搜索

[10595] 2016-10-13_PHP7.0.0格式化字符串漏洞与EIP劫持分析

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2016-10-13_PHP7.0.0格式化字符串漏洞与EIP劫持分析 P H P 7 . 0 . 0 格 式 化 字 符 串 漏 洞 与 E I P 劫 持 分 析 z z z 6 6 6 8 6   F r e e B u f   2 0 1 6 - 1 0 - 1 3 * 本 文 原 创 作 者 ： z z z 6 6 6 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   。 P H P 7 . 0 . 0 的 这 个 格 式 化 字 符 串 漏 洞 是 的 这 个 格 式 化 字 符 串 漏 洞 是 1 5 年 年 1 2 月 在 月 在 e x p l o i t - d b 上 发 现 的 。 当 初 发 现 时 ， 笔 者 还 在 北 京 东 北 方 向 的 某 信 息 安 全 公 上 发 现 的 。 当 初 发 现 时 ， 笔 者 还 在 北 京 东 北 方 向 的 某 信 息 安 全 公 司 上 班 ， 那 时 比 较 忙 ， 并 未 能 深 入 探 究 。 司 上 班 ， 那 时 比 较 忙 ， 并 未 能 深 入 探 究 。 最 近 几 天 无 意 间 又 看 到 了 这 个 漏 洞 ， 发 现 该 漏 洞 多 了 一 个 最 近 几 天 无 意 间 又 看 到 了 这 个 漏 洞 ， 发 现 该 漏 洞 多 了 一 个 C V E 编 号 ： 编 号 ： C V E - 2 0 1 5 - 8 6 1 7 ， 于 是 深 入 地 看 了 看 这 个 漏 洞 ， 在 这 里 ， 于 是 深 入 地 看 了 看 这 个 漏 洞 ， 在 这 里 对 该 格 式 化 字 符 串 漏 洞 进 行 一 些 简 要 分 析 ， 并 讨 论 一 下 利 用 该 漏 洞 劫 持 对 该 格 式 化 字 符 串 漏 洞 进 行 一 些 简 要 分 析 ， 并 讨 论 一 下 利 用 该 漏 洞 劫 持 E I P 的 潜 在 方 法 ， 供 各 位 读 者 参 考 。 的 潜 在 方 法 ， 供 各 位 读 者 参 考 。         1 . 引 言 引 言 在 P H P 中 有 两 个 常 见 的 格 式 化 字 符 串 函 数 ， 分 别 是 s p p i n t f ( ) 和 v s p p i n t f ( ) ， 它 们 分 别 对 应 s p r i n t f ( ) 函 数 和 v s p r i n t f ( ) 函 数 ， 这 两 个 函 数 的 声 明 为 ： P H P A P I   i n t   s p p r i n t f (   c h a r   * * p b u f ,   s i z e _ t   m a x _ l e n ,   c o n s t   c h a r   * f o r m a t ,   . . . ) ; P H P A P I   i n t   v s p p r i n t f ( c h a r   * * p b u f ,   s i z e _ t   m a x _ l e n ,   c o n s t   c h a r   * f o r m a t ,   v a _ l i s t   a p ) ; 通 过 其 函 数 声 明 可 以 看 到 ， s p p r i n t f ( ) 接 收 可 变 数 量 的 参 数 ， 而 v s p p r i n t f ( ) 仅 接 收 4 个 参 数 。 虽 然 这 两 个 函 数 的 内 部 实 现 原 理 是 类 似 的 ， 但 笔 者 不 打 算 就 此 点 进 行 深 入 讨 论 ， 如 有 感 兴 趣 读 者 ， 可 以 看 一 看 《 程 序 员 的 自 我 修 养 》 一 书 。 关 于 格 式 化 字 符 串 漏 洞 的 分 析 文 章 普 遍 集 中 于 s p r i n t f ( ) 函 数 ， 而 在 本 文 中 则 需 要 重 点 讨 论 一 下 v s p r i n t f ( ) 函 数 ， 即 着 重 讨 论 下 P H P 中 的 v s p p r i n t f ( ) 函 数 。 2 . 漏 洞 分 析 漏 洞 分 析 本 文 所 研 究 的 v s p p r i n t f ( ) 函 数 在 z e n d _ t h r o w _ e r r o r ( ) 函 数 中 ， 当 触 发 漏 洞 时 ， z e n d _ t h r o w _ e r r o r ( ) 函 数 由 z e n d _ t h r o w _ o r _ e r r o r ( ) 函 数 调 用 。 