Windows 鍵盤事件權限提升漏洞（CVE-2005-0552）深度解析：影響 XP/2000/2003 全系列

漏洞概況

技術原理深度剖析

Windows 桌面互動架構的信任假設

在 Windows 2000/XP/2003 的視窗站/桌面模型中，同一桌面上的所有進程預設享有相互發送視窗訊息的權限。這意味著：

• 低權限進程（如使用者啟動的記事本）可向高權限進程（如 explorer.exe、系統服務建立的 UI）發送 WM_KEYDOWN、WM_CHAR 等鍵盤訊息。
• keybd_event() / SendInput() API 允許任何進程合成全域鍵盤輸入，系統不驗證發送者權限。
• 高權限進程（通常以 SYSTEM 或管理員身分執行）會忠實處理這些合成輸入，就像真實使用者操作一樣。

攻擊鏈推演

1. 攻擊者以有限權限帳號登入系統。
2. 編寫惡意程式，呼叫 keybd_event() 或 SendInput() 模擬 Win+R → 輸入 cmd → Ctrl+Shift+Enter（以管理員身分執行）等按鍵序列。
3. 目標視窗（通常是 explorer.exe 桌面殼層）接收並處理合成按鍵，彈出「執行」對話框並啟動高權限命令提示字元。
4. 攻擊者獲得完整管理員/SYSTEM 權限，可安裝 Rootkit、竊取 SAM、建立後門帳號等。

為什麼 UIPI（使用者介面權限隔離）在 Vista 才解決？

Windows Vista 引入 Mandatory Integrity Control (MIC) 與 UIPI：

• 每個進程擁有完整性等級（Low / Medium / High / System）。
• 低完整性進程預設無法向高完整性進程發送視窗訊息（除非目標明確呼叫 ChangeWindowMessageFilterEx 開放）。
• 合成輸入同樣受 UIPI 限制，徹底斷開此攻擊面。

XP/2003 缺乏此機制，故根本無法在架構層面防禦。

實際影響與風險評估

• 本地提權：任何已登入使用者（甚至 Guest）均可嘗試利用。
• 遠端攻擊鏈一環：結合瀏覽器/文件閱讀器 RCE 漏洞取得初始立足點，再用此漏洞提權，形成完整攻擊鏈。
• 惡意軟體常用技術：早期木馬、鍵盤記錄器、提權工具（如 HK.exe、Privesc.exe）廣泛採用此手法。
• 實體存取風險：共用電腦、網咖、教室機房若未鎖定桌面，路人可在幾秒內提權。

緩解措施與防禦建議（針對無法升級的舊系統）

1. 部署微軟官方修補程式

• MS05-055 / KB893756：針對 Windows 2000/XP/2003 發布的安全更新，修正 win32k.sys 驗證合成輸入來源的邏輯。
• 確認已安裝：wmic qfe list | find "893756"

2. 限制桌面互動權限（登錄強化）

登錄 HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server，設 AllowRemoteRPC = 0、EnableRemoteDesktop = 0（非終端機環境）。

登錄 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows，設 UserInitMprLogonScript 限制登入腳本權限。

3. 使用第三方 HIPS/行為防禦工具

• Process Guard、DefenseWall、Online Armor 等可攔截低權限進程向高權限視窗發送鍵盤/滑鼠訊息。
• 設定規則：explorer.exe、taskmgr.exe、cmd.exe 拒絕接受來自非信任進程的 WM_KEY*、WM_MOUSE* 訊息。

4. 最小權限原則與桌面隔離

• 日常操作使用標準使用者帳號，透過 RunAs 提權。
• 關鍵伺服器啟用「安全桌面」（Winlogon 桌面）隔離服務 UI。
• 群組原則：電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項 → 互動式登入：不需要 Ctrl+Alt+Del → 停用（強制 SAS 序列，阻擋模擬登入）。

5. 升級至支援 UIPI 的作業系統

根治之道：遷移至 Windows 7/10/11 或 Linux。Vista 起引入的 MIC+UIPI 從架構層面消除此類「碎片化輸入注入」攻擊面。

程式碼層面的修補邏輯（參考）

官方修補本質上在 win32k.sys 的 xxxProcessKeyEvent / xxxKeyEvent 流程中加入來源驗證：

// 簡化邏輯示意
if (pEvent->flags & KEYEVENTF_UNICODE) {
    // 合成輸入
    if (PsGetCurrentProcessIntegrityLevel() < TargetThread->Process->IntegrityLevel) {
        return STATUS_ACCESS_DENIED; // XP/2003 無此檢查，Vista+ 有
    }
}

並限制 SendInput 只能注入到相同或較低完整性等級的桌面執行緒佇列。

相關資源與參考

• Microsoft Security Bulletin MS05-055
• CVE 官方紀錄：CVE-2005-0552
• 《Windows Internals 5th Edition》Chapter 2: System Architecture – Window Station & Desktop
• 《Windows Vista Security Model》– UIPI & Mandatory Integrity Control 設計白皮書

結語

鍵盤事件權限提升漏洞（CVE-2005-0552）是 Windows 經典「碎片化桌面信任模型」的典型受害者。它揭示了同一桌面進程間預設完全互信的架構缺陷，也倒逼微軟在 Vista 引入完整性等級與 UIPI 徹底重構視窗訊息傳遞安全邊界。對仍在維護 Windows 2000/XP/2003 系統的環境（如工控、醫療、舊版 ERP），務必套用 KB893756、部署 HIPS、強制最小權限並規劃遷移路線，方能將風險控制在可接受範圍內。