搜索

[10798] 2016-12-06_Win10Edge浏览器从越界写到任意内存读写

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-12-06_Win10Edge浏览器从越界写到任意内存读写 W i n 1 0   E d g e 浏 览 器 从 越 界 写 到 任 意 内 存 读 写 B o A   F r e e B u f   2 0 1 6 - 1 2 - 0 6 * 本 文 原 创 作 者 ： B o A ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 在 刚 刚 发 布 的 微 软 在 刚 刚 发 布 的 微 软 1 1 月 份 安 全 更 新 中 ， 比 较 幸 运 刷 了 两 个 月 份 安 全 更 新 中 ， 比 较 幸 运 刷 了 两 个 E d g e 的 脚 本 引 擎 漏 洞 ， 对 微 软 的 脚 本 引 擎 漏 洞 有 一 定 的 见 解 ， 所 的 脚 本 引 擎 漏 洞 ， 对 微 软 的 脚 本 引 擎 漏 洞 有 一 定 的 见 解 ， 所 以 打 算 写 篇 文 章 与 大 家 分 享 一 下 。 由 于 这 两 个 漏 洞 修 复 时 间 比 较 短 ， 所 以 选 择 一 个 比 较 旧 的 以 打 算 写 篇 文 章 与 大 家 分 享 一 下 。 由 于 这 两 个 漏 洞 修 复 时 间 比 较 短 ， 所 以 选 择 一 个 比 较 旧 的 9 月 份 的 漏 洞 跟 大 家 分 享 。 月 份 的 漏 洞 跟 大 家 分 享 。         如 果 大 家 有 什 么 问 题 ， 欢 迎 通 过 老 实 敦 厚 的 大 宝 微 博 与 我 交 流 。 漏 洞 简 介 漏 洞 简 介 在 9 月 份 微 软 安 全 更 新 中 ， 修 复 了 一 个 c h a k r a 脚 本 引 擎 的 类 型 混 淆 漏 洞 （ C V E - 2 0 1 6 - 3 3 7 7 ） 。 经 过 分 析 ， 该 漏 洞 影 响 w i n 1 0   x 6 4 平 台 的 e d g e 浏 览 器 ， 攻 击 者 经 过 精 心 构 造 的 网 页 ， 可 以 在 受 害 者 机 器 上 达 到 远 程 代 码 攻 击 的 效 果 。 ( x 6 4 平 台 的 利 用 实 在 比 x 8 6 的 难 太 多 : (       ) 0 × 0 漏 洞 分 析 漏 洞 分 析 由 于 c h a k r a 脚 本 引 擎 已 经 开 源 ， 所 以 可 以 从 g i t h u b 上 得 到 此 次 漏 洞 修 复 的 代 码 如 下 ( i n   J a v a s c r i p t A r r a y . c p p M a p H e l p e r ( ) ) ：
漏 洞 的 修 复 很 简 单 ， 就 是 把 原 来 的 D i r e c t S e t I t e m A t 函 数 变 成 S e t I t e m ， 接 下 来 重 点 分 析 这 两 个 函 数 的 区 别 。 以 下 是 两 者 对 应 的 源 码 ： D i r e c t S e t I t e a m A t 并 不 是 一 个 虚 函 数 ， 默 认 调 用 对 象 是 J a v a s c r i p t A r r a y 类 型 ， 但 是 里 面 并 没 有 对 t y p e I d 进 行 任 何 判 断 。 如 图 ， S e t I t e m 是 一 个 虚 函 数 ， 会 根 据 调 用 的 对 象 分 别 调 用 不 同 的 S e t I t e m 实 现 （ J a v a s c r i p t N a t i v e I n t A r r a y 是 J a v a s c r i p t A r r a y 的 子 类 ） 。 而 且 在 内 部 会 对 t y p e i d 进 行 判 断 。 在 漏 洞 代 码 中 ， 假 如 n e w A r r 并 不 是 J a v a s c r i p t A r r a y 对 象 ， 而 是 其 子 类 的 对 象 ， 就 会 引 发 越 界 读 的 漏 洞 。 根 据 源 码 分 析 与 对 比 ， 最 终 构 造 的 测 试 P o C 如 下 ：
由 于 此 漏 洞 需 要 利 用 E S 6 的 标 准 实 现 J S 的 类 的 继 承 ， 所 以 只 会 影 响 E d g e 比 较 新 的 版 本 ， E d g e 的 旧 版 本 和 I E 1 1 并 不 影 响 。 通 过 P r o x y 类 构 造 畸 形 的 y ， 当 在 M a p H e l p e r 遍 历 y 的 p r o t o t y p e 时 候 ， 会 进 入 如 下 代 码 ： 调 用 y 类 的 c o n s t r u c t o r 函 数 ， 也 就 是 f a k e 函 数 ， 用 于 创 建 n e w O b j 对 象 ， 也 就 是 A r r a y . p r o t o t y p e . m a p ( ) 函 数 即 将 返 回 的 对 象 。 