z e n d _ t h r o w _ o r _ e r r o r ( ) 函 数 不 是 很 长 ， 所 以 复 制 其 代 码 如 下 ： s t a t i c   v o i d   z e n d _ t h r o w _ o r _ e r r o r ( i n t   f e t c h _ t y p e ,   z e n d _ c l a s s _ e n t r y   * e x c e p t i o n _ c e ,   c o n s t   c h a r   * f o r m a t ,   . . . ) {                                   v a _ l i s t   v a ;                                   c h a r   * m e s s a g e   =   N U L L ;                                     v a _ s t a r t ( v a ,   f o r m a t ) ;                                   z e n d _ v s p p r i n t f ( & m e s s a g e ,   0 ,   f o r m a t ,   v a ) ;                                     i f   ( f e t c h _ t y p e   &   Z E N D _ F E T C H _ C L A S S _ E X C E P T I O N )   {                                   z e n d _ t h r o w _ e r r o r ( e x c e p t i o n _ c e ,     m e s s a g e ) ;   / / v u l _ f u n c                                         / / z e n d _ t h r o w _ e r r o r ( e x c e p t i o n _ c e ,     " % s " ,   m e s s a g e ) ;     p a t c h e d   i n     t h e   s u b s e q u e n t   v e r s i o n                                 }   e l s e   {                                   z e n d _ e r r o r ( E _ E R R O R ,   " % s " ,   m e s s a g e ) ;                                     }                                       e f r e e ( m e s s a g e ) ;                                   v a _ e n d ( v a ) ;                                 }
在 上 述 代 码 段 中 ， 触 发 漏 洞 的 函 数 调 用 已 用 红 色 笔 标 明 出 ， 由 于 调 用 时 少 了 一 个 参 数 导 致 触 发 了 格 式 化 字 符 串 漏 洞 。 该 漏 洞 的 补 丁 也 用 红 色 笔 在 代 码 中 标 明 了 。 关 于 该 格 式 化 字 符 串 漏 洞 ， 并 没 有 很 多 需 要 分 析 说 明 的 地 方 ， 下 面 开 始 分 别 从 w i n d o w s 和 l i n u x 两 个 环 境 中 讨 论 利 用 该 漏 洞 劫 持 E I P 的 方 法 。 3 . w i n d o w s 环 境 下 分 析 环 境 下 分 析 为 了 减 少 在 w i n 7 环 境 下 的 分 析 难 度 ， 笔 者 暂 且 把 A S L R 关 掉 。 若 计 划 实 现 稳 定 的 E I P 劫 持 ， 可 能 还 需 要 通 过 其 他 手 段 获 取 一 些 模 块 基 址 ， 当 然 这 P H P 7 . 0 . 0 格 式 化 字 符 串 漏 洞 本 身 也 可 以 泄 露 一 部 分 有 用 的 内 存 数 据 。 在 w i n d o w s 版 本 的 P H P 中 ， 其 漏 洞 函 数 位 于 p h p 7 t s . d l l 动 态 链 接 库 中 ， 构 造 p h p 页 面 如 下 ： 通 过 调 试 器 启 动 P H P 解 析 该 p h p 页 面 ， 执 行 到 程 序 崩 溃 时 ， 通 过 栈 回 溯 ， 可 以 找 到 v s p p r i n t f ( ) 函 数 调 用 （ 该 函 数 是 导 出 函 数 ， 也 可 以 直 接 在 导 出 表 中 找 到 此 函 数 ） ， 在 该 函 数 的 函 数 头 下 断 点 ， 重 新 执 行 ， 找 到 即 将 触 发 漏 洞 的 某 次 调 用 。 此 时 ， 观 察 栈 中 的 数 据 ： 上 图 中 ， 栈 顶 是 函 数 返 回 地 址 ， 即 返 回 到 z e n d _ t h r o w _ e r r o r ( ) 函 数 中 ， 接 下 来 的 是 v s p p r i n t f ( ) 函 数 的 四 个 参 数 。 其 中 ， 0 4 4 1 E 8 9 0 即 为 v a _ l i s t 类 型 的 参 数 。 这 里 需 要 指 出 的 是 ， 如 果 是 传 统 的 s p p r i n t f ( ) 函 数 的 格 式 化 字 符 串 溢 出 ， 则 只 需 要 不 断 地 利 用 % x 递 增 栈 上 参 数 数 量 ， 最 后 利 用 % n 实 现 覆 盖 函 数 返 回 地 址 即 可 有 效 地 实 现 劫 持 E I P 。 但 是 此 处 是 v s p p r i n t f ( ) 函 数 的 ， 只 接 受 4 个 参 数 ， 所 以 如 果 打 算 继 续 劫 持 E I P ， 则 需 要 研 究 一 下 v a _ l i s t ， v a _ l i s t 在 不 同 环 境 下 的 定 义 略 有 不 同 ， 这 里 我 们 可 以 粗 略 地 定 义 v a _ l i s t 类 型 如 下 ： 即 认 为 v a _ l i s t 是 一 个 指 向 可 变 数 量 参 数 的 指 针 。 在 v s p p r i n t f ( ) 函 数 中 ， 对 于 % x 的 处 理 是 直 接 取 v a _ l i s t 指 向 的 内 容 ， 如 下 图 ： 其 中 ， 0 4 4 1 E 8 9 0 即 为 v a _ l i s t 的 起 始 地 址 ， 通 过 图 1 的 第 四 个 参 数 可 以 观 察 到 。 对 于 第 一 个 % x ， 则 输 出 0 5 6 5 D 3 C 0 ； 对 于 第 二 个 % x ， 则 输 出 9 6 E 4 3 6 E 2 ； 对 于 第 三 个 % x ， 则 输 出 0 4 4 1 E 8 C 4 ， 以 此 类 推 下 去 。 在 v s p p r i n t f ( ) 函 数 中 ， 对 于 % n 的 处 理 则 较 为 麻 烦 ， 它 不 会 像 % x 那 样 直 接 依 次 地 读 写 下 去 ， 而 是 取 v a _ l i s t 指 向 的 参 数 表 的 每 个 参 数 作 为 指 针 ， 进 而 覆 盖 该 指 针 所 指 向 的 内 容 。 结 合 图 2 ， 具 体 叙 述 如 下 ： 对 于 第 一 个 % n ， 则 覆 盖 0 5 6 5 D 3 C 0 所 指 向 的 内 容 ， 对 于 第 二 个 % n ， 则 覆 盖 9 6 E 4 3 6 E 2 所 指 向 的 内 容 ， 此 时 P H P 就 崩 溃 了 ， 因 为 该 地 址 是 无 效 的 。 此 时 ， 是 无 法 直 接 覆 盖 函 数 的 返 回 地 址 。 为 实 现 劫 持 E I P 的 目 的 ， 需 要 在 栈 上 找 一 个 二 级 指 针 。 该 二 级 指 针 取 值 第 一 次 为 保 存 函 数 < ? p h p                                 $ n a m e = " % n % n " ;                                 $ n a m e : : d o S o m e t h i n g ( ) ;                                 ? > # d e f i n e   v a _ l i s t   v o i d *  
