搜索

[27854] 2021-02-23_cajviewer逆向分析与漏洞挖掘

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-02-23_cajviewer逆向分析与漏洞挖掘 c a j v i e w e r 逆 向 分 析 与 漏 洞 挖 掘 原 创   h a c k e d b y l h   O P P O 安 全 应 急 响 应 中 心   2 0 2 1 - 0 2 - 2 3 以 下 文 章 由 作 者 【 h a c k e d b y l h 】 的 连 载 有 赏 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 投 稿 的 朋 友 尽 量 用 m a r k d o w n 格 式 ， 特 别 是 包 含 大 量 代 码 的 文 章 前 言 前 言 是 一 个 论 文 查 看 工 具 ， 主 要 用 于 查 看 是 一 个 论 文 查 看 工 具 ， 主 要 用 于 查 看 文 件 格 式 的 论 文 。 本 文 介 绍 对 该 软 件 进 行 逆 向 分 析 和 漏 洞 挖 掘 的 过 程 。 文 件 格 式 的 论 文 。 本 文 介 绍 对 该 软 件 进 行 逆 向 分 析 和 漏 洞 挖 掘 的 过 程 。 F u z z 测 试 测 试 W i n d o w s 版 本 版 本 首 先 分 析 的 是 的 W i n d o w s 版 本 ， 由 于 我 们 的 目 的 是 挖 掘 软 件 的 漏 洞 ， 通 过 介 绍 我 们 知 道 C A J V i e w e r 本 质 上 是 一 个 文 件 解 析 程 序 ， 因 此 该 软 件 的 高 危 模 块 应 该 是 软 件 中 解 析 文 件 数 据 的 部 分 解 析 文 件 数 据 的 部 分 ， 因 此 首 先 应 该 大 概 定 义 软 件 数 据 处 理 部 分 所 在 位 置 ， W i n d o w s 平 台 下 可 以 使 用   p r o c e s s m o n i t o r 来 进 行 初 步 的 分 析 。 首 先 打 开 p r o c e s s   m o n i t o r 并 开 始 捕 获 事 件 ， 然 后 使 用 打 开 一 个 C A J V i e w e r c a j C A J V i e w e r C A J V i e w e r c a j
文 件 ， 等 文 件 解 析 完 成 后 停 止 捕 获 事 件 。 然 后 我 们 可 以 过 滤 一 下 需 要 查 看 的 事 件 ， 比 如 上 图 设 置 了 只 查 看 文 件 操 作 并 且 只 查 看 对 只 查 看 文 件 操 作 并 且 只 查 看 对     文 件 的 操 作 文 件 的 操 作 ， 该 文 件 就 是 之 前 让 打 开 的 文 件 。 然 后 我 们 可 以 找 一 下 读 文 件 的 操 作 （ ） ， 因 为 大 部 分 文 件 解 析 逻 辑 应 该 读 一 部 分 文 件 内 容 解 析 一 部 分 ， 因 此 通 过 查 看 读 文 件 时 的 调 用 栈 就 可 以 大 概 定 位 解 析 数 据 的 模 块 ， 然 后 双 击 就 可 以 查 看 调 用 相 应 函 数 的 调 用 栈 调 用 栈 。 通 过 查 看 多 个 数 据 读 取 的 调 用 栈 ， 可 以 发 现 R e a d e r E x . d l l 在 调 用 栈 中 出 现 多 次 ， 因 此 大 概 可 以 猜 测 R e a d e r E x . d l l 应 该 主 要 负 责 处 理 文 件 数 据 。 L i n u x 版 本 版 本 逆 向 了 一 会 R e a d e r E x . d l l 后 ， 发 现 C A J V i e w e r 今 年 还 发 布 了 L i n u x 版 本 ， 于 是 下 载 下 来 分 析 了 一 下 。 下 载 下 来 后 是 一 个 可 执 行 文 件 i n p u t . c a j C A J V i e w e r R e a d F i l e C A J V i e w e r - x 8 6 _ 6 4 - l i b c - 2 . 2 4 . A p p I m a g e
， 执 行 起 来 查 看 进 程 的 m a p s 发 现 其 实 软 件 会 在 t m p 目 录 把 打 包 好 的 二 进 制 解 压 ， 然 后 去 执 行 t m p 目 录 下 的 二 进 制 。 这 里 可 以 直 接 把 拷 贝 到 一 个 目 录 ， 然 后 就 可 以 直 接 执 行   了 。 查 看 解 压 处 理 的 二 进 制 发 现 一 个 l i b r e a d e r e x _ x 6 4 . s o ， 看 名 字 应 该 是 R e a d e r E x . d l l 的 L i n u x 版 本 ， 然 后 使 用 I D A 打 开 ， 发 现 比 W i n d o w s 版 本 的 要 好 分 析 一 点 ， 信 息 也 比 R e a d e r E x . d l l 的 多 。 于 是 接 下 来 决 定 对 L i n u x 版 本 的 二 进 制 进 行 分 析 。 首 先 看 看 主 程 序 c a j v i e w e r ， 查 看 m a i n 函 数 可 以 发 现 软 件 是 用 q t 写 的 C A J V i e w e r - x 8 6 _ 6 4 - l i b c - 2 . 2 4 . A p p I m a g e / t m p / . m o u n t _ C A J V i e r j a y B H / c a j v i e w e r
之 后 翻 了 一 下 函 数 列 表 ， 发 现 了 ， 看 名 称 应 该 是 打 开 一 个 文 件 。 M a i n W i n d o w : : O p e n F i l e
_ _ i n t 6 4   _ _ f a s t c a l l   M a i n W i n d o w : : O p e n F i l e ( M a i n W i n d o w   * t h i s ,   c o n s t   Q S t r i n g   * a 2 ) {     v 2   =   t h i s ;     Q S t r i n g : : t o U t f 8 _ h e l p e r ( & v 1 6 ,   a 2 ) ;     m e m s e t ( v 1 9 ,   0 ,   s i z e o f ( v 1 9 ) ) ;     * v 1 9   =   0 x 2 D 8 ;     * & v 1 9 [ 4 ]   =   2 5 6 ;     * & v 1 9 [ 8 ]   =   C A J F I L E _ C r e a t e E r r o r O b j e c t ( & v 2 0 ) ;     v 3   =   * & v 1 9 [ 8 ] ;     i f   (   * v 1 6   >   1   | |   ( v 5   =   * ( v 1 6   +   2 ) ,   v 4   =   v 1 6 ,   v 5   ! =   2 4 )   )     {         Q B y t e A r r a y : : r e a l l o c D a t a ( & v 1 6 ,   v 1 6 [ 1 ]   +   1 ,   * ( v 1 6   +   1 1 )   > >   3 1 ) ;         v 4   =   v 1 6 ;         v 5   =   * ( v 1 6   +   2 ) ;     }     v 6   =   C A J F I L E _ O p e n E x 1 ( v 4   +   v 5 ,   v 1 9 ) ;                       / /   打 开 文 件 这 里 对 输 入 的 进 行 一 些 处 理 后 ， 调 用 了 函 数 ， 该 函 数 位 于 。 F u z z   C A J F I L E _ O p e n E x 1 函 数 函 数 函 数 代 码 如 下 Q S t r i n g C A J F I L E _ O p e n E x 1 l i b r e a d e r e x _ x 6 4 . s o
函 数 的 第 一 个 参 数 是 要 解 析 的 文 件 路 径 ， 第 二 个 参 数 是 一 块 内 存 ， 这 个 参 数 的 结 构 可 以 查 看 调 用 点 。 可 以 看 到 i n _ b u f 的 结 构 如 下 M a i n W i n d o w : : O p e n F i l e
+ 0 :   4 个 字 节   i n _ b u f 的 长 度 + 4 :   4 个 字 节   一 个 整 形 值 + 8 :   一 个 指 针 ，   存 放 构 造 好 的   E r r o r O b j e c t 使 用 调 试 器 在 这 个 函 数 下 个 断 点 ， 然 后 打 开 一 个 文 件 就 可 以 看 到 入 参 如 下 之 后 有 简 单 的 翻 了 一 些 该 函 数 的 实 现 ， 以 及 使 用 该 函 数 的 位 置 可 以 大 概 确 定 用 于 打 开 一 个 文 件 ， 并 会 对 文 件 的 内 容 进 行 解 析 ， 因 此 下 面 打 算 使 用 A F L   Q e m u 模 式 F u z z 一 下 这 个 函 数 。 F u z z 之 前 需 要 写 一 点 代 码 把 s o 加 载 到 内 存 ， 然 后 构 造 参 数 对 目 标 函 数 进 行 测 试 。 首 先 需 要 把 S O 加 载 到 内 存 中 并 获 取 目 标 函 数 的 地 址 C A J F I L E _ O p e n E x 1
v o i d   m y _ i n i t ( v o i d )   _ _ a t t r i b u t e _ _ ( ( c o n s t r u c t o r ) ) ;   / / 告 诉 g c c 把 这 个 函 数 扔 到 i n i t   s e c t i o n v o i d   m y _ i n i t ( v o i d ) {         v o i d   * h a n d l e ;         h a n d l e   =   d l o p e n ( " / h o m e / h a c 4 2 5 / c a j v i e w e r / c a j v i e w e r - b i n / u s r / l i b / l i b r e a d e r e x _ x 6 4 . s o " ,   R T L D _ L A Z Y ) ;         s t r u c t   l i n k _ m a p   * l m   =   ( s t r u c t   l i n k _ m a p   * ) h a n d l e ;         p r i n t f ( " % l x n " ,   l m - > l _ a d d r ) ;         p _ C A J F I L E _ O p e n E x 1   =   d l s y m ( h a n d l e ,   " C A J F I L E _ O p e n E x 1 " ) ;         p _ C A J F I L E _ C r e a t e E r r o r O b j e c t   =   d l s y m ( h a n d l e ,   " C A J F I L E _ C r e a t e E r r o r O b j e c t " ) ; } m y _ i n i t 会 在 m a i n 函 数 之 前 执 行 ， 代 码 流 程 如 下 首 先 把 s o 加 载 到 内 存 ， 并 把 s o 在 内 存 中 的 基 地 址 打 印 到 屏 幕 ， 便 于 后 续 测 试 。 然 后 使 用 获 取 和 函 数 的 地 址 。 然 后 在 m a i n 函 数 中 就 会 构 造 参 数 调 用 目 标 函 数 d l o p e n d l s y m C A J F I L E _ O p e n E x 1 C A J F I L E _ C r e a t e E r r o r O b j e c t
i n t   m a i n ( i n t   a r g c ,   c h a r   * * a r g v ) {         c h a r   b u f [ 0 x 2 D 8 ] ;         p r i n t f ( " m a i n : % p n " ,   m a i n ) ;         m e m s e t ( b u f ,   0 ,   0 x 2 D 8 ) ;         * ( u n s i g n e d   i n t   * ) b u f   =   0 x 2 D 8 ;         / /   * ( u n s i g n e d   i n t   * ) ( b u f   +   4 )   =   2 5 6 ;         / /   * ( c h a r *   * ) ( b u f   +   8 )   =   p _ C A J F I L E _ C r e a t e E r r o r O b j e c t ( ) ;         c h a r   * r e t   =   p _ C A J F I L E _ O p e n E x 1 ( a r g v [ 1 ] ,   b u f ) ;         r e t u r n   0 ; } 代 码 逻 辑 很 简 单 ， 首 先 构 造 函 数 的 第 二 个 参 数 ， 然 后 把 作 为 文 件 路 径 传 入 函 数 。 然 后 编 译 一 下 g c c   C A J F I L E _ O p e n E x 1 . c   - o   t e s t _ C A J F I L E _ O p e n E x 1 _ d b g   - l d l   - l h e a p a s a n   - L   l i b h e a p a s a n /     - g 编 译 后 执 行 一 下 ， 可 以 看 到 正 常 执 行 完 了 ， 并 打 印 出 s o 的 基 地 址 和 m a i n 函 数 的 地 址 。 h a r n e s s $   . / t e s t _ C A J F I L E _ O p e n E x 1 _ d b g   ~ / i n p u t . c a j s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t i m a g e   b a s e : 0 x 7 f 6 d 8 7 b f f 0 0 0 p _ C A J F I L E _ O p e n E x 1 : 0 x 7 f 6 d 8 8 1 e 4 8 6 c m a i n : 0 x 5 5 5 e d 1 2 4 c b 7 1 接 下 来 再 使 用 a f l - q e m u - t r a c e 执 行 一 下 ， 获 取 一 些 地 址 用 于 F u z z ， 使 用 a f l - q e m u - t r a c e 执 行 一 个 可 执 行 程 序 时 ， 其 进 程 的 s o 的 地 址 都 是 固 定 的 。 C A J F I L E _ O p e n E x 1 a r g v [ 1 ]
h a r n e s s $   ~ / A F L p l u s p l u s - 2 . 6 6 c / a f l - q e m u - t r a c e   . / t e s t _ C A J F I L E _ O p e n E x 1 _ d b g   ~ / i n p u t . c a j s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t s t r i n g   t o   i n t i m a g e   b a s e : 0 x 4 0 0 1 3 3 e 0 0 0 p _ C A J F I L E _ O p e n E x 1 : 0 x 4 0 0 1 9 2 3 8 6 c m a i n : 0 x 4 0 0 0 0 0 0 b 7 1 可 以 看 到 的 基 地 址 为 ，     的 函 数 的 地 址 为 。 然 后 去 I D A 中 查 看 中 代 码 段 的 范 围 所 以 可 以 得 到 执 行 时 中 代 码 段 的 范 围 为 开 始 地 址 ：   0 x 4 0 0 1 3 3 e 0 0 0 + 0 x 3 D 4 8 8 0   =   0 x 4 0 0 1 7 1 2 8 8 0 结 束 地 址 ：   0 x 4 0 0 1 3 3 e 0 0 0 + 0 x 9 0 9 8 4 F   =   0 x 4 0 0 1 c 4 7 8 4 f 然 后 可 以 使 用 A F L 进 行 测 试 了 l i b r e a d e r e x _ x 6 4 . s o 0 x 4 0 0 1 3 3 e 0 0 0 t e s t _ C A J F I L E _ O p e n E x 1 _ d b g m a i n 0 x 4 0 0 0 0 0 0 b 7 1 l i b r e a d e r e x _ x 6 4 . s o a f l - q e m u - t r a c e l i b r e a d e r e x _ x 6 4 . s o
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理