a socket in a way forbidden by its access permissions 解决方案有两个，手动关闭系统445端口监听，或者在其他系统中运行POC。随后通过UNC路径访问便可以重现此漏洞。

SMB v3远程拒绝服务漏洞分析

通过windbg双机调试崩溃机器，可以看出漏洞是mrxsmb20!Smb2ValidateNegotiateInfo函数访问了空指针（rcx为0）导致了访问异常。

0: kd> !analyze -v
FAULTINGIP: 
mrxsmb20!Smb2ValidateNegotiateInfo+17
fffff80e847fd117 66394114        cmp     word ptr [rcx+14h],ax
rax=0000000000000001 rbx=0000000000000000 rcx=0000000000000000
rdx=ffff9a0e216adb20 rsi=0000000000000000 rdi=0000000000000000
rip=fffff80e847fd117 rsp=fffff8020385bec0 rbp=ffff9a0e21530ae8
 r8=0000000000000001  r9=0000000000000000 r10=ffff9a0e218d2b20
r11=fffff8020385c1a8 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0         nv up ei ng nz na po nc
mrxsmb20!Smb2ValidateNegotiateInfo+0x17:
fffff80e847fd117 66394114        cmp     word ptr [rcx+14h],ax ds:00000000`00000014=????
FOLLOWUPNAME:  MachineOwner
MODULENAME: mrxsmb20
IMAGENAME:  mrxsmb20.sys
OSPLATFORMTYPE:  x64
OSNAME:  Windows 10
BUILDOSVERSTR:  10.0.14393.447.amd64fre.rs1releaseinmarket.161102-0100

POC分析

POC中大部分是用来进行封包操作，或用来进行身份认证的功能代码。其中和漏洞相关的代码如下：

SMB v3远程拒绝服务漏洞分析