搜索

[12267] 2018-01-22_一个二进制POC的诞生之旅CVE-2018-0802

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-01-22_一个二进制POC的诞生之旅CVE-2018-0802 一 个 二 进 制 P O C 的 诞 生 之 旅 C V E - 2 0 1 8 - 0 8 0 2 G e e k O n l i n e   F r e e B u f   2 0 1 8 - 0 1 - 2 2 * 本 文 作 者 ： 本 文 作 者 ： G e e k O n l i n e ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 背 景 背 景 在 潜 伏 在 潜 伏 1 7 年 的 年 的 “ 噩 梦 公 式 噩 梦 公 式 ” 漏 洞 漏 洞 ( C V E - 2 0 1 7 - 1 1 8 8 2 ) 被 曝 光 修 补 之 后 ， 之 前 的 漏 洞 程 序 被 曝 光 修 补 之 后 ， 之 前 的 漏 洞 程 序 E Q N E D T 3 2 . E X E 在 在 w i n d o w s   1 0 系 统 下 仍 然 没 有 开 启 系 统 下 仍 然 没 有 开 启 A S L R 保 护 ， 因 此 其 利 用 非 常 容 易 ， 在 修 补 之 后 可 以 发 现 微 软 的 发 布 的 是 二 进 保 护 ， 因 此 其 利 用 非 常 容 易 ， 在 修 补 之 后 可 以 发 现 微 软 的 发 布 的 是 二 进 制 补 丁 而 不 是 对 该 程 序 源 码 进 行 重 新 编 译 ， 因 此 猜 测 该 程 序 的 源 码 可 能 已 经 遗 失 ， 如 果 真 实 情 况 是 这 样 ， 那 么 制 补 丁 而 不 是 对 该 程 序 源 码 进 行 重 新 编 译 ， 因 此 猜 测 该 程 序 的 源 码 可 能 已 经 遗 失 ， 如 果 真 实 情 况 是 这 样 ， 那 么 公 式 编 辑 器 这 个 进 程 将 成 为 其 他 漏 洞 发 现 和 利 用 的 公 式 编 辑 器 这 个 进 程 将 成 为 其 他 漏 洞 发 现 和 利 用 的 “ 圣 地 圣 地 ” ， 因 为 微 软 将 很 难 从 源 代 码 级 别 去 排 查 这 个 程 序 是 否 ， 因 为 微 软 将 很 难 从 源 代 码 级 别 去 排 查 这 个 程 序 是 否 还 有 其 他 漏 洞 。 此 次 还 有 其 他 漏 洞 。 此 次 “ 噩 梦 公 式 噩 梦 公 式 ” 的 姊 妹 篇 的 姊 妹 篇 C V E - 2 0 1 8 - 0 8 0 2 就 在 这 一 背 景 下 被 业 界 所 发 现 。 就 在 这 一 背 景 下 被 业 界 所 发 现 。 概 述 概 述 虽 然 微 软 在 修 补 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 使 已 经 强 制 对 公 式 编 辑 器 进 程 开 启 了 随 机 基 址 ( A S L R ) ， 这 使 得 漏 洞 的 利 用 门 槛 提 高 ， 但 由 于 补 丁 程 序 中 的 偶 然 因 素 使 得 能 通 过 一 个 比 较 简 单 的 方 式 绕 过 A S L R 机 制 从 而 利 用 该 漏 洞 。 由 于 此 次 漏 洞 也 是 由 于 “ E q u a t i o n   N a t i v e ” 流 中 出 现 的 问 题 ， 因 此 我 们 先 了 解 一 下 它 的 大 致 结 构 ， 整 个 ” E q u a t i o n N a t i v e ” 数 据 由 头 结 构 和 后 续 数 据 组 成 。 其 头 结 构 为 ： 而 紧 接 着 头 结 构 内 容 的 是 M T E F D a t a 内 容 ， M T E F D a t a 内 容 也 由 M T E F 头 和 M T E F 字 节 流 数 据 组 成 ， M T E F 头 内 容 ： M T E F 字 节 流 数 据 包 括 一 系 列 的 记 录 ， 每 一 个 记 录 以 一 个 标 签 位 开 始 ， 标 签 位 的 低 4 位 描 述 该 记 录 的 类 型 ， 高 四 位 描 述 该 记 录 的 属 性 ， 后 续 紧 跟 标 签 的 内 容 数 据 ， 由 于 此 次 发 生 栈 溢 出 的 部 分 在 于 字 体 标 签 ， 因 此 对 字 体 标 签 进 行 了 解 ： 经 过 以 上 的 介 绍 我 们 对 于 公 式 数 据 流 这 部 分 内 容 有 了 一 定 的 了 解 。 