本文介绍如何利用该漏洞来加载任意未签名的DLL到SYSTEM权限运行的服务中，来实现权限提升和驻留。

PC-Doctor

允许SupportAssist访问敏感低级硬件的组件是由PC-Doctor公司开发的。该公司主要开发硬件诊断软件。下面主要介绍PC-Doctor公司开发的组件来描述漏洞，然后说明如何利用该漏洞来访问物理内存这样的低级硬件。

Dell SupportAssist

Dell SupportAssist是大多数Dell电脑预装的软件。该软件可以检查系统硬件和软件的健康。健康检查需要高权限级别的权限。为了以高级权限运行动作，签名的驱动会安装以及多个以SYSTEM运行的服务。

漏洞分析

研究人员首先关注的是Dell Hardware Support，因为该服务是一个非常重要的服务，而且有对硬件访问的高级权限，因为有能力可以进行权限提升。Dell Hardware Support服务启动后，会执行DSAPI.exe和 pcdrwi.exe，都是以SYSTEM权限运行的：

然后，该服务会执行多个PC-Doctor可执行文件来收集关于操作系统和计算机硬件的信息。这些可执行文件其实都是普通的PE文件，但是扩展名为p5x。

这些可执行文件都会加载DLL库，可以从不同的源来收集信息。一旦这些库被加载后，研究人员在ProcMon中发现：

从图中可以看出，3个p5x可执行文件尝试在c:\python27目录中找出以下DLL文件：

·LenovoInfo.dll

·AlienFX.dll

·atiadlxx.dll

·atiadlxy.dll

DLL劫持漏洞

·执行的用户名

·DLL文件名

研究人员在重命名以下DLL时，该DLL是以SYSTEM权限加载和执行的

·LenovoInfo.dll

·atiadlxx.dll

漏洞根源分析

p5x模块使用了一个名为Common.dll的工具库，提供了包括加载dll文件选项这样的功能：

从上图可以看出，该漏洞的两个根源在于：

·缺乏安全的DLL加载。代码使用的是LoadLibraryW，而不是LoadLibraryExW，这样就允许未授权的用户来用特定的flag来定义搜索顺序，比如LOAD_LIBRARY_SEARCH_DLL_LOAD_DIR。这样反过来会在自己的文件夹中搜索DLL，避免在PATH变量中搜索DLL。

·没有对该二进制文件进行数字证书的验证。该程序并不会验证加载的DLL是否是签名的。因此，可以加载任意未签名的DLL文件。

漏洞利用

PC-Doctor签名的驱动

SupportAssist使用的是PC-Doctor签名的驱动（pcdsrvc_x64.pkms）来访问低级的内存和硬件。

PoC – 读取物理内存

在加载到PC-Doctor的库中，p5x可执行文件是SysSpace.dll。该库提供一个强大的对物理内存读取的封装函数—— PhysicalMemory::read。该函数打开一个到驱动的handle，并发送相关的IOCTL来启动。下一步是找出发送给该函数所需的参数。研究人员搜索了导入PhysicalMemory::read函数的DLL并使用它。

forfiles /M *.dll /C "cmd /c %userprofile%\amd64\dumpbin.exe /IMPORTS @file | findstr ?

read@PhysicalMemory && echo @file"153 ?

read@PhysicalMemory@memory@libSysSpace@@QEBA_N_KPEAX0W4AccessUnit@123@@Z"NVMeInfo.dll"153 ?

read@PhysicalMemory@memory@libSysSpace@@QEBA_N_KPEAX0W4AccessUnit@123@@Z"Quip.dll"

用IDA打开Quip.dll，提取调用该函数的实现：

然后加载SysSpace.dll，定义PhysicalMemory的constructor，并调用PhysicalMemory::read函数。

下面从物理内存中读取任意地址。

首先，用WinDbg Kernel Debugger检查物理地址的内容：

然后利用该漏洞来加载未签名的DLL，并将结果写入txt文件：

从中可以看出，可以将任意物理内存地址的内容写入。

潜在恶意使用和影响

SupportAssist是大多数运行Windows系统的Dell设备预装的软件。也就是说，该漏洞如果不修复，将影响数百万Dell PC用户。下面介绍攻击者可以利用该漏洞的2种潜在方式。

签名的执行和白名单绕过

该漏洞给予攻击者被加载和执行恶意payload的能力。该能力可能会被攻击者滥用，比如进行执行和绕过，具体来说有应用白名单绕过和签名验证绕过。

DSE绕过

为了加载kernel模式驱动带Windows 10中，必须要经过微软认证的厂商的数字签名。为了强制执行，微软使用了一种名为Driver Signature Enforcement (DSE)的机制，如果未签名的kernel-mode驱动被加载，操作系统就会奔溃。

攻击者可以获取pcdsrvc_x64.pkms驱动提供的R/W原语，pcdsrvc_x64.pkms驱动是已经加载的kernel-mode驱动。事实上，攻击者可能并不需要加载驱动，因为签名加载的驱动已经给了他们一些控制权限。

为了访问和操作R/W原语，攻击者可以：

·利用该漏洞来获取权限提升，并以SYSTEM权限运行；

·使用签名和加载的pcdsrvc_x64.pkms驱动；

·发送相关的IOCTLs来直接读写物理内存;

·然后攻击者就有了kernel-mode驱动环境下的全部R/W原语。