在 J S 中 ， 即 使 f a k e 是 一 个 类 ， 但 实 际 上 它 是 一 个 函 数 ， 包 括 其 他 类 A r r a y 等 也 是 一 个 函 数 ， 当 调 用 n e w   f a k e ( ) 的 时 候 实 际 上 是 进 入 了 c l a s s   f a k e 中 的 [ S y m b o l . s p e c i e s ] 函 数 中 ， 换 句 话 说 ， [ S y m b o l . s p e c i e s ] 就 是 类 f a k e 的 构 造 函 数 。 但 是 有 一 个 概 念 需 要 区 分 ， 因 为 f a k e 是 函 数 ， 所 以 它 的 c o n s t r u c t o r 就 是 F u n c t i o n ， 这 与 [ S y m b o l . s p e c i e s ] 是 不 同 的 一 个 概 念 。 在 构 造 函 数 中 ， 返 回 的 对 象 是 n [ 5 ] ， 这 是 一 个 J a v a s c r i p t N a t i v e I n t A r r a y 类 ， 因 此 n e w O b j 指 针 指 向 的 是 一 个 J a v a s c r i p t N a t i v e I n t A r r a y 类 ， 并 不 是 J a v a s c r i p t A r r a y 类 。 再 往 下 ， 避 过 其 他 i f ， 最 后 进 入 如 下 代 码 ： n e w A r r 也 就 是 上 文 提 到 的 n e w O b j ， 查 看 这 个 对 象 的 t y p e I d ：
可 以 看 到 ， J a v a s c r i p t A r r a y 的 t y p e I d 应 该 是 0 x 1 c ， 但 是 这 里 是 0 x 1 d 。 0 × 1   O u t   O f   B o u n d   W r i t e 在 6 4 位 的 e d g e 中 ， J a v a s c r i p t A r r a y 的 每 个 e l e m e n t 占 用 的 内 存 大 小 是 0 × 8 字 节 ， 因 为 要 保 存 双 精 度 浮 点 数 以 及 对 象 地 址 等 信 息 ， 但 是 在 J a v a s c r i p t N a t i v e I n t A r r a y 中 每 个 e l e m e n t 占 用 的 内 存 大 小 是 0 × 4 字 节 ， 如 下 图 所 示 ， 调 用 D i r e c t S e t I t e m A t 之 前 ： 因 此 每 次 调 用 J a v a s c r i p t A r r a y 的 D i r e c t S e t I t e m A t 会 占 用 J a v a s c r i p t N a t i v e I n t A r r a y 两 个 e l e m e n t 的 位 置 ， 调 用 一 次 D i r e c t S e t I t e m A t 之 后 ： 在 m a p H e l p e r 遍 历 的 过 程 中 ， 即 使 l e n g t h 没 有 发 生 越 界 ， 最 终 也 必 然 会 导 致 越 界 写 的 行 为 发 生 ， 因 此 此 漏 洞 仅 仅 影 响 6 4 位 的 e d g e 浏 览 器 。 但 是 单 单 的 越 界 写 是 不 足 够 的 ， 还 需 要 满 足 两 个 条 件 最 佳 ： 1 .   可 以 控 制 越 界 写 越 多 少 界 ， 例 如 我 想 越 8 字 节 时 就 8 字 节 ， 1 6 字 节 时 就 1 6 字 节 。 解 决 方 法 ： 根 据 此 漏 洞 的 特 性 ， 通 过 控 制 y 和 n [ 5 ] 数 组 的 长 度 可 以 控 制 越 界 写 的 长 度 ， 当 然 还 需 要 考 虑 内 存 对 齐 的 细 节 。 2 .   可 以 越 过 中 间 某 些 数 据 不 写 。 例 如 有 时 候 我 们 只 想 修 改 后 面 数 组 的 长 度 ， 但 是 在 长 度 之 前 有 某 些 重 要 的 字 段 ， 如 果 修 改 了 就 会 导 致 e d g e 的 c r a s h 。 解 决 方 法 ： 首 先 查 看 漏 洞 附 近 的 代 码 ：
