中文
2023-11-06 21:27:44
當你
收到了一個壓縮包
或訪問了一個遠程服務器的文件系統
打開了里面的Word文檔
你知道嗎，這時你的電腦
可能已經暴露于黑客前
如果不加以修復，可能面臨被攻擊的風險
日前，韓國2023 PoC（Power of Community）安全大會在首爾揭開帷幕，匯聚各國頂級黑客高手，共同探討安全界的熱門議題。深信服首席安全研究員彭峙釀和wh1tc 受邀出席并發表了主題為《OLE Object are still Dangerous Today : Exploiting Microsoft Office》的演講。
01在互聯網安全界舉辦歷史最悠久的大會
——聊聊那些Office漏洞
PoC是韓國最大的安全技術峰會，2006年一群韓國黑客與安全研究專家決定以“交流技術、分享知識”為目的舉辦會議，并將其命名為PoC，它是目前互聯網安全界舉辦歷史最悠久的大會之一，已成為國際知名的安全技術交流峰會。本屆大會更是“眾星云集”，吸引了全球大量最頂級的軟件安全高手和企業代表到場，包括來自Google Project Zero的研究員、著名安全專家James Forshaw和Mark Brand、韓國神童Lokihardt，以及連續多屆的Pwn2own Master of Pwn得主——Richardzhu和amat等
本次演講，來自深信服的兩位研究員主要分享了關于Windows OLE組件的漏洞模式。
彭峙釀指出，Office有著漫長而復雜的漏洞歷史。當前在野利用的漏洞量正逐漸減少，攻擊者更傾向于使用穩定的邏輯漏洞。他以Windows OLE組件漏洞為例，深入闡釋這些漏洞的隱藏威脅。
在Office中，Windows OLE組件組件用于實現上文所述的「對象」功能，用戶可以在單個文檔內編輯其他應用程序的相關內容。Office在加載嵌入了Windows OLE組件的文檔時，會經過三個步驟：
1.從文檔中的結構獲取CLSID，即對象的全局唯一標識符。
2.通過獲取的CLSID，調用CoCreateInstance加載對應的對象。這個對應關系可以在注冊表中獲取。
3.如果對象是OLE對象，則進一步調用IpersistStorage加載具體的數據。
在以上工作流程中即存在安全隱患。彭峙釀表示，文檔中的CLSID字段攻擊者可控的，并非所有CLSID都是OLE對象。因此，在獲取CLSID后，Office需要加載對應的對象以確認是否為OLE對象。
這種設計缺陷使得加載CLSID對應對象的過程存在安全問題，其中一個嚴重問題是「LoadLibrary」函數的錯誤使用。調用該函數時存在風險，因為可能從當前工作目錄加載dll文件，而當前工作目錄本身存在風險，可能被攻擊者預測。若用戶在未打安全補丁的Windows系統中，打開攻擊者制作的惡意Offic文檔將導致嚴重的遠程代碼執行后果。
02「aES遏制本次攻擊，無需重啟業務即可實現防護」
——深信服aES破解隱藏威脅
作為全球最流行的辦公軟件套裝之一，Microsoft Office擁有大量用戶數。面對漏洞這一辦公文檔中的隱藏威脅，普通用戶們該怎么辦？
無需過分擔心！上文的兩位研究員來自于深信服千里目安全技術中心，該中心構成了深信服系統完整的核心攻防能力體系。這一體系能夠將研究成果快速賦能到深信服全線產品和解決方案中，從而強化安全效果。在安全團隊發現本次漏洞之后，立即評估了此Microsoft Office漏洞對用戶可能造成的安全隱患，并第一時間將信息同步至深信服統一端點安全管理系統aES產品團隊。目前，針對該漏洞的相關防御措施已應用于深信服統一端點安全管理系統aES產品輕補丁功能中，可提前防御此0day漏洞攻擊。
輕補丁漏洞免疫，是對此Microsoft Office漏洞的原理性修復。漏洞安全專家根據對相關漏洞信息進行分析與復現，明確定位到漏洞問題的代碼（二進制代碼）片段位置，通過洞悉漏洞原理，產生漏洞最終的無損防護免疫規則：在內存中修改系統或應用程序存在漏洞的該代碼片段，在無需重啟的情況下實現對漏洞利用攻擊的防護，真正從源頭進行防護。
據悉，深信服aES圍繞終端資產安全生命周期，通過防御、檢測、響應賦予終端更為有效的安全能力。在應對APT高級威脅、變種勒索的同時，通過多層級檢測響應機制、云網端協同聯動、威脅情報共享，幫助用戶快速發現并精準處置端點安全問題，構建有效的終端安全防護體系。
作為安全研究的先鋒，深信服技術團隊具備優異的研究能力，并連續五年被權威媒體評為“年度杰出安全實驗室”。今年，深信服技術團隊——
在2023「天府杯」國際網絡安全大賽中，來自深信服Deepin Lab（深研究實驗室）的k team 僅用時5秒攻破Windows 11系統，1秒攻破某大用戶量辦公軟件，最終以總分第三的成績榮獲三等獎。（點擊此處查看詳情）
在“MSRC 2023全球Top 100最具價值研究者”榜單中，深信服安全研究員wh1tc & Zhiniang Peng在“Windows操作系統領域最具價值安全研究員榜單”中登榜第三，在“2023全球Top 100最具價值研究員”登榜第七。其中，安全研究員Zhiniang Peng連續四個年度躋身年度總榜前十。（點擊此處查看詳情）
同時，今年深信服安全研究團隊的一篇論文《Detecting Union Type Confusion in Component Object Model.》更是成功入選了USENIX Security 23——信息安全領域四大頂級學術會議之一。（點擊此處查看詳情）
深信服一直注重網絡安全攻防技術研究，利用攻擊方視角解決網絡安全問題，并將安全研究技術應用到產品實踐中?；谇Ю锬堪踩夹g中心多年的技術積累，深信服在國內率先推出了多個前沿安全產品及服務，并在今年首秀自研的安全大模型——安全GPT的技術應用。截至目前，深信服安全產品及服務已在廣大大型企業和機構中應用，覆蓋了政府、金融、能源、運營商、醫療、教育、互聯網等行業領域，幫助用戶構建自身完善的安全體系，致力于讓所有用戶安全領先一步。
未來，深信服將不斷提高專業技術造詣，加大對安全研究人才和技術研究層面的投入，深度洞察網絡安全威脅，持續為用戶網絡安全賦能。
