一、小白劇場
大東：小白，我記得你用的是某進口筆記本品牌電腦，對不？
小白：大東，是的呀！
大東：你最近使用電腦的時候有沒有察覺到什麼異常情況呢？
小白：沒有呀？是發生了什麼事嗎，大東？
大東：安全研究人員發現3000萬臺某進口筆記本品牌電腦受新遠端漏洞影響面臨風險！
小白：啊？！什麼漏洞？
大東：Eclypsium公司的安全研究人員在XxxxSupportAssist的BIOSConnect功能中發現了四個主要安全漏洞。
小白：大東，我不太瞭解，你可以給我詳細講一下嗎？
大東：攻擊者可以利用這四個安全漏洞在受影響裝置的BIOS中遠端執行程式碼。
小白：BIOS是什麼？
大東：BIOS是一組固化到計算機內主機板上一個ROM晶片上的程式，它儲存著計算機最重要的基本輸入輸出的程式、開機後自檢程式和系統自啟動程式，它可從CMOS中讀寫系統設定的具體資訊。
小白：BIOS對計算機很重要吧！
大東：是的，當今，BIOS已成為一些病毒木馬的目標，一旦此係統被破壞，其後果不堪設想。
二、話說事件
小白：那這個BIOS漏洞是透過什麼進行攻擊的呢？
大東：你知道SupportAssist軟體嗎？
小白：知道呀！根據某進口筆記本品牌的網站，在大多數Windows作業系統的某進口筆記本品牌裝置上都預裝了SupportAssist軟體。
大東：那你知道BIOSConnect嗎？
小白：大東，這個我還不太瞭解，快告訴我吧！
大東：BIOSConnect提供了一個基礎平臺，可以為某進口筆記本品牌電腦提供遠端韌體更新和作業系統恢復功能。
小白：攻擊者就是從BIOSConnect功能中發現漏洞的嗎？
大東：是的！這一系列漏洞CVSS得分都相當高！
小白：攻擊者如何能利用這個漏洞控制我們的電腦呢？
大東：擁有特權的遠端攻擊者能夠破壞作業系統的安全控制，透過該品牌官網控制目標裝置的啟動過程。
小白：那我們使用者在使用時會察覺到自己的電腦被攻擊嗎？
大東：使用者在開機過程中，要多注意啟動過程呀。攻擊者獲得的可不是一般許可權，這種許可權可以破壞作業系統和更高層的安全控制。
小白：這個問題隻影響膝上型電腦的使用嗎？
大東：當然不是！該問題影響了129種不同型號的某進口筆記本品牌膝上型電腦、平板電腦和桌上型電腦，以及至少3000萬臺個人裝置。
小白：啊？這影響範圍也太大了吧！
大東：確實！3000萬臺個人裝置！這是個龐大的群體！
小白：大東，針對BIOSConnect攻擊的問題，某進口筆記本品牌有沒有采取相關的應對措施呢？
大東：某進口筆記本品牌公司為受到影響的系統提供BIOS/UEFI更新，並在該品牌官網上提供受影響的可執行檔案的更新。
BIOS（圖片來自網路）
小白：那我們作為使用者有什麼應對漏洞攻擊的辦法或者建議嗎？
大東：使用者應該儘可能早的為系統更新BIOS/UEFI，除此之外專業人員還建議使用SupportAssist的BIOSConnect功能以外的方法進行某進口筆記本品牌裝置的BIOS更新。
小白：那如果使用者無法立即更新系統，該怎麼辦呢？
大東：無法立即更新系統的使用者可以從BIOS設定頁面或使用XxxxCommand禁用BIOSConnect配置(DCC)的遠端系統管理工具。
小白：這是在是太可怕了！那我們不懂這些專業知識的某進口筆記本品牌使用者遇到這類安全漏洞就會很麻煩呀！
大東：是的！而且這已經不是某進口筆記本品牌計算機的所有者第一次受到SupportAssist軟體中發現的安全漏洞的攻擊！
小白：什麼？之前也受到過SupportAssist軟體攻擊？大東，給我講講吧。
大東：2019年5月，某進口筆記本品牌公司修補了由於不當來源驗證漏洞引起的SupportAssist遠端程式碼執行漏洞。
小白：這漏洞問題出現得也太頻繁了！
大東：不僅如此，2015年某進口筆記本品牌系統檢測出了允許攻擊者觸發有漏洞的程式下載和執行任意檔案而無需使用者互動的RCE漏洞。
小白：我的天，RCE漏洞這是跟某進口筆記本品牌槓上了嗎？某進口筆記本品牌軟體受到這麼嚴重的缺陷困擾，沒有引起相關組織部門的重視嗎？
BIOSConnect攻擊場景（圖片來自網路）
三、大話始末
大東：當然！卡內基·梅隆大學的計算機應急響應團隊（CERT）也發現了一個存在於大部分BIOS韌體中的漏洞，駭客可以利用該漏洞重新重新整理主機板BIOS。
小白：那既然是BIOS韌體的漏洞，計算機裝置生產商為什麼不對其進行最佳化呢？
大東：蘋果和某進口筆記本品牌的裝置已經被證實存在該漏洞，兩家廠商表示已開始修復這個漏洞。
小白：廠商確實應該承擔起修復漏洞的責任！
大東：目前，在X86的計算機裝置中，為防止BIOS遭受駭客攻擊，會為其部署一系列的安全措施，比如“寫入保護”。晶片的暫存器中包含了寫入保護的開關選項，預設狀態下是處於關閉狀態的。
小白：那當我們開啟系統的時候，就要透過BIOS來啟用寫入保護，對吧！大東，“寫入保護”對於防禦漏洞攻擊有效果嗎？
大東：當然啦！CERT團隊發現，寫入保護在計算機睡眠模式中存在漏洞，日常啟動過程中暫存器會自動啟動寫入保護，但是當進入睡眠模式並重新喚醒裝置之後，BIOS中並沒有相應的機制重新喚醒寫入保護。
小白：那這就意味著接下來的操作都將會在禁用寫入保護狀態下進行，那駭客豈不是能在寫入保護被禁用時乘虛而入了？
