搜索

[12816] 2018-06-12_CVE-2018-8174：从UAF到任意地址读写

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-06-12_CVE-2018-8174：从UAF到任意地址读写 C V E - 2 0 1 8 - 8 1 7 4 ： 从 U A F 到 任 意 地 址 读 写 原 创   e l l i 0 t n 0 p h a c k e r   F r e e B u f   2 0 1 8 - 0 6 - 1 2 0 x 0 0   背 景 背 景 2 0 1 8 年 年 5 月 月 9 日 ， 日 ， 3 6 0 发 表 发 表 B l o g   “ A n a l y s i s   o f   C V E - 2 0 1 8 - 8 1 7 4   V B S c r i p t   0 d a y   a n d   A P T   a c t o r   r e l a t e d   t o O f f i c e t a r g e t e d   a t t a c k ”   揭 露 了 利 用 揭 露 了 利 用 “ 双 杀 双 杀 ” 0 d a y 发 起 的 发 起 的 A P T 攻 击 ， 其 中 使 用 的 漏 洞 就 是 攻 击 ， 其 中 使 用 的 漏 洞 就 是 I E   v b s c r i p t   0 d a y ： ： C V E - 2 0 1 8 - 8 1 7 4 ， 不 久 该 样 本 就 在 互 联 网 被 公 布 。 由 于 ， 不 久 该 样 本 就 在 互 联 网 被 公 布 。 由 于 3 6 0 的 的 B l o g 并 没 有 对 漏 洞 原 理 和 任 意 地 址 读 写 的 利 用 方 法 详 细 介 并 没 有 对 漏 洞 原 理 和 任 意 地 址 读 写 的 利 用 方 法 详 细 介 绍 ， 且 原 始 样 本 混 淆 严 重 ， 笔 者 对 样 本 进 行 了 简 化 ， 重 点 说 明 该 漏 洞 的 原 理 和 如 何 利 用 该 漏 洞 实 现 任 意 地 址 读 绍 ， 且 原 始 样 本 混 淆 严 重 ， 笔 者 对 样 本 进 行 了 简 化 ， 重 点 说 明 该 漏 洞 的 原 理 和 如 何 利 用 该 漏 洞 实 现 任 意 地 址 读 写 ， 希 望 帮 助 大 家 更 好 的 理 解 这 个 漏 洞 利 用 程 序 。 写 ， 希 望 帮 助 大 家 更 好 的 理 解 这 个 漏 洞 利 用 程 序 。 0 x 0 1   漏 洞 原 理 漏 洞 原 理 p o c 如 下 ： p o c 中 首 先 定 义 了 两 个 数 组 a r r a y _ a 和 a r r a y _ b ， 并 声 明 了 一 个 类 T r i g g e r ， T r i g g e r 中 重 载 了 析 构 函 数 C l a s s _ T e r m i n a t e ， 在 U A F 函 数 中 ， 创 建 了 一 个 T r i g g e r 的 实 例 赋 值 给 数 组 a r r a y _ a   ( 1 ) ， 并 通 过 E r a s e   a r r a y _ a 清 空 a r r a y _ a 中 的 元 素 ， 这 时 候 在 析 构 a r r a y _ a 中 的 元 素 的 时 候 会 触 发 脚 本 中 C l a s s _ T e r m i n a t e 的 调 用 ， 在 C l a s s _ T e r m i n a t e 中 增 加 了 一 个 a r r a y _ b ( 0 ) 对 T r i g g e r 实 例 的 引 用 （ T r i g g e r 实 例 引 用 计 数 + 1 ） ， 再 通 过 a r r a y _ a   ( 1 ) =   1 删 除 a r r a y _ a   ( 1 )   对 T r i g g e r 实 例 的 引 用 （ T r i g g e r 实 例 引 用 计 数 - 1 ） 来 平 衡 引 用 计 数 ， 这 时 候 T r i g g e r 实 例 会 被 释 放 ， 但 是 a r r a y _ b ( 0 ) 仍 然 保 留 了 这 个 T r i g g e r 实 例 的 引 用 ， 从 而 a r r a y _ b ( 0 ) 指 向 了 被 释 放 的 T r i g g e r 实 例 的 内 存 ， 最 终 在 T r i g g e r V u l n 中 通 过 b ( 0 )   =   0 访 问 未 分 配 内 存 触 发 漏 洞 。 开 启 h p a 和 u s t 观 察 漏 洞 现 场 ：
