搜索

[27810] 2020-09-24_内存Fuzz与WINAFL实战

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-09-24_内存Fuzz与WINAFL实战 内 存 F u z z 与 W I N A F L 实 战 原 创   h a c k e d b y l h   O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 0 9 - 2 4 以 上 文 章 由 作 者 【 h a c k e d b y l h 】 的 连 载 有 赏 投 稿 ， 共 有 五 篇 ， 本 文 为 第 四 篇 ； 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 投 稿 的 朋 友 尽 量 用 m a r k d o w n 格 式 ， 特 别 是 包 含 大 量 代 码 的 文 章   概 述 概 述 本 节 以 F o x i t R e a d e r 和 I r f a n V i e w 为 例 介 绍 内 存   F u z z 的 实 现 以 及   W I N A F L   的 常 规 使 用 技 巧 。 F o x i t R e a d e r 软 件 分 析 软 件 分 析 目 前 F u z z 大 型 软 件 的 常 用 方 式 是 对 大 型 软 件 分 析 ， 找 到 软 件 中 的 负 责 数 据 处 理 的 模 块 ， 然 后 编 写 一 个 L o a d e r 把 模 块 加 载 起 来 后 进 行 测 试 。 本 节 以 F o x i t R e a d e r 为 例 介 绍 如 何 分 析 软 件 并 进 行 内 存 F u z z 以 及 用 W i n A F L 来 F u z z 程 序 。 F o x i t R e a d e r 是 一 款 P D F 工 具 ， 可 以 查 看 、 创 建 和 修 改 P D F 文 件 ， 它 还 可 以 通 过 图 片 来 创 建 P D F 文 件 ， 使 用 图 片 创 建 P D F 时 ， F o x i t R e a d e r 会 对 图 片 进 行 解 析 然 后 再 去 创 建 P D F 文 件 ， 由 于 图 片 文 件 的 格 式 复 杂 多 样 ， 软 件 在 解 析 图 片 时 就 有 可 能 会 产 生 漏 洞 ， 下 面 就 去 看 看 如 何 F u z z   F o x i t R e a d e r 中 负 责 图 片 解 析 的 模 块 。 首 先 我 们 需 要 定 位 当 通 过 图 片 创 建 P D F 时 ， 处 理 图 片 的 逻 辑 在 哪 个 模 块 ， 后 面 才 能 针 对 性 地 去 F u z z 。 P r o c e s s   M o n i t o r 可 以 监 控 程 序 执 行 过 程 的 注 册 表 、 文 件 和 网 络 操 作 ， 对 于 一 些 关 键 的 A P I 还 会 记 录 调 用 栈 。 为 了 定 位 图 片 处 理 所 在 的 模 块 ， 首 先 打 开 P r o c e s s   M o n i t o r 监 控 事 件 ， 然 后 用 图 片 来 创 建 一 个 P D F 文 件 ， P D F 创 建 好 后 让 P r o c e s s   M o n i t o r 停 止 监 控 事 件 ， 下 面 就 可 以 去 分 析 日 志 了 。 使 用 过 滤 功 能 P r o c e s s   M o n i t o r 只 显 示 对 图 片 文 件 的 操 作 查 看 监 控 A P I 的 调 用 栈 可 以 发 现 读 取 文 件 的 模 块 是   C o n v e r t T o P D F _ x 8 6 . d l l ， 看 文 件 名 也 感 觉 是 进 行 P D F 转 换 任 务 的 。
下 面 分 析 一 下 程 序 是 如 何 使 用 这 个 库 的 ， 首 先 用 I D A 分 析 这 个 D L L ， 先 看 看 D L L 的 导 出 函 数 ， 因 为 其 他 模 块 使 用 D L L 的 功 能 ， 肯 定 会 使 用 D L L 的 导 出 函 数 。 可 以 看 到 C o n v e r t T o P D F _ x 8 6 . d l l 只 有 两 个 导 出 函 数 ， 下 面 用 w i n d b g 给 导 出 函 数 下 个 断 点 ， 看 看 这 两 个 函 数 的 调 用 顺 序 。 首 先 打 开 程 序 ， 然 后 用   w i n d b g   附 加 进 程 ， 用 s x e 命 令 设 置 模 块 加 载 断 点 ， 当 C o n v e r t T o P D F _ x 8 6 模 块 加 载 起 来 时 调 试 器 会 断 下 来 断 下 来 后 我 们 给 模 块 的 所 有 导 出 函 数 下 断 点 继 续 运 行 后 ， 程 序 首 先 会 断 在 C r e a t e F X P D F C o n v e r t o r 函 数 拿 I D A 分 析 一 下 这 个 函 数 s x e   l d : C o n v e r t T o P D F _ x 8 6 b m   / a   C o n v e r t T o P D F _ x 8 6 ! * 0 : 0 0 0 >   b m   / a   C o n v e r t T o P D F _ x 8 6 ! * 1 :   0 0 0 0 0 0 0 0 ` 6 d 7 9 8 e 3 0   @ ! " C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r " 2 :   0 0 0 0 0 0 0 0 ` 6 d 7 9 a a f 0   @ ! " C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r " 0 : 0 0 0 >   g B r e a k p o i n t   2   h i t C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r : 6 d 7 9 a a f 0   a 1 0 c d 1 c 3 6 d             m o v           e a x , d w o r d   p t r   [ C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 4 a 2 6 1 c   ( 6 d c 3 d 1 0 c ) ]   d s : 0 0 2 b : 6 d c 3 d 1 0 c = 0 0 0 0 0 0 0 0 _ D W O R D   * C r e a t e F X P D F C o n v e r t o r ( ) { _ D W O R D   * r e s u l t ;   / /   e a x v o i d   * o b j ;   / /   e a x r e s u l t   =   d w o r d _ 1 0 4 A D 1 0 C ; i f   (   d w o r d _ 1 0 4 A D 1 0 C   ) r e t u r n   r e s u l t ;                                                             / /   调 用 m a l l o c 分 配 内 存 o b j   =   a l l o c ( 0 x 1 B D C u ) ; i f   (   o b j   ) { r e s u l t   =   i n i t _ o b j ( o b j ) ;                                           / /   初 始 化 对 象 d w o r d _ 1 0 4 A D 1 0 C   =   r e s u l t ; } e l s e {
这 个 函 数 比 较 简 单 首 先 会 用   m a l l o c   分 配 0 x 1 B D C 的 内 存 ， 然 后 会 调 用 i n i t _ o b j 初 始 化 分 配 的 内 存 块 ， i n i t _ o b j 函 数 会 先 设 置 虚 表 ， 然 后 设 置 对 象 里 的 其 他 一 些 字 段 。 虚 表 的 结 构 如 下 虚 表 里 面 有 4 个 函 数 ， 按 照 正 常 的 程 序 逻 辑 ， 程 序 在 创 建 模 块 对 象 后 ， 肯 定 会 调 用 对 象 的 函 数 来 使 用 模 块 提 供 的 功 能 ， 接 下 来 给 这 4 个 函 数 下 断 点 ， 看 看 这 些 函 数 的 调 用 关 系 以 及 参 数 信 息 。 