由 于 已 经 知 道 了 这 次 是 由 于 拷 贝 字 体 文 件 内 容 时 产 生 的 栈 溢 出 ， 那 么 我 们 可 以 以 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 的 P O C 为 基 础 进 行 手 工 测 试 ， 根 据 F o n t 的 结 构 我 们 可 以 发 现 可 以 在 b F o n t N a m e 字 段 做 一 些 文 章 ， 因 为 是 以 N U L L 为 结 束 符 的 ， 因 此 我 们 可 以 通 过 构 造 长 度 超 越 平 时 长 度 的 字 符 来 试 一 试 是 否 会 产 生 异 常 事 件 。   图 1   C V E - 2 0 1 7 - 1 1 8 8 2 构 造 的 漏 洞 触 发 现 场 s t r u c t   E Q N O L E F I L E H D R   {         W O R D         c b H d r ;                 / /   E Q N O L E F I L E H D R 长 度 ， 恒 为 0 x 1 c         D W O R D       v e r s i o n ;         / /   恒 为 0 x 2 0 0 0 0         W O R D         c f ;                             / /   剪 切 板 格 式 ( " M a t h T y p e   E F " )         D W O R D       c b O b j e c t ;   / /   M T E F 数 据 长 度 ， 不 包 括 E Q N O L E F I L E H D R 部 分         D W R O D       r e s e r v e d 1 ; / /   未 公 开         D W O R D       r e s e r v e d 2 ; / /   未 公 开         D W O R D       r e s e r v e d 3 ; / /   未 公 开         D W O R D       r e s e r v e d 4 ; / /   未 公 开 } ; s t r u c t   M T E F _ H E A D E R   {         B Y T E   b M t e f V e r s i o n ;                         / /   M T E F 版 本 号 , 一 般 为 0 x 0 3         B Y T E   b P l a t f o r m ;                                     / /   系 统 生 成 平 台 , 0 x 0 0 为 M a c 生 成 , 0 x 0 1 为 W i n d o w s 生 成         B Y T E   b P r o d u c t ;                                       / /   软 件 生 成 平 台 , 0 x 0 0 为 M a t h T y p e 生 成 , 0 x 0 1 为 公 式 编 辑 器 生 成         B Y T E   b P r o d u c t V e r s i o n ;               / /   产 品 主 版 本 号         B Y T E   b P r o d u c t S e b V e r s i o n ;   / /   产 品 副 版 本 号 } ; s t r u c t   s t u F o n t R e c o r d   {         B Y T E         b T a g ;                               / /   字 体 文 件 的 t a g 位 0 x 0 8         B Y T E         b T y p e F a c e ;           / /   字 体 风 格         B Y T E         b S t y l e ;                           / /   字 体 样 式         B Y T E         b F o n t N a m e [ n ]   / /   字 体 名 称 , 以 N U L L 为 结 束 符 } ;
