0Patch推缓解程序解决Win10字体库被黑客利用的漏洞

3月31日消息：0Patch推缓解程序解决Win10字体库被黑客利用的漏洞。早前微软公布 Windows 10&Windows Server 系列新安全漏洞, 这枚安全漏洞被微软发现前已经遭到黑客利用。攻击者可使用特制的文件诱导用户加载然后远程执行任意命令。目前微软尚未发布安全更新对这枚高危级别的安全漏洞进行修复, 不过第三方安全公司0Patch已经推出缓解程序。

使用0Patch对漏洞进行缓解：

第三方安全公司Acros Security日前已经更新漏洞修复工具0Patch，借助这款工具所有用户均可无差别获得缓解。

缓解原理是0Patch内置多种安全漏洞信息及应对方法, 当检测到用户系统受特定漏洞影响时便自动加载修复程序。

此次字体管理器漏洞实际上还没有比较彻底的修复方法, 因此0Patch内置的是微软安全响应中心提供的缓解方法。

当用户安装该程序后会自动执行相应的修复方法进行缓解，具体缓解方法是禁用资源管理器预览和详细信息窗格。

Windows 7&Server 2008推荐使用此工具：

因 Windows 7&Windows Server 2008 系列已经结束支持 , 因此微软在下月发布安全更新时不会修复上述系统。

有鉴于此仍在使用这些操作系统的用户可以使用0Patch获得保护, 该软件有收费版本但普通用户使用免费版即可。

同时安装该工具后也有助于解决其他微软不会进行修复的漏洞 , 相对来说算是在生命周期结束后的临时应对办法。

当然蓝点网依然推荐您尽早升级到受支持的操作系统获得完整的安全支持，旧系统总归有些漏洞无法被彻底修复。

0Patch是个什么样的工具：

这款工具最初的开发目的其实是解决微软修复速度比较慢的缺点，通常微软需要半个月甚至更长时间来修复漏洞。

为此Acros Security安全公司开发这款工具，收集微软发布的缓解方法及该安全公司自己开发部分漏洞修复方案。

当用户安装该程序后会自动连接服务器获得最新的漏洞信息和修复方法，就及时性上说这款工具要比微软更快些。

当然如上面所述并不是所有修复方案都是该安全公司原创的，也不是所有安全漏洞都可以被这款工具彻底的修复。

因此在紧急时刻例如漏洞已经被爆出但微软无法及时修复的情况下，使用该工具可以更简单快速的缓解漏洞危害。

关于此次漏洞0Patch内置的微代码修复示例：

1. MODULE_PATH "..\Affected_Modules\gdi32.dll_6.1.7601.24540_64bit\gdi32.dll"
2. PATCH_ID 420
3. PATCH_FORMAT_VER 2
4. VULN_ID 6050
5. PLATFORM win64
6. patchlet_start
7.     PATCHLET_ID 1
8.     PATCHLET_TYPE 2
9.     PATCHLET_OFFSET 0x00009c00  ; Beginning of function NtGdiAddFontResourceW
10.     N_ORIGINALBYTES 5
11.     JUMPOVERBYTES 0
12.   
13.     code_start
14.         ; font path string (wide char) is in rcx
15.         ; example: "\??\C:\Analysis\ADV200006\SOSUE___.pfm|\??\C:\Analysis\ADV200006\SOSUE___.PFB"
16.         ; we make sure to restore rcx after we're done
17.         ; we can pollute rax because the original code doesn't use its value after our patch
18.         ; first upper-case the whole string
19.         push rcx
20.     LOOP1:
21.         cmp word [rcx], 0
22.         je END1
23.         cmp byte [rcx], 'a' ; if below 'a', no need to upper-case
24.         jb SKIP1
25.         cmp byte [rcx], 'z' ; if above 'z', no need to upper-case
26.         ja SKIP1
27.         sub byte [rcx], 0x20 ; make it upper-case
28.     SKIP1:
29.         add rcx, 2 ; next wide-char character
30.         jmp LOOP1
31.     END1:
32.         pop rcx
33.         ; now search for ".PFM" and ".MMM" in the string
34.       
35.         push rcx
36.     LOOP2:
37.         cmp word [rcx], 0          ; did we reach end of the string?
38.         je END2                    ; note that we don't care if we test for four
39.                                    ; characters a bit beyond the buffer;
40.                                    ; there's always readable memory there and there can't be an
41.                                    ; unwanted match because the string is null-terminated
42.         mov rax, 004D00460050002Eh ; ".PFM" (in LSB byte order)
43.         cmp qword [rcx], rax       ; is there ".PFM" at [rcx]?
44.         je BLOCK                   ; if ".PFM" is found, we block the loading of the font
45.         mov rax, 004D004D004D002Eh ; ".MMM" (in LSB byte order)
46.         cmp qword [rcx], rax       ; is there ".MMM" at [rcx]?
47.         je BLOCK                   ; if ".MMM" is found, we block the loading of the font
48.     SKIP2:
49.         add rcx, 2                 ; next wide-char character
50.         jmp LOOP2
51.     BLOCK:
52.         pop rcx
53.         mov rax, 0                 ; simulate the syscall returning an error when trying to
54.                                    ; load the font
55.         retn                       ; return and avoid syscall being called
56.     END2:
57.         pop rcx
58.       
59.     code_end
60.   
61. patchlet_end