搜索

[19403] 2018-08-28_CVE-2015-1641Office类型混淆漏洞及shellcode分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2018-08-28_CVE-2015-1641Office类型混淆漏洞及shellcode分析 C V E - 2 0 1 5 - 1 6 4 1   O f f i c e 类 型 混 淆 漏 洞 及 s h e l l c o d e 分 析 i 春 秋   2 0 1 8 - 0 8 - 2 8 作 者 ： s a a n i 春 秋 社 区 实 验 环 境 实 验 环 境 W i n 7 _ 3 2 位 O f f i c e 2 0 0 7 工 具 工 具 W i n d b g ， O D ， 火 绒 剑 U l t r a E d i t ， o l e t o o l s 漏 洞 简 述 漏 洞 简 述 w o r d 在 解 析 d o c x 文 档 d i s p l a c e d B y C u s t o m X M L 属 性 时 未 对 c u s t o m X M L 对 象 进 行 验 证 ， 可 以 传 入 其 他 标 签 对 象 进 行 处 理 ， 造 成 类 型 混 淆 ， 通 过 在 w o r d 中 嵌 入 构 造 好 的 R T F 文 件 ， 其 中 经 过 精 心 构 造 的 标 签 以 及 对 应 的 属 性 值 被 d i s p l a c e d B y C u s t o m X M L 解 析 以 及 后 续 函 数 处 理 后 会 造 成 任 意 内 存 写 入 。 样 本 h a s h 值 ： 8 b b 0 6 6 1 6 0 7 6 3 b a 4 a 0 b 6 5 a e 8 6 d 3 c f e d f f 8 1 0 2 e 2 e a c b f 4 e 8 3 8 1 2 e a 7 6 e a 5 a b 6 1 a 3 1 下 载 链 接 ： h t t p s : / / g i t h u b . c o m / h o u j i n g y i 2 3 3 /   . . .   7 6 e a 5 a b 6 1 a 3 1 . b i n . g z 分 析 记 录 分 析 记 录 在 分 析 前 先 做 好 虚 拟 机 快 照 ， 获 取 R T F 样 本 后 使 用 o l e t o o l s 工 具 中 的 r t f o b j . p y c 脚 本 分 析 ， 这 里 将 文 件 命 名 为 a a . d o c ， 在 c m d 命 令 模 式 中 来 到 r t f o b j . p y c 所 在 的 目 录 ， 并 将 a a . d o c 一 块 放 到 该 目 录 ， 接 着 执 行 命 令 “ r t f o b j . p y c   a a . d o c ” , 得 到 分 析 结 果 如 下 ： 一 共 四 个 文 件 ， i d 为 0 的 是 “ o t k l o a d r . w R A s s e m b l y . 1 ” ， 用 来 加 载 O T K L O A D R . D L L   模 块 ， 其 功 能 会 在 之 后 分 析 到 ： 把 其 他 三 个 O L E 对 象 分 别 根 据 他 们 各 自 的 i d 用 “ r t f o b j . p y c - s   [ i d ]   a a . d o c ” 命 令 依 次 分 离 并 保 存 ， 其 中 有 两 个 是 ” . d o c ” 文 件 ， 现 在 样 本 已 经 被 分 离 ， 双 击 执 行 也 不 会
有 危 险 ， 将 其 中 i d 为 2 的 " a a . d o c _ o b j e c t _ 0 0 0 2 0 4 2 c . d o c " 的 后 缀 改 为 “ . d o c x ” 后 , 打 开 w o r d 就 会 奔 溃 ， 可 以 预 测 ， 漏 洞 就 在 这 个 O L E 里 面 触 发 的 ： 在 分 析 这 个 样 本 的 过 程 中 ， 由 于 对 R T F 文 件 构 造 方 式 不 熟 悉 ， 使 得 我 在 构 造 样 本 的 时 候 阻 滞 了 很 长 时 间 ， 东 拼 西 凑 就 是 不 能 制 造 c r a s h ， 后 边 把 问 题 放 到 了 看 雪 论 坛 ， 前 辈 们 一 下 就 解 决 了 ， 其 实 R T F 文 件 的 构 造 不 复 杂 ： 将 原 始 r t f   样 本 用 文 本 方 式 打 开 ， 搜 索   “ o b j d a t a ”   字 符 串 ， 可 找 到 与   r t f o b j . p y   提 取 后 相 应   i d   的 内 容 ， 手 动 抽 取 对 应 i d 的 内 容 另 存 为 一 个 合 法 的   r t f   文 件 即 可 。 