w i n d b g 的 打 印 信 息 如 下 通 过 调 试 的 信 息 以 及 I D A 识 别 出 来 的 参 数 个 数 ， 可 以 看 到 对 象 虚 表 中 的 4 个 函 数 调 用 的 顺 序 和 参 数 信 息 大 概 如 下 可 以 看 到 s u b _ 1 0 0 0 B 0 6 0 函 数 的 功 能 应 该 就 是 读 取 图 片 文 件 并 转 换 为 P D F 文 件 ， 下 面 写 一 个 简 单 的 c 程 序 把 D L L 加 载 起 来 然 后 根 据 调 用 关 系 和 参 数 信 息 调 用 相 应 的 A P I r e s u l t   =   0 ; d w o r d _ 1 0 4 A D 1 0 C   =   0 ; } r e t u r n   r e s u l t ; } _ D W O R D   * _ _ t h i s c a l l   i n i t _ o b j ( i n t   t h i s ) { i n t   v 1 ;   / /   e s i     v 1   =   t h i s ;     * t h i s   =   & C F X _ P D F C o n v e r t o r : : ` v f t a b l e ' ;   / /   给 对 象 设 置 虚 表     s u b _ 1 0 0 0 A 7 2 0 ( ( t h i s   +   4 ) ) ;     * ( v 1   +   7 1 0 4 )   =   0 ;     * ( v 1   +   7 1 0 8 )   =   0 ;     * ( v 1   +   7 1 1 2 )   =   0 ;     * ( v 1   +   7 1 2 0 )   =   0 ;     * ( v 1   +   7 1 1 6 )   =   1 ;     d w o r d _ 1 0 4 A D 1 0 4   =   0 ;     * ( v 1   +   7 1 2 4 )   =   0 ;     * ( v 1   +   7 1 2 8 )   =   0 ; r e t u r n   v 1 ; } . r d a t a : 1 0 3 3 6 F 1 C   ;   c o n s t   C F X _ P D F C o n v e r t o r : : ` v f t a b l e ' . r d a t a : 1 0 3 3 6 F 1 C   ? ? _ 7 C F X _ P D F C o n v e r t o r @ @ 6 B @   d d   o f f s e t   s u b _ 1 0 0 0 B 0 6 0 . r d a t a : 1 0 3 3 6 F 1 C                                                                                   ;   D A T A   X R E F :   i n i t _ o b j + 6 ↑ o . r d a t a : 1 0 3 3 6 F 1 C                                                                                   ;   s u b _ 1 0 0 0 A 8 F 0 + B A ↑ o . r d a t a : 1 0 3 3 6 F 2 0                                   d d   o f f s e t   s u b _ 1 0 0 0 9 B 4 0 . r d a t a : 1 0 3 3 6 F 2 4                                   d d   o f f s e t   s u b _ 1 0 0 0 A 2 D 0 . r d a t a : 1 0 3 3 6 F 2 8                                   d d   o f f s e t   s u b _ 1 0 0 0 A 8 F 0 0 : 0 0 0 : x 8 6 >   l m   m   C o n v e r * s t a r t                           e n d                                   m o d u l e   n a m e 6 d 7 9 0 0 0 0   6 d c b 5 0 0 0       C o n v e r t T o P D F _ x 8 6       ( e x p o r t   s y m b o l s )               C : P r o g r a m   F i l e s   ( x 8 6 ) F o x i t   S o f t w a r e F o x i t   R e a d e r P l u g i n s C r e a t o r x 8 6 C o n v e r t T o P D F _ x 8 6 . d l l 0 : 0 0 0 : x 8 6 >   d d   0 x 6 d a c 6 f 1 c   l 4             / /   查 看 虚 表 的 函 数 的 实 际 地 址 6 d a c 6 f 1 c     6 d 7 9 b 0 6 0   6 d 7 9 9 b 4 0   6 d 7 9 a 2 d 0   6 d 7 9 a 8 f 0 0 : 0 0 0 : x 8 6 >   b p   6 d 7 9 b 0 6 0   0 : 0 0 0 : x 8 6 >   b p   6 d 7 9 9 b 4 0   0 : 0 0 0 : x 8 6 >   b p   6 d 7 9 a 2 d 0   0 : 0 0 0 : x 8 6 >   b p   6 d 7 9 a 8 f 0 0 : 0 0 0 : x 8 6 >   b l 0   e   x 8 6   6 d 7 9 b 0 6 0           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 5 7 0 1   e   x 8 6   6 d 7 9 8 e 3 0           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r 2   e   x 8 6   6 d 7 9 a a f 0           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r 3   e   x 8 6   6 d 7 9 9 b 4 0           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x d 1 0 4   e   x 8 6   6 d 7 9 a 2 d 0           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x 1 4 a 0 5   e   x 8 6   6 d 7 9 a 8 f 0           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x 1 a c 0 0 : 0 0 0 : x 8 6 >   g B r e a k p o i n t   3   h i t C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x d 1 0 : 6 d 7 9 9 b 4 0   5 5                             p u s h         e b p                 0 : 0 0 0 : x 8 6 >   r         / /   首 先 调 用 6 d 7 9 9 b 4 0 函 数 e a x = 6 d 7 9 9 b 4 0   e b x = 0 a d 6 a 1 a 8   e c x = 0 a d 6 a 1 a 8   e d x = 6 d a c 6 f 1 c   e s i = 0 0 8 8 f b 6 8   e d i = 0 0 0 0 0 0 0 2 e i p = 6 d 7 9 9 b 4 0   e s p = 0 0 2 c c e 0 c   e b p = 0 0 2 c e c e 8   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 2 3     s s = 0 0 2 b     d s = 0 0 2 b     e s = 0 0 2 b     f s = 0 0 5 3     g s = 0 0 2 b                           e f l = 0 0 0 0 0 2 4 6 C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x d 1 0 : 6 d 7 9 9 b 4 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   d p s   e s p   l 4     #   参 数 为   2 0 0 2 c c e 0 c     0 2 3 9 8 a 5 4   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 8 8 5 5 1 4 0 0 2 c c e 1 0     0 0 0 0 0 0 0 2 0 0 2 c c e 1 4     7 1 1 d 4 f 3 3 0 0 2 c c e 1 8     0 2 c 2 f 8 1 4   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 1 1 1 c 2 d 4 0 : 0 0 0 : x 8 6 >   g B r e a k p o i n t   4   h i t C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x 1 4 a 0 : 6 d 7 9 a 2 d 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   r     / /   然 后 调 用 6 d 7 9 a 2 d 0 e a x = 0 0 2 c e c 1 0   e b x = 0 a d 6 a 1 0 b   e c x = 0 a d 6 a 1 a 8   e d x = 6 d 7 9 a 2 d 