腾讯玄武实验室

Browser UI ,是指浏览器用户界面。浏览器经过几十年的发展，对于用户界面并没有一个统一的规定标准，目前大多数现代浏览器的用户界面包括：前进和后退按钮、刷新和停止加载按钮、地址栏、状态栏、页面显示窗口、查看源代码窗口、标签等。另外可能还会有一些其他的用户界面，例如下载管理、页面查找、通知、系统选项管理、隐身窗口等等。我们可以把Browser UI认为是一个前端标签式的页面管理器或者Web的外壳，用户不必去考虑浏览器应用程序底层是如何处理数据的，所有的网络行为结果，均由Browser UI去展现给用户。

Author: Guancheng Li, Xiaolin Zhang of Tencent Xuanwu Lab

近日，玄武实验室自主研发的阿图因（Atuin）自动化漏洞挖掘引擎，在零知识证明库 gnark 的 EdDSA 与 ECDSA 签名验证功能中发现一处高危漏洞（CVE-2025-57801，CVSS Score 8.6），该漏洞允许攻击者在不获取私钥的前提下针对同一条消息构造新的有效签名并通过验证。漏洞的验证工作由玄武实验室联合上海交通大学 GOSSIP 实验室与郁昱教授团队共同完成。值得注意的是，尽管 gnark 在其官方 README 中宣称已接受完整审计，阿图因引擎仍成功识别出这一漏洞，展现出人类专家级的自动化漏洞挖掘能力。

笔者在2016年11月发现并报告了HP Support Assistant (HPSA) 的权限提升漏洞，HP Product Security Response Team (HP PSRT) 响应迅速，但却以此漏洞可以通过软件的自动更新功能自动修复为由拒绝为其发布安全公告和CVE。4月份想起这件事后，笔者又分析了一遍修补后的HPSA，发现HP的开发人员在修补中犯了更为低级的错误，导致补丁可以被绕过重新实现权限提升。在随后与HP PSRT的沟通与合作中，再一次利用其它技巧绕过了其后续修补，最终笔者协助HP PSRT完成了漏洞的修补。

本文将分析此漏洞的成因及多次补丁绕过，希望能以此为案例提高开发人员对安全的认识和理解，以减少由于对所用技术理解不到位和安全编程意识匮乏而导致的安全漏洞。

Author: Ke Liu of Tencent’s Xuanwu Lab

2017年3月27日，来自华南理工大学的 Zhiniang Peng 和 Chen Wu 在 GitHub [1] 上公开了一份 IIS 6.0 的漏洞利用代码，并指明其可能于 2016 年 7 月份或 8 月份被用于黑客攻击活动。

该漏洞的编号为 CVE-2017-7269 [2]，由恶意的 PROPFIND 请求所引起：当 If 字段包含形如 <http://localhost/xxxx> 的超长URL时，可导致缓冲区溢出（包括栈溢出和堆溢出）。

微软从 2015 年 7 月 14 日开始停止对 Windows Server 2003 的支持，所以这个漏洞也没有官方补丁，0patch [3] 提供了一个临时的解决方案。

无独有偶，Shadow Brokers 在2017年4月14日公布了一批新的 NSA 黑客工具，笔者分析后确认其中的 Explodingcan 便是 CVE-2017-7269 的漏洞利用程序，而且两个 Exploit 的写法如出一辙，有理由认为两者出自同一团队之手：

• 两个 Exploit 的结构基本一致；
• 都将 Payload 数据填充到地址 0x680312c0；
• 都基于 KiFastSystemCall / NtProtectVirtualMemory 绕过 DEP；

本文以 3 月份公布的 Exploit 为基础，详细分析该漏洞的基本原理和利用技巧。

每一个安全初学者都喜欢问这样一个问题，“我应该做web安全还是做二进制安全，哪个更有意思？哪个更有钱途？”

二进制安全就只等于反汇编，逆向，调试，内核 ……？

Web安全就只等于XSS，SQL注入，CSRF，webshell ……？

当两者结合起来的时候会发生什么美妙的事情呢？

一个典型的Web系统运行于Linux平台，使用Apache作为服务器，用PHP完成功能逻辑，重要数据存储在MySQL数据中，接收用户输入并返回信息。对于客户端软件来说其实也存在类似的架构，软件运行在Windows系统上，用C/C++完成功能逻辑，可能用SQLite存储重要数据，支持进程间通信。

那么在二进制漏洞挖掘中是否可用使用Web漏洞挖掘的思路呢？

笔者在研究某客户端软件时发现了一个非常有意思的逻辑安全漏洞。本文笔者将展示如何使用客户端软件中存在的SQL注入漏洞，实现本地权限提升，使用漏洞可以绕过IE沙箱等的限制，在高权限进程的上下文中执行任意代码。