摘要：一个漏洞在上披露，只需插入鼠标或键盘即可获得管理员权限。权限是中可用的最高用户权限，允许某人在操作系统上执行任何命令。通过插入鼠标获得权限测试了该漏洞，并确认在插入鼠标后大约分钟才能在中获得系统权限。
一个Razer%20Synapse%200day漏洞在Twitter上披露，只需插入Razer鼠标或键盘即可获得%20Windows管理员权限。
Razer是一家非常受欢迎的计算机游戏设备制造商，以其游戏鼠标和键盘而闻名。
将Razer设备插入Windows%2010或Windows%2011时，操作系统将自动下载并开始在计算机上安装Razer%20Synapse软件。Razer%20Synapse是一款允许用户配置硬件设备、设置宏或映射按钮的软件。
Razer声称他们的Razer%20Synapse软件在全球有超过1亿用户使用。
安全研究员jonhat在即插即用的Razer%20Synapse安装中发现了一个0day漏洞，该漏洞允许用户在Windows设备上快速获得系统权限。
SYSTEM权限是Windows中可用的最高用户权限，允许某人在操作系统上执行任何命令。本质上，如果用户在Windows中获得%20SYSTEM%20权限，他们就可以完全控制系统并可以安装他们想要的任何东西，包括恶意软件。
BleepingComputer测试了该漏洞，并确认在插入鼠标后大约2分钟才能在Windows%2010%20中获得系统权限。
需要注意的是，这是一个本地提权(LPE)漏洞，这个漏洞很容易被利用，因为只需购买一个雷蛇鼠标并将其插入%20Windows%2010即可成为管理员。
为了测试这个错误，在一台Windows%2010%20计算机上创建了一个临时的“测试”用户，具有标准的非管理员权限，如下所示。
当将Razer设备插入Windows 10时，操作系统会自动下载并安装驱动程序和Razer Synapse软件。
由于RazerInstaller.exe可执行文件是通过以SYSTEM权限运行的Windows进程启动的，因此Razer安装程序也获得了SYSTEM权限，如下所示。
安装Razer%20Synapse软件后，安装向导允许您指定要安装它的文件夹。选择安装文件夹的操作导致出现安全漏洞。
当更改文件夹的位置时，出现“选择文件夹”对话框。如果按Shift并右键单击该对话框，系统将提示打开“在此处打开PowerShell%20窗口”。
由于此PowerShell提示符是由具有SYSTEM权限的进程启动的，因此PowerShell提示符也将拥有相同的权限。
一旦打开PowerShell提示符并键入“whoami”命令，就会显示控制台具有SYSTEM权限，允许我们发出我们想要的任何命令。
CERT/CC 的漏洞分析师Will Dormann称， 在 Windows即插即用过程安装的其他软件中可能会发现类似的错误。
在此0day漏洞在Twitter上引起广泛关注后，Razer已联系安全研究人员，并将发布修复程序。
软件安全是网络安全最基础的防线 ，据统计0day漏洞每年以100%速度增长，而且修复周期极长，极易受到网络犯罪分子攻击。但在日常普通安全测试中很难发现0day漏洞，因此需要提高软件自身安全性以抵抗潜在的网络攻击。在软件开发过程中加强安全建设，通过静态代码安全检测等自动化检测工具，从源头保证代码规范安全，及时发现运行时缺陷，在一定程度上减少因代码问题产生的缺陷及安全漏洞并进行修正，从而为软件运行提供一个安全环境，也为后续企业在维护网络安全方面降低成本。
参读链接：
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/118543.html
摘要：摘要今年的先知白帽大会，与会者将能够亲身感受到非常多有趣的技术议题，如在国际赛事中屡夺佳绩的团队，其队长将亲临现场，分享穿针引线般的漏洞利用艺术。从数据视角探索安全威胁阿里云安全工程师议题解读本议题讨论了数据为安全人员思维方式带来的变化。 摘要： 今年的先知白帽大会，与会者将能够亲身感受到非常多有趣的技术议题，如HITCON在国际赛事中屡夺佳绩的CTF团队，其队长Orange将亲临现场...
摘要：网易云技术团队则迅速完成分析和测试，并以最高优先级处理该漏洞，紧急上线了漏洞修复方案，最终完全消除了该漏洞可能产生的影响，确保了公有云服务的安全性。 近日，业界爆出的runC容器越权逃逸漏洞CVE-2019-5736，席卷了整个基于runC的容器云领域，大量云计算厂商和采用容器云的企业受到影响。网易云方面透露，经过技术团队的紧急应对，网易云上的容器服务已经被成功修复，网易云公有云客户在...
摘要：加密数字货币价格巅峰，区块链成二线企业股价春药年月日，是区块链行业的高光时刻，整个加密数字货币市值亿美元，人民币近万亿元。直接原因是，当日，中网载线刚刚宣布与井通网络科技有限公司合作开展区块链产业。 加密数字货币价格巅峰，区块链成二线企业股价春药 2018 年 1 月 8 日，是区块链行业的高光时刻，整个加密数字货币市值 8139 亿美元，人民币近 6 万亿元。在 10 天之前，12 ...
阅读 1931·2021-10-11 10:59
阅读 1035·2021-09-07 09:59
阅读 2230·2021-08-27 16:17
阅读 2787·2019-08-30 15:54
阅读 2278·2019-08-30 12:58
阅读 1777·2019-08-30 12:53
阅读 1468·2019-08-28 18:13
阅读 735·2019-08-26 13:35