0   e s i = 0 a d 6 a 1 a 8   e d i = 0 0 0 0 0 0 0 0 e i p = 6 d 7 9 a 2 d 0   e s p = 0 0 2 c c e 0 c   e b p = 0 0 2 c e c e 8   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 2 3     s s = 0 0 2 b     d s = 0 0 2 b     e s = 0 0 2 b     f s = 0 0 5 3     g s = 0 0 2 b                           e f l = 0 0 0 0 0 2 4 6 C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x 1 4 a 0 : 6 d 7 9 a 2 d 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   d p s   e s p   l 6 0 0 2 c c e 0 c     0 2 3 9 8 c 2 2   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 8 8 5 6 e 2 0 0 2 c c e 1 0     0 0 2 c e c 1 0 0 0 2 c c e 1 4     7 1 1 d 4 f 3 3 0 0 2 c c e 1 8     0 2 c 2 f 8 1 4   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 1 1 1 c 2 d 4 0 0 2 c c e 1 c     0 5 d 8 1 4 9 c 0 0 2 c c e 2 0     0 0 8 8 f 9 c 0 0 : 0 0 0 : x 8 6 >   d u   0 0 2 c e c 1 0     #   参 数 是 一 个 u n i c o d e 字 符 串 0 0 2 c e c 1 0     " F o x i t   R e a d e r   P D F   P r i n t e r " 0 : 0 0 0 : x 8 6 >   g B r e a k p o i n t   0   h i t C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 5 7 0 : 6 d 7 9 b 0 6 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   r         #   调 用   6 d 7 9 b 0 6 0 e a x = 6 d a c 6 f 1 c   e b x = 0 a d 6 a 1 0 b   e c x = 0 a d 6 a 1 a 8   e d x = 6 d 7 9 b 0 6 0   e s i = 0 a d 6 a 1 a 8   e d i = 0 0 0 0 0 0 0 0 e i p = 6 d 7 9 b 0 6 0   e s p = 0 0 2 c c e 0 4   e b p = 0 0 2 c e c e 8   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 2 3     s s = 0 0 2 b     d s = 0 0 2 b     e s = 0 0 2 b     f s = 0 0 5 3     g s = 0 0 2 b                           e f l = 0 0 0 0 0 2 4 6 C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 5 7 0 : 6 d 7 9 b 0 6 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   d p s   e s p   l 6 0 0 2 c c e 0 4     0 2 3 9 8 c 3 f   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 8 8 5 6 f f 0 0 2 c c e 0 8     0 0 2 c c e 5 0 0 0 2 c c e 0 c     0 0 0 0 0 0 0 0 0 0 2 c c e 1 0     0 0 0 0 0 0 0 0 0 0 2 c c e 1 4     7 1 1 d 4 f 3 3 0 0 2 c c e 1 8     0 2 c 2 f 8 1 4   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 1 1 1 c 2 d 4 0 : 0 0 0 : x 8 6 >   d u   0 0 2 c c e 5 0           #   参 数 开 头 是 被 处 理 图 片 的 地 址 0 0 2 c c e 5 0     " C : U s e r s X i n S a i D e s k t o p h o n e y v i e " 0 0 2 c c e 9 0     " w 5 m b . j p g " 0 : 0 0 0 : x 8 6 >   g B r e a k p o i n t   1   h i t C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r : 6 d 7 9 8 e 3 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   r       #   调 用 D e s t o r F X P D F C o n v e r t o r 销 毁 创 建 的 对 象 e a x = 0 0 0 0 0 0 0 0   e b x = 0 a d 6 a 1 0 b   e c x = 2 1 5 6 c f 2 2   e d x = 0 a d 6 5 0 7 8   e s i = 0 a d 6 a 1 a 8   e d i = 0 0 0 0 0 0 0 0 e i p = 6 d 7 9 8 e 3 0   e s p = 0 0 2 c c e 0 c   e b p = 0 0 2 c e c e 8   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 2 3     s s = 0 0 2 b     d s = 0 0 2 b     e s = 0 0 2 b     f s = 0 0 5 3     g s = 0 0 2 b                           e f l = 0 0 0 0 0 2 4 6 C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r : 6 d 7 9 8 e 3 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   g B r e a k p o i n t   5   h i t C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x 1 a c 0 : 6 d 7 9 a 8 f 0   a 1 1 0 d 1 c 3 6 d             m o v           e a x , d w o r d   p t r   [ C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 4 a 2 6 2 0   ( 6 d c 3 d 1 1 0 ) ]   d s : 0 0 2 b : 6 d c 3 d 1 1 0 = 0 a d 6 8 e 7 0 s u b _ 1 0 0 0 9 B 4               参 数 为   t h i s   ,   2 s u b _ 1 0 0 0 A 2 D 0             参 数 为   " F o x i t   R e a d e r   P D F   P r i n t e r "   ，   u n i c o d e 字 符 串 s u b _ 1 0 0 0 B 0 6 0             参 数 为   t h i s ,   输 入 文 件 的 全 路 径 ,   0 ,   0 D e s t o r F X P D F C o n v e r t o r     函 数 会 调 用 s u b _ 1 0 0 0 A 8 F 0 去 销 毁 对 象 i n t   m a i n ( ) {     H M O D U L E   h M o d   =   L o a d L i b r a r y ( _ T ( " C : P r o g r a m   F i l e s   ( x 8 6 ) F o x i t   S o f t w a r e F o x i t   R e a d e r p l u g i n s C r e a t o r x 8 6 C o n v e r t T o P D F _ x 8 6 . d l l " ) ) ; i f   ( h M o d )   {         p C r e a t e F X P D F C o n v e r t o r   =   ( C r e a t e F X P D F C o n v e r t o r ) G e t P r o c A d d r e s s ( h M o d ,   " C r e a t e F X P D F C o n v e r t o r " ) ;         p D e s