显 然 e a x 已 经 在 v b s c r i p t ! V b s E r a s e 的 调 用 栈 中 被 释 放 了 ， v b s c r i p t ! V b s E r a s e 即 对 应 了 脚 本 中 的 E r a s e ， 而 e a x 正 是 被 V B S c r i p t C l a s s : : R e l e a s e 函 数 释 放 的 V B S c r i p t C l a s s 对 象 也 就 是 脚 本 中 的 T r i g g e r 实 例 。 这 里 看 下 V B S c r i p t C l a s s : : R e l e a s e 的 逻 辑 ： V B S c r i p t C l a s s : : R e l e a s e 中 首 先 对 V B S c r i p t C l a s s 的 引 用 计 数 - 1 （ & V B S c r i p t C l a s s + 0 x 4 ） ， 如 果 引 用 计 数 = 0 则 调 用 V B S c r i p t C l a s s : : T e r m i n a t e C l a s s ， 调 用 V B S c r i p t C l a s s : : T e r m i n a t e C l a s s 时 因 为 在 脚 本 中 重 载 了 C l a s s _ T e r m i n a t e 函 数 ， 所 以 获 得 了 一 次 脚 本 执 行 的 机 会 ， 这 里 就 可 以 在 释 放 V B S c r i p t C l a s s 的 内 存 前 将 即 将 释 放 的 V B S c r i p t C l a s s 内 存 地 址 保 存 脚 本 控 制 的 变 量 中 ( S e t   a r r a y _ b ( 0 )   = a r r a y _ a ( 1 ) ) ， 并 通 过 a r r a y _ a   ( 1 )   =   1 平 衡 引 用 计 数 ， 最 终 释 放 内 存 。 1 ）   S e t   a r r a y _ a ( 1 )   =   N e w   T r i g g e r ： 此 时 V B S c r i p t C l a s s 引 用 计 数 = 2
2 ）   E r a s e   a r r a y _ a 返 回 后 ： 此 时 T r i g g e r 指 向 的 内 存 已 经 被 释 放 ， 但 是 a r r a y _ b ( 0 ) 仍 然 指 向 这 块 被 释 放 的 内 存 ， 形 成 悬 挂 指 针 。 0 x 0 2   漏 洞 利 用 漏 洞 利 用 U A F 漏 洞 利 用 的 关 键 是 如 何 使 用 这 个 悬 挂 指 针 操 作 内 存 。 通 过 分 析 漏 洞 原 理 知 道 a r r a y _ b ( 0 ) 指 向 被 释 放 的 V B S c r i p t C l a s s 的 内 存 （ 大 小 为 0 x 3 0 ） , 这 时 候 可 以 用 一 个 V B S c r i p t C l a s s 占 位 （ 这 里 称 为 M y C l a s s 2 ） ， 接 着 利 用 悬 挂 指 针 a r r a y _ b ( 0 ) 释 放 这 块 内 存 再 用 另 外 一 个 V B S c r i p t C l a s s 占 位 （ 这 里 称 为 M y C l a s s 1 ） ， 此 时 M y C l a s s 1 和 M y C l a s s 2 将 同 时 指 向 这 块 内 存 。 此 外 V B S c r i p t C l a s s 在 + 0 x 0 8 处 是 保 存 了 V B S c r i p t C l a s s 成 员 变 量 和 成 员 函 数 N a m e T b l 对 象 （ 大 小 为 0 x 8 8 ） 的 指 针 ， N a m e T b l 对 象 从 + 0 x 4 8 开 始 保 存 成 员 变 量 和 成 员 函 数 的 指 针 ： 可 以 理 解 为 下 图 ， 通 过
U A F   M y C l a s s 1   和 M y C l a s s 2 都 指 向 V B S c r i p t C l a s s 的 内 存 ， 同 时 M y C l a s s 1   M y C l a s s 2 的 变 量 也 都 保 存 在 N a m e T b l 中 ， 如 果 M y C l a s s 1 M y C l a s s 2 的 变 量 在 N a m e T b l 内 存 是 错 位 排 列 的 ， 那 么 就 有 可 能 通 过 控 制 其 中 一 个 对 象 变 量 的 值 来 修 改 另 一 个 对 象 变 量 的 属 性 ， 从 而 实 现 类 型 混 淆 ： 简 化 后 的 任 意 地 址 读 写 p o c ：
首 先 在 U A F 函 数 中 创 建 了 一 些 V B S c r i p t C l a s s 对 象 占 据 系 统 堆 碎 片 为 后 面 U A F 准 备 ， 然 通 过 触 发 漏 洞 获 得 指 向 已 释 放 的 T r i g g e r 对 象 内 存 的 a r r a y _ b ， 接 着 通 过 “ S e t   m y c l s 2   =   N e w   M y C l a s s 2 ” ， 用 M y C l a s s 2 占 位 释 放 的 内 存 ， 此 时 a r r a y _ b 的 7 个 元 素 和 M y C l a s s 2 都 指 向 这 块 内 存 。 