返 回 地 址 变 量 的 地 址 ， 取 值 两 次 为 函 数 返 回 地 址 变 量 的 值 。 但 笔 者 在 栈 上 并 没 有 找 到 所 需 的 二 级 指 针 ， 所 以 ， 笔 者 只 能 选 择 构 造 一 个 这 样 子 的 指 针 ， 其 构 造 方 法 如 下 ： 1 ， 首 先 在 栈 上 选 择 一 个 合 适 位 置 ， 该 位 置 存 储 内 容 指 向 栈 的 另 一 个 位 置 ， 指 向 位 置 大 于 且 接 近 该 位 置 的 地 址 。 ， 首 先 在 栈 上 选 择 一 个 合 适 位 置 ， 该 位 置 存 储 内 容 指 向 栈 的 另 一 个 位 置 ， 指 向 位 置 大 于 且 接 近 该 位 置 的 地 址 。 复 制 部 分 栈 内 容 如 下 ： 正 如 上 表 所 示 ， 0 4 4 1 E 8 C 4 就 是 4 字 节 对 齐 的 ， 大 于 且 接 近 0 4 4 1 E 8 9 8 ， 是 一 个 非 常 合 适 的 栈 位 置 。 2 ， 通 过 上 一 步 找 到 的 合 适 位 置 ， 覆 盖 ， 通 过 上 一 步 找 到 的 合 适 位 置 ， 覆 盖 0 4 4 1 E 8 C 4 的 内 容 ， 使 其 指 向 栈 上 保 存 函 数 返 回 地 址 的 地 址 。 的 内 容 ， 使 其 指 向 栈 上 保 存 函 数 返 回 地 址 的 地 址 。 在 笔 者 调 试 时 ， 将 其 覆 盖 为 0 4 4 1 E 8 2 C ， 即 当 前 函 数 返 回 到 v s p p r i n t f ( ) 函 数 的 返 回 地 址 ： 3 ， 第 一 次 覆 盖 之 后 ， 用 ， 第 一 次 覆 盖 之 后 ， 用 % x 继 续 在 栈 上 滑 行 ， 直 到 继 续 在 栈 上 滑 行 ， 直 到 0 4 4 1 E 8 C 4 的 位 置 ， 此 时 将 会 第 二 次 覆 盖 的 位 置 ， 此 时 将 会 第 二 次 覆 盖 0 4 4 1 E 8 2 C 的 内 容 ， 使 其 指 的 内 容 ， 使 其 指 向 我 们 需 要 跳 转 的 位 置 ， 比 方 说 跳 转 到 向 我 们 需 要 跳 转 的 位 置 ， 比 方 说 跳 转 到 0 4 4 2 2 2 2 2 的 位 置 。 的 位 置 。 按 照 上 述 思 路 ， 其 栈 空 间 的 内 容 大 致 如 下 ： … 0 4 4 1 E 8 2 4     9 6 E 4 0 1 1 2 0 4 4 1 E 8 2 8     9 6 E 4 3 6 5 9 0 4 4 1 E 8 2 C       0 4 4 2 2 2 2 2   < - - - - - 第 二 次 覆 盖 0 4 4 1 E 8 3 0     0 5 6 5 D 3 C 0 0 4 4 1 E 8 3 4     0 4 4 1 E 8 9 0 基 于 此 ， 笔 者 尝 试 构 造 p h p 页 面 如 下 ： 0 4 4 1 E 8 9 0       0 5 6 5 D 3 C 0 0 4 4 1 E 8 9 4       9 6 E 4 3 6 E 2 0 4 4 1 E 8 9 8       0 4 4 1 E 8 C 4 <   - - - - - - -   合 适 0 4 4 1 E 8 9 C       1 0 2 F 8 B E 2 0 4 4 1 E 8 A 0       0 0 0 0 0 2 0 0 … 0 4 4 1 E 8 9 0     0 5 6 5 D 3 C 0   <   - - - - - 起 始 0 4 4 1 E 8 9 4     9 6 E 4 3 6 E 2 0 4 4 1 E 8 9 8     0 4 4 1 E 8 C 4   < - - - - - 合 适 位 置 0 4 4 1 E 8 9 C       1 0 2 F 8 B E 2 0 4 4 1 E 8 A 0       0 0 0 0 0 2 0 0 … 0 4 4 1 E 8 B C         0 5 6 1 4 0 0 6 0 4 4 1 E 8 C 0       9 6 E 4 3 6 C 2 0 4 4 1 E 8 C 4         0 4 4 1 E 8 2 C   < - - - - - 第 一 次 覆 盖 0 4 4 1 E 8 C 8       1 0 3 8 6 5 E 9 0 4 4 1 E 8 C C         0 5 6 6 3 1 C 0 …