t o r F X P D F C o n v e r t o r   =   ( D e s t o r F X P D F C o n v e r t o r ) G e t P r o c A d d r e s s ( h M o d ,   " D e s t o r F X P D F C o n v e r t o r " ) ; p r i n t f ( " C r e a t e F X P D F C o n v e r t o r : % p n " ,   p C r e a t e F X P D F C o n v e r t o r ) ; c h a r *   o b j   =   p C r e a t e F X P D F C o n v e r t o r ( ) ; p r i n t f ( " c r e a t e   c o n v e r t o r : % p n " ,   o b j ) ; c h a r *   m o d _ b a s e   =   ( c h a r * ) h M o d ;         v t a b l e *   v t b   =   ( v t a b l e * ) ( m o d _ b a s e   +   0 x 3 3 6 f 1 c ) ;   / /   g e t   v t a b l e   o f f s e t p r i n t f ( " m o d u l e   b a s e : % p n " ,   m o d _ b a s e ) ;
编 译 执 行 发 现 我 们 的 程 序 c r a s h 了 ， 拿 w i n d b g 调 试 发 现 崩 溃 的 位 置 如 下 在 I D A 中 分 析 发 生 c r a s h 的 位 置 i n v a i l d _ a d d r e s s 是 上 层 传 下 来 的 是 一 个 不 合 法 的 指 针 ， 程 序 解 引 时 发 生 了 c r a s h 。 继 续 往 上 追 踪 该 函 数 的 调 用 者 可 以 看 到 这 里 直 接 把 该 函 数 的 第 二 个 参 数 传 给 了 c r a s h _ f u n c ， 继 续 向 上 跟 p r i n t f ( " m o d u l e   b a s e : % p n " ,   m o d _ b a s e ) ; p r i n t f ( " v t b : % p n " ,   v t b ) ;         v t b - > p _ s u b _ 1 0 0 0 9 B 4 0 ( o b j ,   2 ) ;         v t b - > p _ s u b _ 1 0 0 0 A 2 D 0 ( _ T ( " F o x i t   R e a d e r   P D F   P r i n t e r " ) ) ;         v t b - > p _ s u b _ 1 0 0 0 B 0 6 0 ( o b j ,   ( c h a r * ) _ T ( " C : U s e r s X i n S a i D e s k t o p h o n e y v i e w 5 m b . j p g " ) , 0 , 0 ) ;         p D e s t o r F X P D F C o n v e r t o r ( o b j ) ;     } r e t u r n   0 ; } 0 : 0 0 0 : x 8 6 >   l m   m   C o n v e r * s t a r t                           e n d                                   m o d u l e   n a m e 6 d 7 9 0 0 0 0   6 d c b 5 0 0 0       C o n v e r t T o P D F _ x 8 6       ( e x p o r t   s y m b o l s )               C : P r o g r a m   F i l e s   ( x 8 6 ) F o x i t   S o f t w a r e F o x i t   R e a d e r p l u g i n s C r e a t o r x 8 6 C o n v e r t T o P D F _ x 8 6 . d l l 0 : 0 0 0 : x 8 6 >   r e a x = 0 0 0 0 0 0 0 0   e b x = 0 0 0 0 0 0 0 0   e c x = 0 0 7 5 0 0 7 0   e d x = 0 0 0 0 0 0 0 0   e s i = 0 0 2 7 e c 6 0   e d i = 0 0 2 7 8 3 6 0 e i p = 6 d 7 9 9 9 5 e   e s p = 0 0 2 2 f a 1 0   e b p = 0 0 2 2 f a 1 c   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 2 3     s s = 0 0 2 b     d s = 0 0 2 b     e s = 0 0 2 b     f s = 0 0 5 3     g s = 0 0 2 b                           e f l = 0 0 0 1 0 2 4 6 C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x b 2 e : 6 d 7 9 9 9 5 e   8 b 7 9 1 0                     m o v           e d i , d w o r d   p t r   [ e c x + 1 0 h ]   d s : 0 0 2 b : 0 0 7 5 0 0 8 0 = ? ? ? ? ? ? ? ? 0 : 0 0 0 : x 8 6 >   k b   4 C h i l d E B P   R e t A d d r     A r g s   t o   C h i l d                             W A R N I N G :   S t a c k   u n w i n d   i n f o r m a t i o n   n o t   a v a i l a b l e .   F o l l o w i n g   f r a m e s   m a y   b e   w r o n g . 0 0 2 2 f a 1 c   6 d 7 9 a c 6 b   0 0 7 5 0 0 7 0   0 0 0 0 0 0 0 0   f f f f f f f f   C o n v e r t T o P D F _ x 8 6 ! D e s t o r F X P D F C o n v e r t o r + 0 x b 2 e 0 0 2 2 f a 4 c   6 d 7 9 a e d 5   0 0 2 7 e c 6 0   0 0 2 7 7 6 e c   0 0 2 7 7 6 e 8   C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 1 7 b 0 0 2 2 f a 6 8   6 d 7 9 b 0 e 6   0 0 0 0 0 0 0 0   a 9 d 0 a 4 e 7   0 0 2 2 f b b 4   #   在 s u b _ 1 0 0 0 B 0 6 0 里 面 0 0 2 2 f a a 4   0 1 3 b 6 7 b 6   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 5 f 6 c h a r   * _ _ t h i s c a l l   c r a s h _ f u n c ( _ D W O R D   * t h i s ,   i n t   i n v a i l d _ a d d r e s s ,   u n s i g n e d   i n t   a 3 ,   u n s i g n e d   i n t   a 4 ) {     o b j   =   t h i s ;     p a t h _   =   i n v a i l d _ a d d r e s s ;     v 6   =   * ( i n v a i l d _ a d d r e s s   +   1 6 ) ; / /   解 引   i n v a i l d _ a d d r e s s + 1 6   时 异 常 v o i d   _ _ t h i s c a l l   s u b _ 1 0 0 0 A B A 0 ( u n s i g n e d   i n t   * t h i s ,   u n s i g n e d   i n t   a 2 ) {     . . . . . . . . . . . . . . . . . . . . .     . . . . . . . . . . . . . . . . . . . . .     . . . . . . . . . . . . . . . . . . . . . i f   (   v 8   )         {             v 8 [ 5 ]   =   7 ;             v 8 [ 4 ]   =   0 ;             * v 8   =   0 ;             c r a s h _ f u n c ( v 8 ,   a 2 ,   0 ,   0 x F F F F F F F F ) ;   / /   调 用 发 送 c r a s h 的 函 数 c h a r   * _ _ t h i s c a l l   s u b _ 1 0 0 0 A C 9 0 ( c h a r   * t h i s ,   i n t   p a t h _ i n f o ) {     . . . . . . . . . . . . . . . . . . . . .     . . . . . . . . . . . . . . . . . . . . .     . . . . . . . . . . . . . . . . . . . . .     p   =   * ( p a t h _ i n f o   +   3 1 8 8 ) ; i f   (   ( * ( p a t h _ i n f o   +   3 1 9 2 )   -   p )   /   2 8   )     {         i d x   =   0 ;
