微软今天修复了其所有软件产品的129个漏洞，无极4开户产品从Windows、Office到Visual Studio、Azure DevOps和微软Android应用程序。这些漏洞中有11个是关键的，应该立即修复，但有一个特别的漏洞很容易被忽视，可能让黑客通过本地访问来完全控制企业Windows系统。

 

这个问题被跟踪为CVE-2020-1317，它影响了在Active Directory环境中集中管理Windows计算机和用户设置的最基本机制之一:组策略。更重要的是，这个漏洞由来已久，从Windows Server 2008开始，在所有Windows版本的桌面和服务器中都存在。微软认为它很重要，并这样描述它:

 

当组策略不正确地检查访问时，存在特权提升漏洞。成功利用此漏洞的攻击者可以在更高的上下文中运行进程。要利用这个漏洞，攻击者首先必须登录系统，然后运行一个特别设计的应用程序来控制受影响的系统。”

 

除此之外，该公司的建议没有其他信息，但据发现该漏洞的CyberArk研究人员称，这是相当严重的。

 

攻击者如何利用组策略漏洞

 

组策略设置作为组策略对象(GPO)存储在Windows系统上，它们可以由域管理员通过网络从域控制器分发。但是，组策略更新在默认情况下不是即时的，通常需要花费时间在网络上传播，这就是为什么Windows包含一个名为GPUpdate.exe的工具，用户可以运行该工具从域控制器请求GPO更新，而不是等待它们。

 

“有趣的是，无极4注册优惠本地非特权用户可以手动请求组策略更新，”CyberArk安全研究人员在一篇博客文章中说。“所以，如果你在组策略更新过程中发现了漏洞，你可以在任何你想要的时候触发它——这使得潜在的攻击变得更容易。”

 

组策略更新是通过一个名为GPSVC的服务处理的，该服务运行在svcho .exe进程下，该进程在Windows中处理许多服务。正如预期的那样，该服务在NT AUTHORITY\系统上下文中以尽可能高的特权运行。

 

组策略更新可以链接到机器、站点、域或组织单元，无极4福利服务将它们保存为名为Applied-Object的文件。xml，然后将其重命名为策略应用于的对象类型。例如，打印机的策略将被转换为printer \ printer .xml。研究人员发现，GPO更新链接到一个组织单位——目标是域中的所有用户和计算机——被保存在计算机上的%localappdata%目录下，任何本地用户都可以访问该目录。

 

此外，在执行此操作时，服务不会将其上下文和特权切换到请求更新的本地用户(在Windows API语言中称为用户模拟)，而是使用LocalSystem特权执行文件写入操作。因此，该机制提供了这样一种情况，即非特权用户可以使用GPUpdate.exe以LocalSystem特权触发文件写操作，写入他们可以访问的目录。

 

利用链的最后一步是用户创建一个符号链接，链接将要写入的目标文件位置——例如，打印机。xml——指向一个位于受保护的Windows目录中的系统文件，例如c:窗台system32\，其中许多文件由操作系统内核运行。这意味着，当GPSVC尝试在用户可访问的位置写入prc .xml文件时，它实际上会被指示在c:31“模块”中写入一个文件，因为它可以使用系统特权操作。