前 面 提 到 ， 这 个 R T F 样 本 一 共 由 四 个 O L E 对 象 组 成 ， 用 n o t e p a d + + 打 开 原 始 样 本 ， 然 后 搜 索 “ o b j d a t a ”   字 符 串 ， 发 现 一 共 有 四 个 这 样 的 字 符 串 ， 也 就 是 那 四 个 O L E ， 触 发 漏 洞 的 O L E 的 i d 为 2 ， 也 就 是 原 始 样 本 中 的 第 三 个 O L E ， 长 这 样 ： 抽 取 复 制 O E L 的 时 候 一 定 要 把 括 号 成 对 匹 配 好 ， 把 这 个 O L E 复 制 出 来 ， 即 它 的 开 头 到 下 一 个 O L E 的 开 头 的 部 分 ， 然 后 新 建 一 个 文 本 文 档 ， 并 把 后 缀 改 为 ” . r t f ” 格 式 ， 然 后 在 这 个 文 档 中 先 写 好 “ { r t f } ” ， 然 后 粘 贴 O L E 进 去 即 可 ：
然 后 把 这 个 R T F 文 件 用 w o r d 打 开 ， 就 会 奔 溃 ； 中 间 失 败 过 几 次 ， 后 来 发 现 是 复 制 O L E 的 时 候 括 号 复 制 多 了 。 接 着 来 定 位 漏 洞 触 发 的 位 置 ， 先 打 开 W i n d b g ， 再 打 开 W i n w o r d . e x e ， 用 调 试 器 附 加 W i n w o r d . e x e 后 运 行 存 在 漏 洞 的 O L E 文 件 ， 程 序 在 “ 0 x 6 7 C 3 9 d 3 0 “ 这 个 地 址 出 现 异 常 ， 导 致 奔 溃 ， 原 因 是 [ E C X ] 引 用 了 一 个 不 存 在 的 地 址 ； 这 个 指 针 [ 7 C 3 8 B D 5 0 ] 会 指 向 哪 里 ？ ， 先 把 这 个 存 在 漏 洞 的 O L E 解 压 ， 在 解 压 目 录 的 资 源 组 织 文 件 “ d o c u m e n t . x m l ” 中 发 现 如 下 的 代 码 ： 上 面 E C X 的 值 被 内 嵌 成 s m a r t t T a g 标 签 的 e l e m e n t 的 属 性 值 。 m a r t T a g 标 签 是 一 个 智 能 标 签 ， 可 对 名 字 、 地 址 等 自 动 识 别 ， 标 签 是 一 个 智 能 标 签 ， 可 对 名 字 、 地 址 等 自 动 识 别 ， d i s p l a c e d B y C u m t o m X m l 属 性 表 示 此 处 要 替 换 为 另 一 个 属 性 表 示 此 处 要 替 换 为 另 一 个 c u s t o m x m l 标 签 ， 标 签 ， ” n e x t ” 表 示 后 一 表 示 后 一 个 ， 个 ， ” p r e v “ 表 示 前 一 个 ； 表 示 前 一 个 ； 样 本 作 者 在 样 本 作 者 在 s m a r t T a g 的 的 e l e m e n t 中 构 造 了 中 构 造 了 0 x 7 C 3 8 B D 5 0 ， ， W o r d 在 解 析 在 解 析 d o c x 文 档 处 理 文 档 处 理 d i s p l a c e d B y C u s t o m X M L 属 性 时 未 对 属 性 时 未 对 c u s t o m X M L 对 象 进 行 验 证 ， 所 以 对 象 进 行 验 证 ， 所 以 能 传 入 能 传 入 s m a r t T a g 标 签 对 象 。 标 签 对 象 。 单 独 加 载 触 发 漏 洞 的 O L E 时 索 引 到 一 个 不 存 在 的 地 址 ， 因 为 这 个 地 址 位 于 ”   M S V C R 7 1 . D L L ” 中 ， 而 这 个 D L L 正 是 通 过 第 一 个 O L E 对 象 “ o t k l o a d r . w R A s s e m b l y . 1 ” 引 入 的 。 将 第 一 个 O L E 对 象 ： { o b j e c t o b j o c x { * o b j d a t a 0 1 0 5 0 0 0 0 0 2 0 0 0 0 0 0 1 6 0 0 0 0 0 0 6 f 7 4 6 b 6 c 6 f 6 1 6 4 7 2 2 e 5 7 5 2 4 1 7 3 7 3 6 5 6 d 6 2 6 c 7 9 2 e 3 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 4 1 0 1 0 5 0 0 0 0 0 0 0 0 0 0 0 0 } } ， 添 加 到 触 发 漏 洞 的 O L E 前 面 ， 然 后 重 新 加 载 合 并 后 的 R T F 运 行 , 通 过 w i n d b g 下 条 件 断 点 ， 这 里 先 记 录 下 c r a s h 发 生 的 时 候 “ 0 x 7 C 3 8 B D 5 0 “ 所 在 的 模 块 地 址 ， 待 会 通 过 它 来 下 条 件 断 点 ： 条 件 断 点 ： b p   w w l i b ! D l l G e t C l a s s O b j e c t + 0 x 5 0 e 6 " . i f ( e c x = 7 c 3 8 B D 5 0 ) { } . e l s e { g c } "
0 x 7 C 3 8 B D 5 0 是 s m a r t T a g 标 签 的 e l e m e n t 值 ， 0 x F F F F E 6 9 6 （ 十 进 制 为 4 2 9 4 9 6 0 7 9 0 ） 是 m o v e F r o m R a n g e S t a r t 的 值 ， 随 后 对 这 两 个 值 进 行 计 算 得 到 一 个 地 址 0 x 7 C 3 8 B D 7 4 。 计 算 过 程 如 下 ： 随 后 开 始 解 析 第 二 个 s m a r t T a g ， s m a r t T a g 标 签 的 e l e m e n t 值 此 时 为 0 x 7 C 3 8 B D 6 8 ， m o v e F r o m R a n g e S t a r t 的 值 为 0 x 7 C 3 7 6 F C 3 （ 十 进 制 为 2 0 8 4 0 0 7 8 7 5 ） ， 计 算 出 的 地 址 为 0 x 7 C 3 8 A 4 2 8 ， 最 后 通 过 m e m c p y 函 数 将 0 x 7 C 3 7 6 F C 3 覆 盖 到 地 址 0 x 7 C 3 8 A 4 2 8 中 ， 在 调 试 器 可 以 看 到 ， 0 x 7 C 3 8 A 4 2 8 为 虚 表 指 针 ： 而 在 7 C 3 8 A 4 2 8 被 覆 盖 之 前 ， 它 指 向 的 是 k e r n e l 3 2 ! F l s G e t V a l u e ： 覆 盖 之 后 的 0 x 7 c 3 8 a 4 2 8 指 向 的 便 是 攻 击 者 想 要 执 行 的 代 码 位 置 ：
接 着 往 下 执 行 会 先 经 过 一 大 片 地 址 为 “ 7 C 3 4 2 4 0 4 ” 的 “ r e t ” ， 然 后 进 入 R O P 链 ， 再 往 后 就 是 s h e l l c o d e 。 将 i d 为 1 的 O L E 解 压 后 ， 在 解 压 目 录 的 “ a c t i v e X 1 . b i n “ 中 看 到 用 来 堆 喷 的 数 据 块 ： n o p 指 令 上 面 的 是 R O P 链 ， h e a p s p a r y 前 会 使 用 大 量 地 址 为 0 x 7 c 3 4 2 4 0 4   的 r e t - s l e d 通 过 X M L 来 加 载 “ a c t i v e X L . b i n ” 的 堆 数 据 ： 在 堆 喷 数 据 看 到 R O P 链 之 前 有 大 量 的 “ r e t   s l e d ” ， 可 以 通 过 这 个 地 址 来 下 断 点 进 入 s h e l l c o d e ， 方 法 为 ： 在 进 入 M S V C R 7 1 . d l l 后 ， 通 过 “ u f   7 C 3 4 2 3 0 4   ” 命 令 来 查 看 它 所 在 的 模 块 地 址 ： M S V C R 7 1 ! c a l l o c + 0 x b 1 ， 并 在 该 处 下 断 ； 然 后 用 “ b d ” 命 令 禁 用 之 前 的 条 件 断 点 ， F 1 0 执 行 后 就 能 来 到 地 址 0 x 7 C 3 4 2 4 0 4 。 