中文描述:

Windows内核是操作系统核心部分，提供系统级别服务，如设备和内存管理，分配处理器时间和管理错误处理。 Win32 API在实现命令行和其他基于字符的用户界面时使用控制台窗口。实现上述功能的特定代码位于CSRSS.EXE系统进程中。CSRSS.EXE进程的WINSRV.DLL文件创建并管理控制台窗口。如果用户从控制台窗口的系统菜单中选择了"属性"选项的话，包含有控制台窗口信息的数据结构就被拷贝到了文件映射的对象。该数据结构被称为CONSOLE_STATE_INFO，结构如下： typedef struct _CONSOLE_STATE_INFO { /* 0x00 */ DWORD cbSize; /* 0x04 */ COORD ScreenBufferSize; /* 0x08 */ COORD WindowSize; /* 0x0c */ POINT WindowPosition; /* 0x14 */ COORD FontSize; /* 0x18 */ DWORD FontFamily; /* 0x1c */ DWORD FontWeight; /* 0x20 */ WCHAR FaceName[32]; /* Buffer Overflow */ /* 0x60 */ DWORD CursorSize; /* 0x64 */ BOOL FullScreen; /* 0x68 */ BOOL QuickEdit; /* 0x6c */ BOOL DefaultWindowPos; /* 0x70 */ BOOL InsertMode; /* 0x74 */ WORD ScreenColors; /* 0x76 */ WORD PopupColors; /* 0x78 */ BOOL HistoryNoDup; /* 0x7c */ DWORD HistoryBufferSize; /* 0x80 */ DWORD NumberOfHistoryBuffers; /* 0x84 */ COLORREF ColorTable[16]; /* 0xc4 */ DWORD CodePage; /* 0xc8 */ DWORD hwnd; /* 0xcc */ WCHAR ConsoleTitle[2]; } CONSOLE_STATE_INFO， *PCONSOLE_STATE_INFO; 该结构中的值被传送到了WINSRV.DLL中的代码，但该代码没有正确的验证数据。攻击者可以发送全部为0的CONSOLE_STATE_INFO就可以导致CSRSS进程终止和系统崩溃(蓝屏)。 CONSOLE_STATE_INFO数据结构中还包含有指定字体名称的字符串FaceName[32]。该字符串通过wcscpy()函数拷贝到了固定大小的栈缓冲区，但没有任何检查，如下所示： 0x5FFB39DF push [ebp+lpFaceName] 0x5FFB39E2 lea eax， [ebp-54h] 0x5FFB39E5 push eax 0x5FFB39E6 call j_wcscpy 攻击者可以通过提供大于32个字节的字符串触发栈溢出，这样就可以完全控制计算机，执行任意代码。

英文描述:

Stack-based buffer overflow in WINSRV.DLL in the Client Server Runtime System (CSRSS) process of Microsoft Windows 2000, Windows XP SP1 and SP2, and Windows Server 2003 allows local users to gain privileges via a specially-designed application that provides console window information with a long FaceName value.

CWE类型:

标签:

中文解决方案:

英文解决方案:

临时解决方案: