屌!入侵CPU-华盟网

屌!入侵CPU

华盟学院山东省第二期线下学习计划

上周存在长达九年之久的Intel漏洞曝光!直白点儿说:自从2010年起,英特尔出售所有具有远超控制功能的芯片中含有一个严重的漏洞,可以让攻击者获得目标电脑的高级权限。本文将介绍该漏洞的成因和测试验证方法!

 这个漏洞让不法分子得以控制使用 vPro 和 AMT 的系统。

1

你可以远程控制采用易受攻击的英特尔芯片的计算机,只要向它们发送空的验证字符串。

你没有看错,确实如此!本该要求你发送一个密码哈希值,你却发送了零字节,什么都没有。想想你会有怎样的回报?居然可以通过网络――如果管理接口面向公共Web的话,还可以通过互联网,获得系统硬件的底层访问权,权限很大。

今天我们获悉,钻这个安全漏洞的空子轻而易举,不需要密码,谁都可以控制易受攻击的系统――我们仍在等待相应的补丁。

AMT是通过一种普通的Web接口经由网络来访问的:该服务侦听端口16992和端口16993。用浏览器访问该服务会弹出提示,要求输入密码,这个密码是使用标准的HTTP Digest验证技术来发送的:使用来自AMT固件的随机数(nonce)以及另外几个元数据,对用户和密码进行哈希处理(即加密)。这个经过加密的响应由英特尔的AMT软件来核实,验证是否有效;如果有效,就将访问权授予管理接口。

但是如果你发送空的响应,固件就会误以为这是有效的响应,让你长行直入。这意味着,如果你使用代理,将响应改成空的字符串,或者以其他方式设置浏览器,发送空的HTTP Digest验证响应,就可以绕过密码核实机制。

大致说来,在后台,你的浏览器通常会向AMT服务发送类似这样的内容,这包括哈希响应字符串,含有用户名、密码和服务器随机数:

1

如果使用代理或类似的工具(Burp Suite可以哦),只要去掉响应哈希,改而发送:

1

而英特尔的“保安”(固件)会让你进入,尽管你实际上根本没有密码,只是向门卫闪了一下车灯:

1

如果你在英特尔的固件里面捣鼓一番,会发现底层的这个宝贝:机器码,机器码反编码成类似以下内容的C代码:

1

你可能也知道了,这个标准函数仅仅比较两个字符串中每一个的response_length字节,看看它们是不是一样:加以比较的两个字符串是试图登录的那个人发送的验证响应(user_response)和服务要求的响应(computed_response)。如果两者相符,密码肯定对的,所以该函数返回零,代码继续授予访问权。如果两个字符串不一样,该函数返回值是非零,这意味着密码不对,所以拒绝访问。到目前为止,一切很好。

遗憾的是,response_length是用user_response来计算的,所以如果提供的是空字符串,长度为零,没有字节被检查,因而没有字节是不一样的;不出所料,strncmp()返回零,表明验证成功。因而,空的响应字符串被认为有效而被放行,实际上明明是无效的。

英特尔其实应该检查两个字符串长度一样,因为有效的响应始终是32字节的MD5哈希值。

发现这个漏洞要感谢Embedi,这家公司对代码作了逆向工程处理(https://www.embedi.com/files/white-papers/Silent-Bob-is-Silent.pdf),早在3月份就向英特尔报告了这个漏洞。Tenable也对二进制代码作了一番研究,本周早些时候得出了同样的结论。

英特尔已在此(https://newsroom.intel.com/news/important-security-information-intel-manageability-firmware/)发布了关于该漏洞的另外一些信息,包括工具链接(该工具可以检查系统是不是高危系统)、支持联系人的相关信息以及减小威胁的应对措施列表。

还有这个第三方工具(https://github.com/bartblaze/Disable-Intel-AMT)可用来禁用Windows系统的AMT。

我们获悉,这个漏洞存在于一些但并非所有的英特尔处理器芯片组(从今天的Kaby Lake系列,直到早至2010年的系列):它主要影响商务PC、专业工作站和小型服务器,而不是影响面向普通人的设备。不过,这家芯片巨头今天承认,“消费者和小公司”到头来使用的硅片可能采用这项易受攻击的技术。

如果你使用启用了vPro的处理器,又在自己的网络上配置了AMT版本6至11.6,绝对面临上述安全漏洞带来的风险。这还影响英特尔的标准可管理性(ISM)和小企业技术(SBT)固件。我们建议你使用英特尔的实用工具,仔细检查是不是存在这个漏洞带来的安全隐患。

这里提醒重要机构务必尽快修补该漏洞。可以利用的资源包括:

 

第三方工具(https://github.com/bartblaze/Disable-Intel-AMT)可用来禁用Windows系统的AMT。

 

www.idc126.com

(https://newsroom.intel.com/news/important-security-information-intel-manageability-firmware/)发布了关于该漏洞的另外一些信息,包括工具链接(该工具可以检查系统是不是高危系统)、支持联系人的相关信息以及减小威胁的应对措施列表。

本文由 华盟网 作者:congtou 发表,其版权均为 华盟网 所有,文章内容系作者个人观点,不代表 华盟网 对观点赞同或支持。如需转载,请注明文章来源。

0

发表评论