可 以 看 到 这 里 从 s u b _ 1 0 0 0 A C 9 0 的 第 二 参 数 的 偏 移 3 1 8 8 处 取 了 一 个 指 针 ， 然 后 传 入 了 s u b _ 1 0 0 0 A B A 0 继 续 再 往 上 追 踪 ， 发 现 s u b _ 1 0 0 0 A C 9 0 的 第 二 个 参 数 其 实 就 是 s u b _ 1 0 0 0 B 0 6 0 的 第 二 个 参 数 。 p a t h _ i n f o 是 我 们 传 入 的 ， 我 们 现 在 是 给 它 直 接 传 了 一 个 u n i c o d e 字 符 串 的 指 针 。 通 过 分 析 s u b _ 1 0 0 0 A C 9 0 里 面 对 p a t h _ i n f o 的 处 理 ， 可 以 看 到 p a t h _ i n f o 这 个 参 数 应 该 是 一 个 结 构 体 下 面 我 们 去 看 看 实 际 F o x i t R e a d e r 在 使 用 该 D L L 时 传 进 来 的 结 构 体 里 面 的 数 据 是 怎 么 样 的 d o         {             s u b _ 1 0 0 0 A B A 0 ( v 3   +   7 9 7 ,   p   +   i d x ) ;                     / /   第 二 个 参 数 为 一 个 非 法 指 针             p   =   v 2 [ 7 9 7 ] ;             + + v 2 9 ;             i d x   + =   2 8 ;         } w h i l e   (   v 2 9   <   ( v 2 [ 7 9 8 ]   -   p )   /   2 8   ) ;     } s i g n e d   i n t   _ _ t h i s c a l l   s u b _ 1 0 0 0 B 0 6 0 ( c o n s t   W C H A R   * t h i s ,   i n t   p a t h _ i n f o ,   i n t   a 3 ,   c h a r   * a 4 ) {     p a t h _ i n f o _   =   p a t h _ i n f o ;     . . . . . . . . . . .     . . . . . . . . . . .     s u b _ 1 0 0 0 A C 9 0 ( t h i s   +   4 ,   p a t h _ i n f o _ ) ; v t b - > p _ s u b _ 1 0 0 0 B 0 6 0 ( o b j ,   ( c h a r * ) _ T ( " C : U s e r s X i n S a i D e s k t o p h o n e y v i e w 5 m b . j p g " ) , 0 , 0 ) ; * ( v 3   +   9 3 6 )   =   * ( p a t h _ i n f o   +   3 7 4 4 ) ;   / /   取 结 构 体 的 字 段 * ( v 3   +   9 3 7 )   =   * ( p a t h _ i n f o   +   3 7 4 8 ) ; * ( v 3   +   9 3 8 )   =   * ( p a t h _ i n f o   +   3 7 5 2 ) ; * ( v 3   +   9 3 9 )   =   * ( p a t h _ i n f o   +   3 7 5 6 ) ; * ( v 3   +   9 4 0 )   =   * ( p a t h _ i n f o   +   3 7 6 0 ) ; * ( v 3   +   9 3 4 )   =   * ( p a t h _ i n f o   +   3 7 3 6 ) ;     p   =   * ( p a t h _ i n f o   +   3 1 8 8 ) ;     i f   (   ( * ( p a t h _ i n f o   +   3 1 9 2 )   -   p )   /   2 8   )     {         i d x   =   0 ;         d o         {             s u b _ 1 0 0 0 A B A 0 ( v 3   +   7 9 7 ,   p   +   i d x ) ;                     / /   第 二 个 参 数 为 一 个 非 法 指 针             p   =   v 2 [ 7 9 7 ] ;             + + v 2 9 ;             i d x   + =   2 8 ;         }         w h i l e   (   v 2 9   <   ( v 2 [ 7 9 8 ]   -   p )   /   2 8   ) ;     } 0 : 0 0 0 : x 8 6 >   r e a x = 0 0 3 e c e 8 8   e b x = 0 0 0 0 0 0 0 0   e c x = 0 a 5 5 a 1 a c   e d x = 6 d 7 9 b 0 6 0   e s i = 0 a 5 5 a 1 a 8   e d i = 0 a 5 5 a 1 a c e i p = 6 d 7 9 a c 9 0   e s p = 0 0 3 e c e 0 0   e b p = 0 0 3 e c e 3 8   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 2 3     s s = 0 0 2 b     d s = 0 0 2 b     e s = 0 0 2 b     f s = 0 0 5 3     g s = 0 0 2 b                           e f l = 0 0 0 0 0 2 4 6 C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 1 a 0 : 6 d 7 9 a c 9 0   5 5                             p u s h         e b p 0 : 0 0 0 : x 8 6 >   d d   e s p   l 2 0 0 3 e c e 0 0     6 d 7 9 b 0 e 6   0 0 3 e c e 8 8 0 : 0 0 0 : x 8 6 >   d b   0 0 3 e c e 8 8 0 0 3 e c e 8 8     4 3   0 0   3 a   0 0   5 c   0 0   5 5   0 0 - 7 3   0 0   6 5   0 0   7 2   0 0   7 3   0 0     C . : . . U . s . e . r . s . 0 0 3 e c e 9 8     5 c   0 0   5 8   0 0   6 9   0 0   6 e   0 0 - 5 3   0 0   6 1   0 0   6 9   0 0   5 c   0 0     . X . i . n . S . a . i . . 0 0 3 e c e a 8     4 4   0 0   6 5   0 0   7 3   0 0   6 b   0 0 - 7 4   0 0   6 f   0 0   7 0   0 0   5 c   0 0     D . e . s . k . t . o . p . . 0 0 3 e c e b 8     6 8   0 0   6 f   0 0   6 e   0 0   6 5   0 0 - 7 9   0 0   7 6   0 0   6 9   0 0   6 5   0 0     h . o . n . e . y . v . i . e . 0 0 3 e c e c 8     7 7   0 0   5 c   0 0   3 5   0 0   6 d   0 0 - 6 2   0 0   2 e   0 0   6 a   0 0   7 0   0 0     w . . 5 . m . b . . . j . p . 0 0 3 e c e d 8     6 7   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     g . . . . . . . . . . . . . . . 0 0 3 e c e e 8     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . .
通 过 d u m p 内 存 可 以 发 现 在 p a t h _ i n f o 开 头 存 的 是 图 片 的 路 径 ， 在 p a t h _ i n f o + 0 x 2 0 8 的 位 置 存 放 的 是 生 成 的 临 时 P D F 文 件 的 路 径 ， 其 他 的 区 域 都 是 0 ， 根 据 访 问 的 区 域 来 看 p a t h _ i n f o 结 构 体 的 大 致 大 小 为 0 x 1 0 C 8 字 节 。 我 们 可 以 往 上 跟 一 下 看 能 不 能 找 到 p a t h _ i n f o 实 际 分 配 的 内 存 大 小 可 以 发 现 p a t h _ i n f o 是 从 F o x i t R e a d e r 的 0 x 1 4 9 8 c 3 f 处 传 进 来 的 ， 跟 过 去 看 看 。 可 以 看 到 p a t h _ i n f o 是 栈 变 量 ， 查 看 I D A 的 栈 布 局 可 以 大 概 估 算 p a t h _ i n f o 的 大 小 0 0 3 e c e e 8     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . . 0 0 3 e c e f 8     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . . 0 : 0 0 0 : x 8 6 >   d b   0 0 3 e c e 8 8 + 0 x 2 0 8 0 0 3 e d 0 9 0     4 3   0 0   3 a   0 0   5 c   0 0   5 5   0 0 - 7 3   0 0   6 5   0 0   7 2   0 0   7 3   0 0     C . : . . U . s . e . r . s . 0 0 3 e d 0 a 0     5 c   0 0   5 8   0 0   6 9   0 0   6 e   0 0 - 5 3   0 0   6 1   0 0   6 9   0 0   5 c   0 0     . X . i . n . S . a . i . . 0 0 3 e d 0 b 0     4 1   0 0   7 0   0 0   7 0   0 0   4 4   0 0 - 6 1   0 0   7 4   0 0   6 1   0 0   5 c   0 0     A . p . p . D . a . t . a . . 0 0 3 e d 0 c 0     4 c   0 0   6 f   0 0   6 3   0 0   6 1   0 0 - 6 c   0 0   5 c   0 0   5 4   0 0   6 5   0 0     L . o . c . a . l . . T . e . 0 0 3 e d 0 d 0     6 d   0 0   7 0   0 0   5 c   0 0   3 1   0 0 - 3 5   0 0   3 7   0 0   3 3   0 0   3 0   0 0     m . p . . 1 . 5 . 7 . 3 . 0 . 0 0 3 e d 0 e 0     3 3   0 0   3 7   0 0   3 4   0 0   3 8   0 0 - 3 2   0 0   2 e   0 0   7 0   0 0   6 4   0 0     3 . 7 . 4 . 8 . 2 . . . p . d . 0 0 3 e d 0 f 0     6 6   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     f . . . . . . . . . . . . . . . 0 0 3 e d 1 0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . . 0 : 0 0 0 : x 8 6 >   d b   0 0 3 e c e 8 8 + 0 x 4 1 0 0 0 3 e d 2 9 8     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . . 0 0 3 e d 2 a 8     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . . 0 : 0 0 0 : x 8 6 >   d b   0 0 3 e c e 8 8 + 0 x 6 1 8 0 0 3 e d 4 a 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . . 0 0 3 e d 4 b 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 - 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     . . . . . . . . . . . . . . . . 0 : 0 0 0 : x 8 6 >   d b   0 0 3 e c e 8 8 + 0 x 8 2 0 0 : 0 0 0 : x 8 6 >   l m   m   C o n v e r t * s t a r t                           e n d                                   m o d u l e   n a m e 6 d 7 9 0 0 0 0   6 d c b 5 0 0 0       C o n v e r t T o P D F _ x 8 6       ( e x p o r t   s y m b o l s )               C : P r o g r a m   F i l e s   ( x 8 6 ) F o x i t   S o f t w a r e F o x i t   R e a d e r P l u g i n s C r e a t o r x 8 6 C o n v e r t T o P D F _ x 8 6 . d l l 0 : 0 0 0 : x 8 6 >   k b   4 C h i l d E B P   R e t A d d r     A r g s   t o   C h i l d                             W A R N I N G :   S t a c k   u n w i n d   i n f o r m a t i o n   n o t   a v a i l a b l e .   F o l l o w i n g   f r a m e s   m a y   b e   w r o n g . 0 0 3 e c d f c   6 d 7 9 b 0 e 6   0 0 3 e c e 8 8   c 6 2 6 6 d d 3   0 0 0 0 0 0 0 0   C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 1 a 0 0 0 3 e c e 3 8   0 2 3 9 8 c 3 f   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   C o n v e r t T o P D F _ x 8 6 ! C r e a t e F X P D F C o n v e r t o r + 0 x 5 f 6 0 0 3 e e d 2 0   0 2 3 9 6 b 7 6   0 8 2 c a d 3 c   0 8 3 5 1 6 6 4   0 0 0 0 0 0 0 0   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 8 8 5 6 f f 0 0 3 e e f 7 4   0 2 3 9 9 7 e 0   0 0 a d f 9 c 0   0 8 2 c a d 3 0   0 8 3 0 8 7 c 0   F o x i t R e a d e r ! C r y p t U I W i z E x p o r t + 0 x 8 8 3 6 3 6 0 : 0 0 0 : x 8 6 >   l m   m   F o x i t R e a d e r s t a r t                           e n d                                   m o d u l e   n a m e 0 0 f 0 0 0 0 0   0 3 c d 3 0 0 0       F o x i t R e a d e r       ( e x p o r t   s y m b o l s )               C : P r o g r a m   F i l e s   ( x 8 6 ) F o x i t   S o f t w a r e F o x i t   R e a d e r F o x i t R e a d e r . e x e i n t   _ _ t h i s c a l l   s u b _ 1 8 9 8 6 9 0 ( _ D W O R D   * t h i s ,   i n t   a 2 ,   i n t   a 3 ,   i n t   a 4 ,   i n t   a 5 ) { c h a r   p a t h _ i n f o [ 5 2 0 ] ;   / /   [ e s p + 3 C h ]   [ e b p - 1 E 9 8 h ] c h a r   v 8 3 [ 2 6 0 8 ] ;   / /   [ e s p + 2 4 4 h ]   [ e b p - 1 C 9 0 h ] i n t   v 8 4 ;   / /   [ e s p + C 7 4 h ]   [ e b p - 1 2 6 0 h ] i n t   v 8 5 ;   / /   [ e s p + F 0 0 h ]   [ e b p - F D 4 h ] c h a r   v 8 6 [ 4 0 4 ] ;   / /   [ e s p + 1 A 6 4 h ]   [ e b p - 4 7 0 h ] c h a r   v 8 7 ;   / /   [ e s p + 1 B F 8 h ]   [ e b p - 2 D C h ] v o i d   * v 8 8 ;   / /   [ e s