大東：沒錯，駭客可以利用該漏洞重新重新整理主機板BIOS，從而達到攻擊個人計算機的目的。
小白：某進口筆記本品牌的SupportAssist有用嗎，是否有必要執行它？
大東：對某進口筆記本品牌而言，SupportAssist是非常重要的，需要用這個更新驅動，不然隨便更新會出現很多問題。
小白：大東，如果沒有SupportAssist軟體，我的計算機是不是就不會存在BIOS漏洞了？
大東：並非如此，BIOS漏洞可能存在於我們每個人的計算機中！
SupportAssist場景（圖片來自網路）
四、小白內心說
小白：大東，我們平時怎樣才能知道自己的計算機存在BIOS漏洞呢？
大東：我們可以使用符號執行和虛擬平臺查詢計算機上的BIOS漏洞。
小白：大東，一說到程式碼就聯想到了程式設計師，但是程式設計師的工作因為夾雜了很多人為因素，往往存在很多漏洞。
大東：小白，你說得沒錯！在當今網路強國的大背景下，防禦方應該儘可能的定位和修補所有的系統漏洞。
小白：哪一個環節掉了鏈子都不行！
大東：是的！在實際應用場景之中，可以藉助系統原始碼來作出判斷。另外，藉助靜態分析、符號執行等方式有效地開展fuzzing測試也是一個好辦法。
小白：這麼做的目的是什麼呢？
大東：最終將漏洞問題溯源到原始碼的具體位置並對其進行修復。
小白：大東，可以舉個例子講講嗎？
大東：Intel的Excite專案就是透過使用一種結合符號執行、fuzzing和concrete測試的方法在敏感程式碼中尋找漏洞。
小白：大東，那這個專案所使用的漏洞尋找方式最終效果如何呢？
大東：將符號和具體化技術進行有效搭配後，其執行效率高於單用其中任何一種技術，目前這種結合方式已經成為自動化挖掘BIOS漏洞的有效方式。
小白：大東，除此之外，還有其他方法嗎？
大東：當然有啦！在虛擬平臺上除錯一個BUG通常比在物理平臺上要容易得多！
小白：這是什麼原理呀？大東，快給我科普一下！
大東：這是因為虛擬平臺自身剔除了物理裝置的諸多限制，如記憶體鎖保護等機制，從而讓我們能夠以更深更廣的視角研究系統！
小白：那這樣來看，在沒有除錯環境的情況下，我們仍然能夠很好地觀察惡意程式碼的執行過程嘍！
大東：小白，你總結得很到位！重放執行技術確實使我們能夠不斷觀察可控的執行過程！
小白：那我們想要提前預防BIOS漏洞或者RCE漏洞引起的攻擊，該怎麼辦呢？
大東：可以使用黑盒測試或者白盒測試對漏洞進行檢測，在進入危險函式前進行嚴格的檢測和過濾，儘量不使用命令執行函式，以免造成程式碼或者系統命令執行漏洞。
小白：如果我們已經察覺或者檢測到自己的電腦正在遭受BIOS漏洞或者RCE漏洞攻擊，我們應該採取什麼補救措施呢？
大東：常用的漏洞修復補救方案，包括升級網站程式外掛或框架或服務到最新版；若是必須運用危險變數函式，那麼針對危險變數需要做好指定功能使用。
參考資料：
1. 3000萬臺某進口筆記本品牌電腦受新遠端漏洞影響面臨風險
https://mp.weixin.qq.com/s/6GBKqxgk3xJGBXTGD3lo-w
2. BIOS存在安全漏洞，蘋果某進口筆記本品牌均中招
https://blog.csdn.net/weixin_34302798/article/details/90530094
3. 恐怖！大部分BIOS存在安全漏洞
https://www.chinafix.com/article-5619-1.html
4. 用符號執行和虛擬平臺查詢BIOS漏洞
https://www.sohu.com/a/149420434_765820
5.NetBIOS漏洞的入侵與防禦https://blog.csdn.net/wxl2012/article/details/5209358?utm_medium=distribute.pc_relevant.none-task-blog-2%7Edefault%7EBlogCommendFromMachineLearnPai2%7Edefault-1.control&depth_1-utm_source=distribute.pc_relevant.none-task-blog-2%7Edefault%7EBlogCommendFromMachineLearnPai2%7Edefault-1.control
6. Web安全之RCE漏洞
https://www.cnblogs.com/mrob0t/p/14750795.html
7. 什麼是RCE漏洞？如何對其進行修復加固防禦的辦法
https://www.sinesafe.com/article/20200305/rcebug.html
8. ECLYPSIUM透過某進口筆記本品牌遠端作業系統恢復和韌體更新功能發現影響129款某進口筆記本品牌型號的多個漏洞
https://eclypsium.com/2021/06/24/biosdisconnect/
9. DSA-2021-106：針對BIOSConnect和HTTPS引導功能中的多個漏洞的某進口筆記本品牌客戶端平臺安全更新，作為某進口筆記本品牌客戶端BIOS的一部分
來源：中國科學院資訊工程研究所