如 下 图 ， 当 程 序 在 “ 0 x 7 C 3 4 2 4 0 4 ” 处 断 下 时 ， 通 过 “ M e m o r y ” 窗 口 输 入 V i r t u a l 为 “ E S P ” 可 以 看 到 堆 喷 数 据 , 如 果 不 能 进 入 到 堆 喷 数 据 ， 有 两 种 解 决 方 案 ： 可 以 将 虚 拟 机 的 内 存 设 置 为 2 G ； 或 者 找 到 r o p 链 在 堆 中 的 位 置 ， 接 着 在 执 行 “ r e t ” 准 备 跳 进 堆 喷 数 据 的 时 候 将 栈 顶 值 修 改 为 R O P 链 的 起 始 位 置 ； 执 行 完 “ 0 x 7 C 3 4 2 4 0 4 ” 处 的 “ r e t ” 后 ， 便 可 以 接 着 跟 到 R O P 链 ， F 1 0 单 步 执 行 ： 然 后 通 过 N O P 进 入 s h e l l c o d e 。 在 W i n d b g 中 分 析 s h e l l c o d e 的 时 候 一 直 没 能 顺 利 跟 下 去 ， 于 是 在 O D 中 来 分 析 ， 断 点 还 是 在 “ 0 x 7 C 3 4 2 4 0 4 ” : 打 开 O D 和 W i n w o r d . e x e 后 ， 用 O D 附 加 W i n w o r d . e x e ， 接 着 把 完 整 样 本 拖 进 w o r d ， 这 个 时 就 可 以 下 断 点 ， 因 为 s h e l l c o d e 是 最 后 执 行 ， 在 这 之 前 要 先 进 行 堆 喷 ， 再 触 发 漏 洞 ， 时 间 上 来 得 及 。 当 程 序 在 “ 0 x 7 C 3 4 2 4 0 4 ” 处 断 下 后 ， 发 现 很 久 也 跟 不 到 R O P 链 ， 这 时 可 以 借 助 之 前 W i n d b g 的 分 析 结 果 ， 发 现 R O P 链 的 首 个 位 置 为 “ 0 x 7 C 3 6 5 1 E B ” ， 然 后 在 该 位 置 下 断 ， 同 时 把 “ 0 x 7 C 3 4 2 4 0 4 ” 处 的 断 点 禁 用 ， 接 着 F 9 执 行 ， 便 能 来 到 R O P 链 的 开 头 。 在 R O P 链 中 通 过 调 用 V i r t u a l P r o t e c t 关 闭 起 始 地 址 0 x 0 9 0 0 0 8 b 4 后 的 D E P 保 护 ： 接 着 执 行 地 址 0 x 0 9 0 0 0 8 b 4 处 的 “ n o p + s h e l l c o d e ” ：
首 先 获 取 k e r n e l 3 2 . d l l 基 址 ： 接 着 比 较 A P I 的 h a s h 值 来 获 取 所 需 A P I 函 数 ， 这 样 的 好 处 在 于 减 少 了 s h e l l c o d e 的 大 小 ： 接 着 用 V i r t u a l A l l o c 分 配 可 执 行 的 内 存 空 间 ， 为 执 行 s h e l l c o d e 做 准 备 ： 接 着 通 过 调 用   G e t F i l e S i z e 遍 历 进 程 中 打 开 的 文 件 句 柄 ， 获 取 打 开 的 样 本 文 件 的 句 柄 ： C r e a t e F i l e M a p p i n g 创 建 该 文 件 的 共 享 文 件 数 据 ： M a p V i e w O f F i l e 来 获 取 共 享 数 据 的 内 存 地 址 ：