p + 1 D E 0 h ]   [ e b p - F 4 h ] i n t   v 8 9 ;   / /   [ e s p + 1 D F 0 h ]   [ e b p - E 4 h ] u n s i g n e d   i n t   v 9 0 ;   / /   [ e s p + 1 D F 4 h ]   [ e b p - E 0 h ]     _ _ i n t 1 6   v 9 1 [ 1 0 0 ] ;   / /   [ e s p + 1 D F C h ]   [ e b p - D 8 h ] i n t   v 9 2 ;   / /   [ e s p + 1 E D 0 h ]   [ e b p - 4 h ]             v 8 1   =   ( ( * v 8 1 ) [ 2 ] ) ( v 8 1 ,   v 9 1 ) ; i f   (   ! v 8 1   )                 v 8 1   =   ( * * v 6 5 ) ( v 6 5 ,   p a t h _ i n f o ,   0 ,   0 ) ;   / /   调 用 s u b _ 1 0 0 0 B 0 6 0 0 0 0 0 1 E 9 8   p a t h _ i n f o               d b   5 2 0   d u p ( ? ) - 0 0 0 0 1 C 9 0   v a r _ 1 C 9 0                 d b   2 6 0 8   d u p ( ? ) - 0 0 0 0 1 2 6 0   v a r _ 1 2 6 0                 d d   ? - 0 0 0 0 1 2 5 C                                   d b   ?   ;   u n d e f i n e d - 0 0 0 0 1 2 5 B                                   d b   ?   ;   u n d e f i n e d
根 据 栈 帧 布 局 ， 可 以 知 道   p a t h _ i n f o 最 大 为   0 x 1 c 9 0 字 节 ， 这 里 我 们 分 配 0 x 2 0 0 0 字 节 给 p a t h _ i n f o 然 后 设 置 好 输 入 和 输 出 路 径 到 p a t h _ i n f o 。 执 行 完 后 在 C : t m p . p d f 生 成 创 建 好 的 图 片 ， 至 此 我 们 基 本 分 析 清 楚 C o n v e r t T o P D F _ x 8 6 . d l l 的 调 用 方 式 ， 目 前 可 以 通 过 C 语 言 直 接 调 用 模 块 内 的 函 数 完 成 P D F 的 制 作 ， 下 面 分 别 介 绍 如 何 对 C o n v e r t T o P D F 模 块 进 行 内 存 F u z z ， 以 及 如 何 用 W i n A F L 去 F u z z 该 模 块 。 内 存 内 存 F u z z 内 存 F u z z 的 原 理 是 在 内 存 中 不 断 的 生 成 测 试 数 据 ， 然 后 调 用 目 标 函 数 来 实 现 F u z z ， 这 里 采 用 h o o k 的 方 式 来 实 现 内 存 F u z z ， 首 先 在   D l l M a i n 里 面 获 取 s u b _ 1 0 0 0 B 0 6 0 函 数 的 地 址 并 h o o k 该 函 数 。 i n t   m a i n ( ) {     H M O D U L E   h M o d   =   L o a d L i b r a r y ( _ T ( " C : P r o g r a m   F i l e s   ( x 8 6 ) F o x i t   S o f t w a r e F o x i t   R e a d e r p l u g i n s C r e a t o r x 8 6 C o n v e r t T o P D F _ x 8 6 . d l l " ) ) ; i f   ( h M o d )   {         p C r e a t e F X P D F C o n v e r t o r   =   ( C r e a t e F X P D F C o n v e r t o r ) G e t P r o c A d d r e s s ( h M o d ,   " C r e a t e F X P D F C o n v e r t o r " ) ;         p D e s t o r F X P D F C o n v e r t o r   =   ( D e s t o r F X P D F C o n v e r t o r ) G e t P r o c A d d r e s s ( h M o d ,   " D e s t o r F X P D F C o n v e r t o r " ) ; p r i n t f ( " C r e a t e F X P D F C o n v e r t o r : % p n " ,   p C r e a t e F X P D F C o n v e r t o r ) ; c h a r *   o b j   =   p C r e a t e F X P D F C o n v e r t o r ( ) ; p r i n t f ( " c r e a t e   c o n v e r t o r : % p n " ,   o b j ) ; c h a r *   m o d _ b a s e   =   ( c h a r * ) h M o d ;         v t a b l e *   v t b   =   ( v t a b l e * ) ( m o d _ b a s e   +   0 x 3 3 6 f 1 c ) ;   / /   g e t   v t a b l e   o f f s e t p r i n t f ( " m o d u l e   b a s e : % p n " ,   m o d _ b a s e ) ; p r i n t f ( " v t b : % p n " ,   v t b ) ;         v t b - > p _ s u b _ 1 0 0 0 9 B 4 0 ( o b j ,   2 ) ;         v t b - > p _ s u b _ 1 0 0 0 A 2 D 0 ( _ T ( " F o x i t   R e a d e r   P D F   P r i n t e r " ) ) ; u n s i g n e d   i n t   i n f o _ s i z e   =   0 x 2 0 0 0 ; c h a r *   p a t h _ i n f o   =   ( c h a r * ) m a l l o c ( i n f o _ s i z e ) ; m e m s e t ( p a t h _ i n f o ,   0 ,   i n f o _ s i z e ) ; w c h a r _ t *   i n p u t _ i m a g e   =   _ T ( " C : U s e r s X i n S a i D e s k t o p h o n e y v i e w 5 m b . j p g " ) ; w c h a r _ t *   o u t p u t _ p d f   =   _ T ( " C : t m p . p d f " ) ; / /   设 置 输 入 图 片 的 路 径         w c s c p y ( ( w c h a r _ t * ) p a t h _ i n f o ,   i n p u t _ i m a g e ) ; / / 设 置 输 出 图 片 的 路 径         w c s c p y ( ( w c h a r _ t * ) ( p a t h _ i n f o   +   0 x 2 0 8 ) ,   o u t p u t _ p d f ) ; p r i n t f ( " p a t h   i n f o : % p n " ,   p a t h _ i n f o ) ; i n t   r e t   =   v t b - > p _ s u b _ 1 0 0 0 B 0 6 0 ( o b j ,   p a t h _ i n f o , 0 , 0 ) ; p r i n t f ( " s u b _ 1 0 0 0 B 0 6 0   r e t u r n :   % d n " ,   r e t ) ;         p D e s t o r F X P D F C o n v e r t o r ( o b j ) ; f r e e ( p a t h _ i n f o ) ;     } r e t u r n   0 ; } c l a s s   M y C l a s s { p u b l i c : i n t   _ _ t h i s c a l l   m y _ s u b _ 1 0 0 0 B 0 6 0 ( c h a r *   p a t h _ i n f o ,   i n t   a ,   i n t   b )   { c h a r *   i n p u t _ i m a g e   =   " c : f u z z . j p g " ;         w c s c p y ( ( w c h a r _ t * ) p a t h _ i n f o ,   c h a r _ t o _ w c h a r ( i n p u t _ i m a g e ) ) ; c h a r *   i n i t _ f i l e   =   " c : i n i t . j p g " ;         I N I T _ S E E D . b u f f e r   =   r e a d _ f i l e ( i n i t _ f i l e ,   & I N I T _ S E E D . l e n g t h ) ; i n t   r e t   =   0 ;