当 P H P 解 析 该 页 面 的 时 候 ， 首 先 输 出 2 个 % x 后 ， 遇 到 第 一 个 % n ， 则 会 覆 盖 0 4 4 1 E 8 C 4 覆 盖 为 0 4 4 1 E 8 2 C ； 继 续 跳 过 1 0 个 % x 后 ， 遇 到 第 二 个 % n ， 则 会 覆 盖 0 4 4 1 E 8 2 C 覆 盖 为 0 4 4 2 2 2 2 2 。 其 运 行 结 果 如 下 图 所 示 ： 单 步 执 行 后 ， 就 会 来 到 0 4 4 2 2 2 2 2 的 位 置 ： W i n d o w s 环 境 下 的 分 析 就 到 此 位 置 ， 至 于 出 现 的 几 个 常 数 ： 7 1 4 2 8 1 2 5 和 1 4 7 8 8 以 及 1 0 个 % x 从 何 而 来 ， 相 信 读 者 自 己 也 能 想 到 。 至 于 是 否 可 以 在 栈 上 构 造 一 些 合 适 的 数 据 ， 最 后 通 过 R O P 实 现 E X P ， 这 点 也 留 给 读 者 自 己 考 虑 分 析 一 下 吧 。 4 . L i n u x 环 境 下 分 析 环 境 下 分 析 L i n u x 环 境 下 ， 同 样 先 把 A S L R 关 掉 ， 用 以 减 少 我 们 的 分 析 难 度 。 与 W i n d o w s 环 境 下 的 分 析 略 有 不 同 ， 由 于 L i n u x 环 境 下 的 栈 基 址 比 较 高 ， 如 下 图 所 示 ： 声 明 一 个 如 此 之 长 的 字 符 串 ， 容 易 出 现 各 种 各 样 的 问 题 ， 所 以 笔 者 只 好 放 弃 直 接 覆 盖 函 数 返 回 地 址 实 现 劫 持 E I P 的 方 法 。 这 里 考 虑 另 一 种 劫 持 E I P 的 方 法 ， 覆 盖 对 象 虚 表 的 方 法 （ 一 般 情 况 下 有 三 种 常 见 的 方 法 ， 在 笔 者 之 前 的 分 析 《 k i l l . e x e 溢 出 漏 洞 分 析 与 E X P 讨 论 》 中 有 提 到 ， 感 兴 趣 的 读 者 可 以 看 一 下 ） 。 构 造 合 适 的 p h p 页 面 ， 令 P H P 不 崩 溃 ， 而 是 让 其 继 续 下 去 的 话 ， 就 会 发 现 P H P 接 下 来 将 要 调 用 _ o b j e c t _ i n i t _ e x ( ) 函 数 ， 初 始 化 异 常 对 象 。 该 初 始 化 函 数 会 进 一 步 调 用 o b j e c t _ a n d _ p r o p e r t i e s _ i n i t ( ) 函 数 ， 而 在 此 函 数 中 ， 会 调 用 对 象 虚 表 中 的 函 数 ， 关 键 代 码 段 如 下 ： < ? p h p                                 $ n a m e = " % 7 1 4 2 8 1 2 5 x % x % n % x % x % x % x % x % x % x % x % x % 1 4 7 8 8 x % n " ;                                 $ n a m e : : d o S o m e t h i n g ( ) ;                                 ? >   o b j e c t _ a n d _ p r o p e r t i e s _ i n i t ( )                                 {                                         …                                           m o v   e b x ,   [ e s p + 0 C h + c l a s s _ t y p e ]                                         …                                           m o v   e a x ,   [ e b x + 0 F C h ]                                         …                                         c a l l   e a x                             ;   c a l l         [ [ e s p + 0 C h + c l a s s _ t y p e ] + 0 F C h ]                                         …                                   }  