判 断 几 个 标 志 位 是 否 为 “ { r t ， 0 x f e f e f e f e ， 0 x f e ， 0 x f f f f f f f f ” ， 是 则 将 s h e l l c o d e 拷 贝 到 V i r t u a l A l l o c 分 配 的 可 执 行 的 内 存 空 间 ： 但 是 在 之 后 的 分 析 中 ， 多 次 调 试 也 没 有 跟 到 真 实 s h e l l c o d e 的 位 置 ， 于 是 尝 试 用 W i n d b g 来 分 析 ， 根 据 上 一 阶 段 的 分 析 可 知 ， 第 一 阶 段 的 s h e l l c o e d 先 判 断 几 个 标 志 字 符 串 是 否 为 “ { r t ， 0 x f e f e f e f e ， 0 x f e ， 0 x f f f f f f f f ” ， 是 的 话 就 将 真 实 s h e l l c o d e 拷 贝 到 V i r t u a l A l l o c 分 配 的 可 执 行 的 内 存 空 间 ， 如 上 图 所 示 ： 顺 利 的 话 就 会 执 行 “ 0 x 0 9 0 0 0 9 F 9 ” （ 偏 移 0 x 0 9 F 9 ） 地 址 处 的 指 令 。 然 后 关 掉 O D ， 打 开 W i n d b g 和 W i n w o r d . e x e ， 用 W i n d b g 附 加 W i n w o r d . e x e ， 先 在 “ 0 x 7 C 3 4 2 4 0 4 ” ， 即 “ r e t ” 链 的 位 置 下 断 ， 然 后 将 原 始 样 本 附 加 到 W i n w o r d . e x e ， 执 行 后 来 到 “ r e t ” ， 接 着 在 “ 0 x 7 C 3 6 5 1 E B ” ， 即 R O P 链 的 开 头 下 断 ， 并 用 “ b d   0 ” 禁 用 之 前 的 断 点 ， 执 行 后 来 到 R O P 链 的 开 头 ， 根 据 上 面 的 分 析 ， 真 实 s h e l l c o d e 会 在 偏 移 “ 0 x 0 9 F 9 ” 处 开 始 执 行 ， 用 “ b c   0 ” ， “ b c   1 ” 先 将 之 前 的 断 点 删 除 ， 再 在 “ 0 x 0 9 0 0 0 9 F 9 ” 下 断 ， 执 行 后 顺 利 来 到 第 二 阶 段 的 s h e l l c o d e ： 接 着 将 后 面 的 4 K B 的 数 据 ， 即 第 二 部 分   s h e l l c o d e ， 拷 贝 到 函 数   V i r t u a l A l l o c   申 请 的 具 有 可 执 行 权 限 的 内 存 中 ， 然 后 跳 转 过 去 执 行 。 之 后 会 在 这 部 分 s h e l l c o d e 的 偏 移 0 x 2 e 处 解 密 s h e l l c o d e ， 解 密 的 大 小 为 0 x 3 C C 字 节 ： 接 着 根 据 标 志 字 符 串 “ 0 x B A B A B A B A B A ” 获 得 p a y l o a d 的 起 始 位 置 ， 然 后 x o r   0 x C A F E B A B E 解 码 p a y l o a d ， 终 止 标 志 为 0 x B B B B B B B B ：
接 着 创 建 文 件 ， 释 放 p a y l o a d ： 可 以 根 据 A P I 参 数 在 U E 编 辑 器 看 到 路 径 和 创 建 的 文 件 “ s v c h o s t . e x e ” ： 接 着 用 W i n E x e c 函 数 执 行 “ s v c h o s t . e x e ” ： W i n E x e c 函 数 执 行 后 ， 在 监 控 软 件 ( 火 绒 剑 ) 中 可 以 看 到 释 放 的 恶 意 程 序 ， 它 的 作 用 主 要 是 进 行 信 息 的 窃 取 ， ： 在 恶 意 p a y l o a d   执 行 后 会 对 样 本 中 的 部 分 数 据 进 行 异 或 操 作 ， 目 的 是 使 其 成 为 看 上 去 正 常 的 w o r d , 这 部 分 机 器 码 的 开 头 是 “ 0 x B B ” ， 结 尾 是 “ 0 x B C B C ” ,
重 写 之 后 看 到 的 w o r d 就 是 正 常 打 开 的 空 白 文 档 ： 原 始 样 本 所 在 的 w o r d 文 档 ： 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理