由 于 s u b _ 1 0 0 0 B 0 6 0 的 调 用 约 定 是 t h i s c a l l ， 所 以 代 码 里 面 实 现 了 一 个 类 函 数 用 来 作 为 h o o k 函 数 ， 并 且 使 用 了 一 个 小 技 巧 来 获 取 函 数 的 地 址 设 置 好 h o o k 后 ， 在 m y _ s u b _ 1 0 0 0 B 0 6 0 函 数 里 面 首 先 读 取 初 始 用 例 到 内 存 ， 然 后 不 断 地 对 初 始 数 据 变 异 ， 最 后 把 数 据 写 入 图 片 文 件 ， 然 后 调 用 目 标 函 数 去 处 理 数 据 。 代 码 编 译 好 后 会 生 成 m h o o k - t e s t . d l l ， 然 后 打 开 F o x i t R e a d e r ， 用 图 片 创 建 一 个 P D F ， 这 样 C o n v e r t T o P D F _ x 8 6 . d l l 就 会 被 加 载 到 内 存 。 此 时 使 用 用 D L L 注 入 工 具 把 m h o o k - t e s t . d l l 注 入 到 F o x i t R e a d e r 进 程 。 w h i l e   ( t r u e )         {             f u z z ( i n p u t _ i m a g e ) ;   / /   变 异 初 始 用 例 ， 并 写 入 i n p u t _ i m a g e             r e t   =   r a w _ s u b _ 1 0 0 0 B 0 6 0 ( ( c h a r * ) t h i s ,   p a t h _ i n f o ,   a ,   b ) ;   / /   调 用 原 始 的 目 标 函 数             d e b u g g e r _ p r i n t f ( " f u z z e d   f u n c t i o n   r e t u r n : % d n " ,   r e t ) ;         }     } p r i v a t e : } ; i n t   _ _ s t d c a l l   D l l M a i n ( H I N S T A N C E   h i n s t D L L ,   D W O R D     f d w R e a s o n ,   L P V O I D   l p R e s e r v e d ) { c h a r *   b a s e   =   N U L L ;     u n s i g n e d   l o n g   h o o k _ f u n c _ a d d r   =   N U L L ; s w i t c h   ( f d w R e a s o n )     { c a s e   D L L _ P R O C E S S _ A T T A C H : / / 加 载 时 候         b a s e   =   ( c h a r * ) G e t M o d u l e H a n d l e ( _ T ( " C o n v e r t T o P D F _ x 8 6 . d l l " ) ) ;         d e b u g g e r _ p r i n t f ( " b a s e : % p n " ,   b a s e ) ;         r a w _ s u b _ 1 0 0 0 B 0 6 0   =   ( s u b _ 1 0 0 0 B 0 6 0 ) ( b a s e   +   0 x B 0 6 0 ) ; c h a r   b u f [ 0 x 2 0 ] ; s p r i n t f ( b u f ,   " % u " ,   & M y C l a s s : : m y _ s u b _ 1 0 0 0 B 0 6 0 ) ;         h o o k _ f u n c _ a d d r   =   a t o l l ( b u f ) ; i f   ( M h o o k _ S e t H o o k ( ( P V O I D * ) & r a w _ s u b _ 1 0 0 0 B 0 6 0 ,   ( v o i d   * ) h o o k _ f u n c _ a d d r ) )   {             d e b u g g e r _ p r i n t f ( " b a s e :   % p ,   f u n c : % p " ,   b a s e ,   h o o k _ f u n c _ a d d r ) ;         } b r e a k ; d e f a u l t : b r e a k ;     } r e t u r n   T R U E ; } c h a r   b u f [ 0 x 2 0 ] ; s p r i n t f ( b u f ,   " % u " ,   & M y C l a s s : : m y _ s u b _ 1 0 0 0 B 0 6 0 ) ;         h o o k _ f u n c _ a d d r   =   a t o l l ( b u f ) ;
当 m h o o k - t e s t . d l l 被 注 入 到 进 程 后 就 会 执 行 D l l M a i n ， 这 样 就 可 以 把 目 标 函 数 h o o k 住 ， 然 后 再 次 用 图 片 创 建 一 个 P D F ， 触 发 目 标 函 数 的 调 用 ， 这 时 程 序 会 进 入 h o o k 函 数 m y _ s u b _ 1 0 0 0 B 0 6 0 ， 在 m y _ s u b _ 1 0 0 0 B 0 6 0 里 面 开 始 不 断 变 异 数 据 ， F u z z 目 标 函 数 。 启 动 F o x i t R e a d e r 后 建 议 用 w i n d b g 附 加 进 程 ， m h o o k - t e s t . d l l 会 使 用 调 试 器 的 输 出 接 口 打 印 一 些 调 试 日 志 ， 同 时 使 用 调 试 器 还 可 以 在 程 序 发 生 异 常 时 断 下 来 辅 助 调 试 ， 运 行 截 图 如 下 发 送 c r a s h 时 的 截 图
W i n A F L W i n A F L 是 A F L 的 W i n d o w s 移 植 版 ， W i n A F L 使 用 d y n a m o r i o 来 获 取 程 序 执 行 的 覆 盖 率 ， 为 了 提 升 测 试 速 度 ， W i n A F L 实 现 了 一 种 类 似 于 内 存 F u z z 的 机 制 ， 示 意 图 如 下 W i n A F L 会 使 用 d y n a m o r i o 来 h o o k 目 标 函 数 ， 当 执 行 到 被 测 函 数 时 ， 首 先 执 行 p r e _ f u z z _ h a n d l e r ， 该 函 数 会 完 成 和 A F L 的 通 信 并 且 会 把 统 计 覆 盖 率 的 共 享 内 存 初 始 化 ， 最 后 退 出 函 数 继 续 往 下 会 执 行 目 标 函 数 ， 执 行 完 后 会 进 入 p o s t _ f u z z _ h a n d l e r ， 这 里 面 会 再 次 跳 转 到 p r e _ f u z z _ h a n d l e r 等 待 下 次 F u z z 。 由 于 W i n A F L 的 实 现 机 制 ， 为 了 能 高 效 的 F u z z ， W i n A F L 建 议 目 标 函 数 要 满 足 以 下 要 求 : 首 先 目 标 函 数 会 打 开 一 个 文 件 读 取 数 据 ， 处 理 数 据 ， 最 后 会 把 文 件 关 闭 。 目 标 函 数 不 会 调 用 e x i t 之 类 会 结 束 进 程 的 函 数 。 为 了 能 够 用 W i n A F L 来 测 试   C o n v e r t T o P D F _ x 8 6 . d l l ， 我 们 需 要 把 之 前 写 的 d l l l o a d e r 改 造 以 下 便 于 W i n A F L 测 试 。 测 试 d l l l o a d e r 的 主 要 代 码 如 下 v o i d   f u z z _ f u n c ( c h a r *   p a t h )   {     v t b - > p _ s u b _ 1 0 0 0 9 B 4 0 ( o b j ,   2 ) ;     v t b - > p _ s u b _ 1 0 0 0 A 2 D 0 ( _ T ( " F o x i t   R e a d e r   P D F   P r i n t e r " ) ) ; m e m s e t ( p a t h _ i n f o ,   0 ,   0 x 2 0 0 0 ) ; w c h a r _ t *   i n p u t _ i m a g e   =   _ T ( " C : U s e r s X i n S a i D e s k t o p h o n e y v i e w 5 m b . j p g " ) ; w c h a r _ t *   o u t p u t _ p d f   =   _ T ( " C : t m p . p d f " ) ;     w c s c p y ( ( w c h a r _ t * ) p a t h _ i n f o ,   c h a r _ t o _ w c h a r ( p a t h ) ) ;     w c s c p y ( ( w c h a r _ t * ) ( p a t h _ i n f o   +   0 x 2 0 8 ) ,   o u t p u t _ p d f ) ; i n t   r e t   =   v t b - > p _ s u b _ 1 0 0 0 B 0 6 0 ( o b j ,   p a t h _ i n f o ,   0 ,   0 ) ; p r i n t f ( " s u b _ 1 0 0 0 B 0 6 0   r e t u r n :   % d n " ,   r e t ) ; } i n t   m a i n ( i n t   a r g c ,   c h a r * *   a r g v ) { i f   ( a r g c   <   2 )   {
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理