考 虑 到 此 时 存 储 在 [ e s p + 0 C h + c l a s s _ t y p e ] + 0 F C h 的 值 比 较 小 ， 可 以 尝 试 利 用 此 处 的 c a l l   e a x 实 现 劫 持 E I P 。 选 择 在 第 3 章 节 描 述 的 二 次 覆 盖 方 法 ， 可 以 构 造 栈 空 间 如 下 ： 基 于 以 上 讨 论 ， 笔 者 构 造 p h p 页 面 如 下 ： 当 P H P 在 解 析 该 页 时 ， 第 一 次 遇 到 % n 将 会 覆 盖 8 F F F B F C C 位 置 的 数 据 为 0 8 9 4 8 F 6 4 ； 而 第 二 次 遇 到 % n 时 ， 将 0 8 9 4 8 F 4 位 置 的 数 据 覆 盖 为 0 8 9 5 5 5 5 5 。 此 后 ， 程 序 会 正 常 执 行 ， 直 到 c a l l   e a x 指 令 的 位 置 ： 此 时 ， P H P 将 跳 转 到 我 们 指 定 的 地 址 继 续 执 行 ， 在 上 图 中 为 8 9 5 5 5 5 5 地 址 。 值 得 庆 幸 的 是 ， 在 L i n u x 环 境 中 ， 并 没 有 W i n d o w s 环 境 的 C F G 保 护 。 如 果 存 在 C F G 保 护 ， 即 有 / G U A R D : C F 标 记 ， 将 可 能 导 致 此 种 利 用 方 式 失 败 。 L i n u x 环 境 下 的 分 析 也 就 到 此 位 置 ， 至 于 出 现 的 几 个 常 数 ： 1 4 3 9 5 3 7 5 7 和 5 0 6 2 1 以 及 1 1 个 % x 从 何 而 来 ， 相 信 读 者 自 己 也 能 想 到 。 至 于 是 … 0 8 9 4 8 F 5 C   0 8 9 4 5 D 4 C 0 8 9 4 8 F 6 0   0 8 9 4 5 D 5 0 0 8 9 4 8 F 6 4   0 8 9 5 5 5 5 5   <   - - - - - 第 二 次 覆 盖 0 8 9 4 8 F 6 8   0 0 0 0 0 0 0 0 0 8 9 4 8 F 6 C   0 0 0 0 0 0 0 0 … B F F F B F 9 4   B 5 C 6 5 0 A 0 <   - - - - - 起 始 B F F F B F 9 8   0 8 7 F 4 1 E 7 B F F F B F 9 C   B F F F B F C C   <   - - - - - 合 适 位 置 B F F F B F A 0   0 8 9 5 F 8 9 0 B F F F B F A 4   0 0 0 0 0 0 0 0 … B F F F B F C 4   0 0 0 0 0 0 0 0 B F F F B F C 8   0 8 7 F 4 1 E 7 B F F F B F C C   0 8 9 4 8 F 6 4 <   - - - - - 第 一 次 覆 盖 B F F F B F D 0   B 5 C 1 4 0 2 0 B F F F B F D 4   B 5 C 7 4 0 5 4 … < ? p h p                                 i n i _ s e t ( " m e m o r y _ l i m i t " ,   " 2 G " ) ;                                 $ n a m e = " % 1 4 3 9 5 3 7 5 7 x % n % x % x % x % x % x % x % x % x % x % x % 5 0 6 2 1 x % n " ;                                 $ n a m e : : d o S o m e t h i n g ( ) ;                                 ? >  
否 可 以 实 现 有 效 的 E X P ， 这 点 也 留 给 读 者 自 己 考 虑 分 析 一 下 吧 。 5 . 小 结 小 结 本 文 简 要 地 分 析 了 P H P 7 . 0 . 0 格 式 化 字 符 串 漏 洞 ， 并 在 w i n d o w s 和 l i n u x 两 种 不 同 的 环 境 下 ， 给 出 了 运 用 该 漏 洞 劫 持 E I P 的 方 法 。 但 需 要 指 出 的 是 ， 本 文 所 有 的 分 析 都 在 禁 用 了 A S L R 的 场 景 之 下 进 行 的 ， 若 打 算 实 际 利 用 该 漏 洞 ， 还 需 要 获 取 一 些 模 块 基 址 等 其 他 有 用 信 息 。 而 关 于 这 些 ， 笔 者 就 不 再 多 说 ， 还 是 交 给 感 兴 趣 的 读 者 自 己 研 究 吧 。 * 本 文 原 创 作 者 ： z z z 6 6 6 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理