Loading article…
コンピューティングにおいて、シャッター攻撃とは、ハッカーがMicrosoft Windows オペレーティングシステム上でセッション内のプロセス間のセキュリティ制限を回避するために使用するプログラミング手法です。シャッター攻撃は、Windowsのメッセージパッシングシステムの設計上の欠陥を悪用し、メッセージループを使用する同じセッションで実行中の他のアプリケーションやサービスに任意のコードを挿入することができます。これにより、権限昇格の悪用が発生する可能性があります。[1]
概要
シャッター攻撃は、2002 年 8 月に Chris Paget の論文「Win32 API の設計上の欠陥を悪用して権限を昇格する」が発表された後、セキュリティ コミュニティで激しい議論の的となりました。[2]「シャッター攻撃」という用語を生み出したこの論文では、アプリケーションが別のアプリケーションで任意のコードを実行するプロセスについて説明しました。これは、Windows が権限のないアプリケーションから権限の高いアプリケーションのメッセージ ループにメッセージを送信することを許可しているために発生する可能性があります。また、一部のメッセージでは、アプリケーションのアドレス空間にあるコールバック関数のアドレスがパラメータとして指定される場合があります。攻撃者が、権限の高いアプリケーションのメモリの既知の場所に独自の文字列を配置することができれば (たとえば、シェルコードを編集ボックスに貼り付けるなど)、コールバック関数のパラメータを攻撃者の文字列を指すように設定した WM_TIMER メッセージを送信できます。
この論文の発表から数週間後、マイクロソフトは次のように回答しました。「この状況が存在するという論文の主張は正しく、その影響についても正しく説明しています。…この論文が間違っているのは、これが Windows の欠陥であると主張している点です。実際には、欠陥は特定の高度な権限を持つサービスにあります。設計上、対話型デスクトップ内のすべてのサービスは同等であり、互いに要求を課すことができます。その結果、対話型デスクトップ内のすべてのサービスは、実質的に、最も高度な権限を持つサービスに見合った権限を持ちます。」[3]
ソリューション
2002年12月、マイクロソフトはWindows NT 4.0、Windows 2000、Windows XP向けのパッチを公開し、いくつかの脆弱性を悪用する手段を遮断した。[4] しかし、これは部分的な解決策にすぎず、修正プログラムはこの手法で悪用される可能性のあるWindowsに含まれるサービスに限定されていた。根本的な設計上の欠陥は依然として存在し、他のアプリケーションやサードパーティのサービスを標的にするのに利用される可能性は残っていた。[5] Windows Vistaでは、マイクロソフトは2つの方法でこの問題を解決しようとした。まず、ローカルユーザーはセッション0にログインしなくなり、ログインユーザーのセッションのメッセージループが、セッション0にロードされる高権限のシステムサービスから切り離されるようになった。次に、ユーザーインターフェイス権限分離（UIPI）と呼ばれる新機能が導入され、各プロセスに整合性レベルを割り当てることで、プロセスをシャッター攻撃からさらに保護できるようになった。 [6]ただし、異なる整合性レベルのプロセス間のすべての相互作用がUIPIによって防止されるわけではありません。[6]たとえば、 Internet Explorer 7はUIPI機能を使用して、レンダリングコンポーネントがシステムの他の部分と相互作用する範囲を制限します。
Windows VistaおよびWindows Server 2008では、セッションのインスタンス化方法が再設計され、シャッター攻撃に対する保護が強化されました。ローカル ユーザーのログインはセッション 0 からセッション 1 に移動され、ユーザーのプロセスが脆弱になる可能性のあるシステム サービスから分離されました。[7] [8]
ただし、一部のソフトウェアはサービスがログインしたユーザーと同じセッションで実行されているという前提で設計されているため、下位互換性の問題が発生します。このビューをサポートするために、Windows Vista および Windows Server 2008 では、 「対話型サービス検出」と呼ばれるWindows サービスが導入されました。このサービスにより、対話型サービスによって作成されたダイアログが表示されたときにそのダイアログにアクセスできます。対話型ユーザーにはダイアログ ボックスが表示され、セッション 0 に切り替えてダイアログ ボックスにアクセスできるようになります。[9]この機能はWindows 10 Creators Update で削除されました。[10]
参照
参考文献
- ^ 「Win32 API の設計上の欠陥を悪用して権限を昇格する。あるいは… Shatter 攻撃 - Windows を破壊する方法」 。2011年 12 月 29 日閲覧。
- ^ Chris Paget (2002 年 8 月)。「Win32 API の設計上の欠陥を悪用して権限を昇格する」。2006 年 9 月 4 日時点のオリジナルよりアーカイブ。
- ^ 「Windows で報告されたアーキテクチャ上の欠陥に関する情報」。TechNet。Microsoft。2002年 9 月。
- ^ 「Microsoft セキュリティ情報 MS02-071 – Windows WM_TIMER メッセージ処理の欠陥により、特権の昇格が可能になる (328310)」。Microsoft。2002 年 12 月 11 日。2006 年 7 月 18 日閲覧。
- ^ 「飛散防止窓」（PDF）2011年12月29日閲覧。
- ^ ab 「PsExec、ユーザー アカウント制御、およびセキュリティ境界」。2010 年 4 月 15 日時点のオリジナルよりアーカイブ。2007 年 10 月 8 日に取得。
- ^ 「Larry Osterman の WebLog – サービスとの対話」。Larry Osterman。2005 年 9 月 14 日。2007 年 4 月 3 日閲覧。
- ^ 「なぜ Vista か? サービスの変更点 パート 2 (セキュリティ、安定性、システムの整合性)」Ken Schaefer、2006 年 8 月 5 日。
- ^ Cyril Voisin (2007 年 2 月 23 日)。「Windows Vista および Longhorn Server のセッション 0 でのサービス分離」。Cyril Voisin (別名 Voy) のセキュリティに関する記事。MSDN ブログ。2008年 4 月 23 日閲覧。
- ^ 「Windows 10 Creators Update で削除または非推奨となった機能」。Microsoft。2024 年 3 月 11 日。