基于Windows的CSRSS进程漏洞分析与利用

摘要：

随着技术的进步，Windows 操作系统日益完善，多种内存保护技术的结合使得传统的基于缓冲区溢出攻击越来越困难。在这种情况下，内核漏洞往往可以作为突破安全防线的切入点，一旦漏洞被病毒、木马利用，将会彻底瓦解安全软件的所有防御，沉重打击系统安全。随着 Windows NT 的开发，操作系统被设计成可以支持多个子系统，包括 POSIX、OS/2以及Windows 子系统（也被称为客户端/服务器运行时子系统或者 CSRSS）。文章展开了一系列关于 CSRSS 的研究，描述了 CSRSS 内部机制。尽管一些研究已经在少数文章中有所提及，但是直到现在没有深入的案例研究。文章详细地介绍了 CSRSS 及其通信机制，以及最近常见于现代操作系统的 CSRSS 变化。另外，站在安全的角度，文章对 Windows 内核漏洞进行了分类，并且提出了一套漏洞研究的流程。按照这套流程，研究了 CSRSS 进程的权限提升漏洞和拒绝服务漏洞。文章通过对 CVE-2011-1281漏洞的分析，发现 use-after-free 漏洞不仅出现在浏览器漏洞中，在系统软件中同样有可能出现。

关键词：Windows 子系统、CSRSS、Windows 内核、漏洞分析

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金61170282

在线出版日期：2014-08-09（万方平台首次上网日期，不代表论文的发表时间）

页数：共10页

页码：20-29