hi,你好!欢迎访问本站!登录
本站由阿里云强力驱动
当前位置:首页 - IT - 正文 君子好学,自强不息!

MPEG-2 0day漏洞:缓冲区溢出覆盖SEH

2018-02-27IT搜奇网45°c
A+ A-
感谢mj0011指正了我原先分析的错误,感谢云砉生指出了出现漏洞的实质原因。    MPEG-2 0day是一个ReadFile时的缓冲区溢出,通过覆盖SEH配合heap spray使得shellcode获得执行机会。    漏洞利用网页http://vip762.3322.org/aa/index.htm    相关畸形文件logo.gif内容:  Offset 0 1 2 3 4 5 6 7 8 9 A B C D E F    00000000 00 03 00 00 11 20 34 00 00 00 00 00 00 00 00 00 ..... 4.........  00000010 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................  00000020 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................  00000030 00 00 00 00 00 00 FF FF FF FF 0C 0C 0C 0C 00 ......????.....    因为我不清楚这个编码规范,仅凭后面调试过程中看到的结果,猜测这个结构。  第0-3个字节 0x00000300h,某个属性标识,意义不详  第4-5个字节 0x2011h,这似乎又是一个属性值(代码中根据这个属性值不同去到不同的分支)  第6-9个字节 0x00000034h, 这个似乎指的是该DWORD后面的内容的长度。  第10-13个字节 与第6-9个字节一起被读入,用途不详。  第14个字节及以后:由于代码对缓冲区地址以及指针的处理有误,这部分数据被读入栈中,造成缓冲区溢出覆盖掉SEH,使shellcode获得执行机会。    触发过程:  在msvidctl.dll的ATL::AtlIPersistStreamInit_Load调用ATL::CComVariant::ReadFromStream的时候,后者通过读取文件中的这个标识内容长度的0x00000034h,并调用mshtml!FatStream::Read(是对ReadFile的封装)将内容读入内存。  ATL::CComVariant::ReadFromStream成功申请了内存,但是在调用mshtml!FatStream::Read的时候犯了一个程序员经常犯的错误(感谢云砉生指出这一点),即将保存缓冲区指针的堆栈地址当成缓冲区指针本身传入(将传入参数buff误写为&buff),使得读入的文件内容覆盖掉了属于ATL::AtlIPersistStreamInit_Load的局部变量以及其设置的SEH,其中0xFFFFFFFF与0x0C0C0C0C刚好覆盖掉SEH,0x0C0C0C0C这个地址已通过Heap spray被shellcode前面的nop占据,结果ATL::AtlIPersistStreamInit_Load在后续操作中触发了异常,就跳到shellcode中执行了。  ATL::AtlIPersistStreamInit_Load的代码如下,注意注释的标号说明顺序。 代码:   .text:59F0D3BA  .text:59F0D3BA ; *************** S U B R O U T I N E ***************************************  .text:59F0D3BA  .text:59F0D3BA  .text:59F0D3BA long __stdcall ATL::AtlIPersistStreamInit_Load(struct IStream *, struct ATL::ATL_PROPMAP_ENTRY *, void *, struct IUnknown *, bool) proc near    .text:59F0D3BA mov eax, offset loc_59FC730E  .text:59F0D3BF call __EH_prolog  .text:59F0D3BF  .text:59F0D3C4 sub esp, 18h ; (5)第三次到达这里,插入SEH后,这个SEH最后被溢出覆盖了  .text:59F0D3C7 mov eax, [ebp+8]  .text:59F0D3CA push ebx  .text:59F0D3CB push esi  .text:59F0D3CC xor esi, esi  .text:59F0D3CE cmp eax, esi  .text:59F0D3D0 push edi  .text:59F0D3D1 jz loc_59F0D603  .text:59F0D3D1  .text:59F0D3D7 mov ebx, [ebp+0Ch] ; ATL::ATL_PROPMAP_ENTRY * `public: static struct ATL::ATL_PROPMAP_ENTRY * __stdcall CMPEG2TuneRequest::GetPropertyMap(void)'::`2'::pPropMap  .text:59F0D3DA cmp ebx, esi  .text:59F0D3DC jz loc_59F0D603  .text:59F0D3DC  .text:59F0D3E2 cmp [ebp+10h], esi  .text:59F0D3E5 jz loc_59F0D603  .text:59F0D3E5  .text:59F0D3EB cmp [ebp+14h], esi  .text:59F0D3EE jz loc_59F0D603  .text:59F0D3EE  .text:59F0D3F4 cmp byte ptr [ebp+18h], 0  .text:59F0D3F8 mov [ebp+0Ch], esi  .text:59F0D3FB jz short loc_59F0D422 ; (3)第二次进入的时候这里跳走了  .text:59F0D3FB ; (6)第三次进入的时候也跳走了  .text:59F0D3FB  .text:59F0D3FD mov ecx, [eax]  .text:59F0D3FF push esi  .text:59F0D400 push 4  .text:59F0D402 lea edx, [ebp-14h] ; Buffer  .text:59F0D405 push edx  .text:59F0D406 push eax  .text:59F0D407 call dword ptr [ecx+0Ch] ; (1)mshtml!FatStream::Read,第一次读取最前面4个字节  .text:59F0D40A cmp eax, esi  .text:59F0D40C mov [ebp+0Ch], eax  .text:59F0D40F jl loc_59F0D608  .text:59F0D40F  .text:59F0D415 cmp dword ptr [ebp-14h], 300h ; [ebp-14]==0x300  .text:59F0D41C ja loc_59F0D5C7  .text:59F0D41C  .text:59F0D422  .text:59F0D422 loc_59F0D422: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+41j  .text:59F0D422 mov [ebp+18h], esi  .text:59F0D425 cmp [ebx+8], esi  .text:59F0D428 mov [ebp-4], esi  .text:59F0D42B mov [ebp-10h], esi  .text:59F0D42E jz loc_59F0D5ED  .text:59F0D42E  .text:59F0D434 mov [ebp-14h], ebx  .text:59F0D434  .text:59F0D437  .text:59F0D437 loc_59F0D437: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+1F4j  .text:59F0D437 mov eax, [ebx+0Ch]  .text:59F0D43A cmp eax, esi  .text:59F0D43C jz short loc_59F0D489 ; (7)第三次进入的时候这里跳走了  .text:59F0D43C  .text:59F0D43E push 4  .text:59F0D440 mov esi, eax  .text:59F0D442 pop ecx  .text:59F0D443 mov edi, offset __GUID_2a6e293d_2595_11d3_b64c_00c04f79498e  .text:59F0D448 xor eax, eax  .text:59F0D44A repe cmpsd  .text:59F0D44C jnz short loc_59F0D487  .text:59F0D44C  .text:59F0D44E call dword ptr [ebx+8]  .text:59F0D451 test eax, eax  .text:59F0D453 jz loc_59F0D5B6  .text:59F0D453  .text:59F0D459 mov ecx, [ebx+10h]  .text:59F0D45C add ecx, [ebp+10h]  .text:59F0D45F push 0  .text:59F0D461 push dword ptr [ebp+14h]  .text:59F0D464 push ecx  .text:59F0D465 push eax  .text:59F0D466 push dword ptr [ebp+8]  .text:59F0D469 call ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool) ; (2)重入  .text:59F0D469 ; (4)又一次重入  .text:59F0D469  .text:59F0D46E test eax, eax  .text:59F0D470 mov [ebp+0Ch], eax  .text:59F0D473 jge loc_59F0D513  .text:59F0D473  .text:59F0D479 mov eax, [ebp+18h]  .text:59F0D47C or dword ptr [ebp-4], 0FFFFFFFFh  .text:59F0D480 test eax, eax  .text:59F0D482 jmp loc_59F0D5F6  .text:59F0D482  .text:59F0D487 ; ---------------------------------------------------------------------------  .text:59F0D487  .text:59F0D487 loc_59F0D487: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+92j  .text:59F0D487 xor esi, esi  .text:59F0D487  .text:59F0D489  .text:59F0D489 loc_59F0D489: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+82j  .text:59F0D489 cmp [ebx], esi  .text:59F0D48B jz loc_59F0D5A2  .text:59F0D48B  .text:59F0D491 xor eax, eax  .text:59F0D493 lea edi, [ebp-24h] ; (8)  .text:59F0D496 stosd  .text:59F0D497 stosd  .text:59F0D498 stosd  .text:59F0D499 stosd  .text:59F0D49A mov [ebp-24h], si ; si=0  .text:59F0D49E mov edi, [ebx+10h]  .text:59F0D4A1 mov ecx, [ebx+14h]  .text:59F0D4A4 add edi, [ebp+10h]  .text:59F0D4A7 cmp ecx, esi  .text:59F0D4A9 mov byte ptr [ebp-4], 1  .text:59F0D4AD jz short loc_59F0D4CE  .text:59F0D4AD  .text:59F0D4AF movzx eax, word ptr [ebx+18h]  .text:59F0D4B3 cmp eax, 0Bh ; eax==0dh  .text:59F0D4B6 jg short loc_59F0D51A ; (9)跳走了  .text:59F0D4B6  .text:59F0D4B8 jz short loc_59F0D529  .text:59F0D4B8  .text:59F0D4BA cmp eax, 2  .text:59F0D4BD jl short loc_59F0D4CE  .text:59F0D4BD  .text:59F0D4BF cmp eax, 3  .text:59F0D4C2 jle short loc_59F0D529  .text:59F0D4C2  .text:59F0D4C4 cmp eax, 4  .text:59F0D4C7 jle short loc_59F0D4CE  .text:59F0D4C7  .text:59F0D4C9 cmp eax, 7  .text:59F0D4CC jle short loc_59F0D529  .text:59F0D4CC  .text:59F0D4CE  .text:59F0D4CE loc_59F0D4CE: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+F3j  .text:59F0D4CE ; ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+103j  .text:59F0D4CE ; ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+10Dj  .text:59F0D4CE ; ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+163j  .text:59F0D4CE ; ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+16Dj  .text:59F0D4CE push dword ptr [ebp+8] ;  .text:59F0D4D1 lea ecx, [ebp-24h]  .text:59F0D4D4 call ATL::CComVariant::ReadFromStream(IStream *); (11)这里溢出了!  .text:59F0D4D4  .text:59F0D4D9 cmp eax, esi  .text:59F0D4DB mov [ebp+0Ch], eax  .text:59F0D4DE jl loc_59F0D5D5  .text:59F0D4DE  .text:59F0D4E4 mov ecx, [ebx+14h]  .text:59F0D4E7 cmp ecx, esi  .text:59F0D4E9 jz short loc_59F0D542  .text:59F0D4E9  .text:59F0D4EB mov eax, ecx  .text:59F0D4ED shr ecx, 2  .text:59F0D4F0 lea esi, [ebp-1Ch]  .text:59F0D4F3 rep movsd  .text:59F0D4F5 mov ecx, eax  .text:59F0D4F7 and ecx, 3  .text:59F0D4FA lea eax, [ebp-24h]  .text:59F0D4FD rep movsb  .text:59F0D4FF and word ptr [ebp-24h], 0  .text:59F0D504 push eax ; pvarg  .text:59F0D505 mov byte ptr [ebp-1Ch], 0  .text:59F0D509 mov byte ptr [ebp-4], 0  .text:59F0D50D call ds:VariantClear(x)  .text:59F0D50D  .text:59F0D513  .text:59F0D513 loc_59F0D513: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+B9j  .text:59F0D513 xor esi, esi  .text:59F0D515 jmp loc_59F0D5A2  .text:59F0D515  .text:59F0D51A ; ---------------------------------------------------------------------------  .text:59F0D51A  .text:59F0D51A loc_59F0D51A: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+FCj  .text:59F0D51A cmp eax, 10h  .text:59F0D51D jl short loc_59F0D4CE ; (10)跳走了  .text:59F0D51D  .text:59F0D51F cmp eax, 17h  .text:59F0D522 jle short loc_59F0D529  .text:59F0D522  .text:59F0D524 cmp eax, 48h  .text:59F0D527 jnz short loc_59F0D4CE  .text:59F0D527  .text:59F0D529  .text:59F0D529 loc_59F0D529: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+FEj  .text:59F0D529 ; ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+108j  .text:59F0D529 ; ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+112j  .text:59F0D529 ; ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+168j  .text:59F0D529 mov eax, [ebp+8]  .text:59F0D52C mov edx, [eax]  .text:59F0D52E push esi  .text:59F0D52F push ecx  .text:59F0D530 push edi  .text:59F0D531 push eax  .text:59F0D532 call dword ptr [edx+0Ch]  .text:59F0D535 cmp eax, esi  .text:59F0D537 mov [ebp+0Ch], eax  .text:59F0D53A jl loc_59F0D5D5  .text:59F0D53A  .text:59F0D540 jmp short loc_59F0D586  .text:59F0D540  .text:59F0D542 ; ---------------------------------------------------------------------------  .text:59F0D542  .text:59F0D542 loc_59F0D542: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,void *,IUnknown *,bool)+12Fj  .text:59F0D542 mov eax, [ebp-10h]  .text:59F0D545 cmp [ebx+0Ch], eax  .text:59F0D548 jz short loc_59F0D573  .text:59F0D548  .text:59F0D54A mov eax, [ebp+18h]  .text:59F0D54D cmp eax, esi  .text:59F0D54F jz short loc_59F0D55A  .text:59F0D54F  .text:59F0D551 mov [ebp+18h], esi  .text:59F0D554 mov ecx, [eax]  .text:59F0D556 push eax  .text:59F0D557 call dword ptr [ecx+8]  .text:59F0D557  .text:59F0D55A  .text:59F0D55A loc_59F0D55A: ; CODE XREF: ATL::AtlIPersistStreamInit_Load(IStream *,ATL::ATL_PROPMAP_ENTRY *,v---------www.sou7.cn---------
  选择打赏方式
微信赞助

打赏

QQ钱包

打赏

支付宝赞助

打赏

  移步手机端
MPEG-2 0day漏洞:缓冲区溢出覆盖SEH

1、打开你手机的二维码扫描APP
2、扫描左则的二维码
3、点击扫描获得的网址
4、可以在手机端阅读此文章
未定义标签

本文来源:搜奇网

本文地址:https://www.sou7.cn/index.php/post/185619.html

关注我们:微信搜索“搜奇网”添加我为好友

版权声明: 本文仅代表作者个人观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。请记住本站网址https://www.sou7.cn/搜奇网。

发表评论

选填

必填

必填

选填

请拖动滑块解锁
>>