Microsoft Windows CSRSS.EXE栈溢出漏洞 (MS05-018)

Windows内核是操作系统核心部分，提供系统级别服务，如设备和内存管理，分配处理器时间和管理错误处理。

Win32 API在实现命令行和其他基于字符的用户界面时使用控制台窗口。实现上述功能的特定代码位于CSRSS.EXE系统进程中。CSRSS.EXE进程的WINSRV.DLL文件创建并管理控制台窗口。如果用户从控制台窗口的系统菜单中选择了\"属性\"选项的话，包含有控制台窗口信息的数据结构就被拷贝到了文件映射的对象。该数据结构被称为CONSOLE_STATE_INFO，结构如下：

typedef struct _CONSOLE_STATE_INFO

{

/* 0x00 */ DWORD cbSize;

/* 0x04 */ COORD ScreenBufferSize;

/* 0x08 */ COORD WindowSize;

/* 0x0c */ POINT WindowPosition;

/* 0x14 */ COORD FontSize;

/* 0x18 */ DWORD FontFamily;

/* 0x1c */ DWORD FontWeight;

/* 0x20 */ WCHAR FaceName[32]; /* Buffer Overflow */

/* 0x60 */ DWORD CursorSize;

/* 0x64 */ BOOL FullScreen;

/* 0x68 */ BOOL QuickEdit;

/* 0x6c */ BOOL DefaultWindowPos;

/* 0x70 */ BOOL InsertMode;

/* 0x74 */ WORD ScreenColors;

/* 0x76 */ WORD PopupColors;

/* 0x78 */ BOOL HistoryNoDup;

/* 0x7c */ DWORD HistoryBufferSize;

/* 0x80 */ DWORD NumberOfHistoryBuffers;

/* 0x84 */ COLORREF ColorTable[16];

/* 0xc4 */ DWORD CodePage;

/* 0xc8 */ DWORD hwnd;

/* 0xcc */ WCHAR ConsoleTitle[2];

} CONSOLE_STATE_INFO， *PCONSOLE_STATE_INFO;

该结构中的值被传送到了WINSRV.DLL中的代码，但该代码没有正确的验证数据。攻击者可以发送全部为0的CONSOLE_STATE_INFO就可以导致CSRSS进程终止和系统崩溃(蓝屏)。

CONSOLE_STATE_INFO数据结构中还包含有指定字体名称的字符串FaceName[32]。该字符串通过wcscpy()函数拷贝到了固定大小的栈缓冲区，但没有任何检查，如下所示：

0x5FFB39DF push [ebp+lpFaceName]

0x5FFB39E2 lea eax， [ebp-54h]

0x5FFB39E5 push eax

0x5FFB39E6 call j_wcscpy

攻击者可以通过提供大于32个字节的字符串触发栈溢出，这样就可以完全控制计算机，执行任意代码。