在 I n i t O b j e c t s 函 数 的 “ m y c l s 2 . S e t P r o p ( m y c o n f ) ” 中 会 触 发 C o n f u s i o n 类 的 P u b l i c   D e f a u l t   P r o p e r t y   G e t   P 函 数 调 用 ， 并 将 返 回 值 “ P = 1 7 4 0 8 8 5 3 4 6 9 0 7 9 1 e - 3 2 4 ” 保 存 在 M y C l a s s 2 的 成 员 变 量 m e m 中 。 在 P u b l i c D e f a u l t   P r o p e r t y   G e t   P 函 数 调 用 中 ， 再 次 利 用 悬 挂 指 针 a r r a y _ b ( i ) 释 放 了 M y C l a s s 2 的 内 存 ， 然 后 用 M y C l a s s 1 占 位 并 将 字 符 串 F A K E S A F E A R R A Y 赋 值 给 M y C l a s s 1 的 成 员 变 量 m e m ， 由 于 M y C l a s s 2 依 然 指 向 这 块 内 存 ， 因 此 M y C l a s s 2 . m e m   =   M y C l a s s 1 . m e m   = F A K E S A F E A R R A Y 。 注 意 到 之 前 P u b l i c   D e f a u l t   P r o p e r t y   G e t   P 函 数 调 用 的 返 回 值 “ P = 1 7 4 0 8 8 5 3 4 6 9 0 7 9 1 e - 3 2 4 ” 会 保 存 在 M y C l a s s 2 的 成 员 变 量 m e m 中 ， 但 是 此 时 M y C l a s s 2 内 存 已 经 被 释 放 ， 返 回 值 “ P = 1 7 4 0 8 8 5 3 4 6 9 0 7 9 1 e - 3 2 4 ” 仍 然 会 保 存 在 原 来 的 M y C l a s s 2 的 m e m 指 向 的 内 存 地 址 ， p o c 中 的 被 释 放 的 M y C l a s s 2 的 m e m 和 M y C l a s s 1 的 m e m 有 0 x C 字 节 的 错 位 ， 而 “ P = 1 7 4 0 8 8 5 3 4 6 9 0 7 9 1 e - 3 2 4 ” 对 应 的 V A R I A N T 在 内 存 中 的 值 为 “ 0 0 0 0 0 0 0 5   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 2 0 0 C ” ， 从 而 利 用 错 位 的 “ 0 0 0 0 2 0 0 c ” 将 B S T R 混 淆 为 V A R I A N T | A R R A Y ， 而 F A K E S A F E A R R A Y 的 内 容 正 好 是 一 个 起 始 地 址 为 0 x 0 0 0 0 0 0 0 0 长 度 为 0 x 7 F F F F F F F 每 个 元 素 占 1 B y t e 的 数 组 ， 最 终 实 现 任 意 地 址 读 写 。 1 ） S e t   m y c l s 2   =   N e w   M y C l a s s 2 后 M y C l a s s 2 的 内 存 布 局 ： 2 ） P u b l i c D e f a u l t   P r o p e r t y   G e t   P 中 M y C l a s s 2 被 释 放 ， M y C l a s s 1 占 位 ：
可 以 看 到 M y C l a s s 1 . m e m ( 0 x 0 2 0 0 6 6 C 6 C ) 和 释 放 前 的 M y C l a s s 2 . m e m ( 0 x 0 2 0 0 6 6 C 6 0 ) 相 差 0 x C   B y t e 3 ） P u b l i c D e f a u l t   P r o p e r t y   G e t   返 回 后 通 过 “ P = 1 7 4 0 8 8 5 3 4 6 9 0 7 9 1 e - 3 2 4 ” 修 改 释 放 前 的   M y C l a s s 2 . m e m 为 “ 0 0 0 0 0 0 0 5 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 2 0 0 c ” 实 现 类 型 混 淆 ： 最 终 m y C l a s s 2 . m e m 获 得 任 意 地 址 读 写 权 限 。 同 理 B S T R 也 可 以 被 混 淆 成 L o n g 类 型 用 来 泄 露 s h e l l c o d e 的 内 存 地 址 ：
关 于 对 象 地 址 泄 露 和 s h e l l c o d e 执 行 ， 可 以 参 考 3 6 0 那 篇 B l o g ， 当 然 D V E 也 是 可 行 的 ， 不 再 详 述 。 * 本 文 原 创 作 者 ： e l l i 0 t n 0 p h a c k e r ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理