假 如 可 以 令 这 个 H a s I t e m 返 回 f a l s e ， 就 可 以 跳 过 中 间 我 们 不 想 覆 盖 的 字 段 ， 方 法 也 很 简 单 ， 在 数 组 中 间 某 些 i n d e x 位 置 设 置 成 n u l l ， 如 图 ： 至 此 ， 任 意 越 界 写 已 经 实 现 ， 下 一 步 就 是 通 过 越 界 写 修 改 相 邻 I n t A r r a y 的 长 度 。 0 × 2   制 造 一 个 制 造 一 个 b i g _ a r r a y 首 先 需 要 了 解 I n t A r r a y 在 内 存 中 的 数 据 结 构 ： 图 中 框 着 的 地 方 分 别 是 l e n g t h ， s e g m e n t ， s e g m e n t 的 s i z e ， 和 s e g m e n t 的 l e n g t h ， 只 要 把 l e n g t h ， s e g m e n t _ s i z e 和 s e g m e n t _ l e n g t h 覆 盖 了 ， 就 达 到 目 的 ， 而 且 中 间 重 要 的 字 段 ， 例 如 虚 函 数 地 址 等 要 跳 过 ， 不 然 会 导 致 c r a s h 。 而 具 体 要 覆 盖 的 值 可 以 通 过 双 精 度 浮 点 型 指 定 要 覆 盖 的 值 ， 覆 盖 以 后 如 图 ：
具 体 J S 代 码 如 下 ： 然 后 检 验 是 否 修 改 成 功 ， 并 且 保 存 这 个 数 组 的 索 引 ： 0 × 3   制 造 制 造 b i g _ D a t a V i e w 第 一 步 通 过 h e a p   f e n g   s h u i 把 某 个 d a t a v i e w 放 进 b i g _ a r r a y 的 后 面 ： 然 后 以 0 × 1 0 3 4 作 为 特 征 值 ， 查 找 这 个 d a t a v i e w 的 内 存 位 置 ， 然 后 修 改 对 应 的 l e n g t h ：
检 验 是 否 成 功 ， 并 且 保 存 这 个 d a t a v i e w 的 索 引 ： 0 × 4   任 意 内 存 读 写 任 意 内 存 读 写 在 查 找 d a t a v i e w 的 b y t e l e n g t h 特 征 值 的 同 时 ， 保 存 d a t a v i e w 的 b u f f e r _ a d d r e s s 的 地 址 的 位 置 ， 保 存 下 这 个 索 引 ： D a t a v i e w 的 内 存 结 构 ， 分 别 是 b y t e l e n g t h 和 b u f f e r _ a d d r e s s
任 意 内 存 读 ： 把 需 要 读 的 地 址 写 入 d a t a v i e w 的 b u f f e r _ a d d r e s s ， 再 读 取 这 个 d a t a v i e w 偏 移 0 × 0 地 方 的 数 据 。 同 理 任 意 内 存 写 ： 0 × 5   获 取 任 意 对 象 地 址 获 取 任 意 对 象 地 址 最 后 一 步 ， 就 是 获 取 任 意 对 象 的 地 址 ， 我 的 代 码 如 下 ：
因 为 得 到 的 b i g _ a r r a y 是 n [ 6 ] , 所 以 把 需 要 读 取 的 o b j 放 入 n [ 7 ] [ 0 ] ， 再 通 过 越 界 读 获 取 n [ 7 ] 的 s e g m e n t 的 地 址 ， 再 通 过 任 意 地 址 读 ， 读 取 s e g m e n t 地 址 + 0 × 1 8 和 0 x 1 c 的 数 据 ， 即 可 得 到 这 个 对 象 的 地 址 。 0 × 6   后 续 后 续 至 此 ， 该 漏 洞 的 详 细 原 因 分 析 和 远 程 代 码 执 行 所 需 要 的 任 意 地 址 读 写 和 获 取 任 意 对 象 地 址 已 经 全 部 成 功 ， 剩 下 的 部 分 ( b y p a s s   c f g / d e p ) 有 兴 趣 的 同 学 可 以 尝 试 实 现 ( t i p s : 利 用 J I T   i n   W A R P   S h a d e r , 文 章 针 对 x 8 6 ， 在 x 6 4 上 会 有 比 较 大 难 度 ) 。
( 当 然 还 需 要 一 个 逃 逸 沙 箱 的 漏 洞 结 合 ， 不 过 这 是 后 话 。 ) 文 章 中 也 提 到 在 x 6 4 上 利 用 的 可 能 性 ： 在 x 8 6 上 会 存 在 很 好 利 用 的 g a d g e t s 用 于 构 造 R O P ： 但 是 在 x 6 4 平 台 想 要 编 译 出 比 较 好 用 的 g a d g e t s   J I T   c o d e 需 要 一 点 耐 心 去 写 w e b G L 代 码 ， 而 且 在 x 6 4 中 参 数 是 通 过 寄 存 器 传 递 ， 这 样 对 栈 中 的 数 据 的 控 制 难 度 就 会 加 大 。 因 此 可 以 选 择 使 用 p u s h   r c x / / p o p   r s p / / r e t n 这 样 的 指 令 以 控 制 r s p ， 然 后 通 过 精 心 构 造 的 w e b G L 代 码 可 以 构 造 出 需 要 的 g a d g e t s 。 * 本 文 原 创 作 者 ： B o A ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载            
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理