漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-034219
漏洞标题：腾讯电脑管家 TSKsp.sys拒绝服务漏洞
相关厂商：腾讯
漏洞作者： n0bele
提交时间：2013-08-13 16:31
修复时间：2013-11-08 16:32
公开时间：2013-11-08 16:32
漏洞类型：拒绝服务
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-13： 细节已通知厂商并且等待厂商处理中
2013-08-13： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2013-10-07： 细节向核心白帽子及相关领域专家公开
2013-10-17： 细节向普通白帽子公开
2013-10-27： 细节向实习白帽子公开
2013-11-08： 细节向公众公开
简要描述：
早上起来，也搞了下就出来了.顺带问一下wooyun提交和腾讯漏洞提交的区别是什么?
详细说明：
TSKsp.sys发生未处理的ExRaiseDatatypeMisalignment异常。
第1帧可以看到原来是ProbeForWrite函数抛出了Data misaligned - code 80000002这个异常
kd> .frame 1
01 f3cac838 f4945b53 nt!ProbeForWrite+0x54
kd> dds f3cac838 l 10
f3cac838 f3cac974
f3cac83c f4945b53 afd!AfdFastIoDeviceControl+0x4b3
f3cac840 d40d73e7 //address
f3cac844 00000004 //Length
f3cac848 00000004 //Alignment
f3cac84c 8644d288
f3cac850 86261250
f3cac854 f4943030 afd!AfdFastIoDispatch
f3cac858 f3cac7e0
f3cac85c 00000009
f3cac860 f3cac8cc
f3cac864 80536e40 nt!_except_handler3
f3cac868 f3cac8c8
f3cac86c 867ec000
f3cac870 805460fe nt!ExAllocatePoolWithTag+0x27e
f3cac874 00000009
可以看到是地址参数出了问题，d40d73e7。那这个参数是从哪里来的呢？
我首先想到的是去对比NtDeviceIoControlFile传入的InputBuffer，那就去对比一下：
kd> .frame 4
04 f3caca58 f48f4a46 nt!NtDeviceIoControlFile+0x2a
kd> dds f3caca58 l 10
f3caca58 f3cacaa4
f3caca5c f48f4a46 TSKsp+0x14a46
f3caca60 0000022c // FileHandle
f3caca64 00000000 // Event
f3caca68 00000000 // ApcRoutine
f3caca6c 00000000 // IoStatusBlock
f3caca70 00d7fd4c // ApcContext
f3caca74 000120cf // IoControlCode
f3caca78 00d7fd20 // InputBuffer
f3caca7c 00000024 // InputBufferLength
f3caca80 00000000 // OutputBuffer
f3caca84 00000000 // OutputBufferLength
f3caca88 eeee0000
f3caca8c 805436d8 nt!__InterlockedDecrement
传入的InputBuffer并不是我们所期望的d40d73e7
为了进一步确认，我们还是把内存数据dump出来看看.
InputBuffer+0x20处的一个DWORD会被当做用户空间地址去进行可写验证，但是却没有进行异常处理.ProbeForWrite没有放在try/except块中么?
漏洞证明：
已经说了.
修复方案：
他们懂
版权声明：转载请注明来源 n0bele@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-11-08 16:32
厂商回复：
这是xp下afd.sys驱动本身的问题，但微软不认为是漏洞并拒绝修复，因此忽略，非常感谢您的反馈。
最新状态：
暂无