图 2   构 造 的 畸 形 数 据 图 3   捕 捉 到 异 常 事 件 打 开 构 造 的 畸 形 文 件 后 捕 捉 到 异 常 事 件 ， 发 现 该 异 常 事 件 发 生 在 E Q N E D T 3 2 . E X E 文 件 中 ， 但 异 常 事 件 并 没 有 像 普 通 的 栈 溢 出 漏 洞 那 样 给 我 们 泄 露 一 些 关 键 性 信 息 ， 至 今 我 们 也 只 能 知 晓 这 构 造 的 异 常 数 据 确 实 引 发 了 E Q N E D T 3 2 . E X E 文 件 的 c 0 0 0 0 0 0 5 异 常 ， 那 么 我 们 可 以 使 用 调 试 器 进 行 调 试 看 看 到 底 内 部 是 什 么 情 况 。 由 已 经 获 知 的 信 息 我 们 基 本 可 以 定 位 到 可 疑 的 大 致 代 码 位 置 ， 那 么 我 们 启 动 E Q N E D T 3 2 . E X E 程 序 并 用 O D 附 加 该 进 程 ， 然 后 去 可 疑 的 函 数 位 置 下 个 断 点 然 后 F 9 跑 起 来 ， 之 后 打 开 我 们 构 造 的 文 件 发 现 O D 断 在 了 该 可 疑 函 数 中 ， 我 们 进 一 步 去 单 步 走 走 ， 发 现 第 三 个 c a l l 的 参 数 很 可 疑 ， 该 函 数 第 一 个 参 数 指 向 的 内 存 内 容 和 我 们 构 造 的 畸 形 数 据 相 同 ， 且 第 三 个 参 数 也 指 向 了 附 近 的 栈 地 址 ， 因 此 可 以 使 用 I D A 查 看 该 函 数 内 部 情 况 。
图 4   可 疑 调 用 函 数 图 5   栈 溢 出 的 函 数 这 是 不 经 长 度 校 验 的 拷 贝 ， 而 传 入 的 l p L o g f o n t 就 是 我 们 构 造 的 数 据 ， 证 明 在 此 处 我 们 可 以 制 造 一 个 栈 溢 出 ， 观 察 此 时 的 拷 贝 起 始 地 址 位 于 上 一 个 调 用 函 数 的 栈 帧 中 ， 因 此 利 用 本 函 数 实 现 覆 盖 返 回 地 址 执 行 代 码 的 做 法 是 不 行 了 ， 那 么 我 们 现 在 可 以 控 制 覆 盖 上 一 个 栈 帧 的 函 数 返 回 地 址 ， 观 察 栈 的 结 构 可 以 发 现 拷 贝 起 始 地 址 据 上 一 个 函 数 栈 帧 返 回 地 址 相 差 0 x 9 4 ( 0 x 4 4 E C 2 4 - 0 x 4 4 E B 7 4 - 0 x 1 C ) ， 在 覆 盖 了 0 x 9 4 字 节 后 我 们 便 可 以 覆 盖 上 一 个 函 数 的 返 回 地 址 。
图 6   函 数 调 用 栈 但 是 要 实 现 这 一 点 得 保 证 我 们 对 于 栈 中 数 据 的 修 改 不 会 引 起 上 一 个 调 用 函 数 中 发 生 其 他 函 数 调 用 时 出 现 异 常 ， 当 然 我 们 可 以 抱 着 侥 幸 心 态 去 试 试 到 底 能 不 能 行 得 通 ， 毕 竟 我 们 更 想 看 到 这 个 栈 溢 出 能 不 能 被 用 起 来 ， 那 么 在 回 到 上 一 层 函 数 后 我 们 大 胆 的 使 用 F 8 单 步 步 过 ， 每 当 能 正 常 的 通 过 一 个 函 数 时 我 们 便 朝 着 终 点 更 进 一 步 ， 如 果 能 够 顺 利 的 走 完 整 个 函 数 那 么 证 明 我 们 就 能 劫 持 到 执 行 流 ， 使 用 I D A 查 看 我 们 要 到 达 终 点 之 前 需 要 正 常 越 过 的 函 数 ， 然 后 就 抱 着 赌 徒 心 态 来 使 用 F 8 越 过 这 些 可 能 会 导 致 异 常 的 函 数 。 图 7   调 用 函 数 概 览 当 然 事 实 证 明 任 何 抱 有 侥 幸 心 理 的 行 为 都 是 作 死 ， 在 使 用 F 8 进 行 赌 一 把 的 情 形 下 ， 越 过 图 8 所 示 位 置 的 函 数 时 发 生 崩 溃 退 出 ， 重 新 附 加 公 式 编 辑 器 再 来 到 崩 溃 现 场 发 现 此 处 原 来 就 是 图 7 处 调 用 C V E - 2 0 1 7 - 1 1 8 8 2 修 补 函 数 前 的 ” _ s t r c m p i ( l p L o g f o n t ,   & N a m e ) ” ， 原 因 是 l p L o g f o n t 指 针 被 覆 盖 了 ， 那 么 我 们 重 新 调 整 我 们 构 造 的 畸 形 文 件 ， 之 前 构 造
时 数 据 太 大 导 致 覆 盖 了 返 回 地 址 后 接 着 又 覆 盖 了 上 一 个 栈 帧 的 数 据 ， 因 此 我 们 精 确 构 造 0 x 9 4 大 小 的 数 据 使 返 回 地 址 恰 好 被 覆 盖 且 不 破 坏 上 一 层 栈 中 数 据 ， 之 后 重 新 附 加 调 试 重 复 我 们 的 ” 赌 博 ” 。   图 8   越 过 该 函 数 时 发 生 崩 溃 图 9   重 新 调 整 构 造 数 据 后 成 功 越 过 该 函 数 调 整 我 们 构 造 的 数 据 大 小 之 后 重 新 附 加 调 试 ， 再 次 到 这 个 位 置 时 我 们 成 功 的 越 过 了 这 个 函 数 ， 证 明 我 们 离 终 点 更 进 一 步 ， 然 后 在 一 路 F 8 越 过 ， 突 然 我 们 命 中 了 一 个 断 点 ， 查 看 断 点 的 位 置 就 是 这 个 函 数 自 身 ， 在 这 里 函 数 进 行 了 递 归 调 用 ， 这 对 于 我 们 来 说 并 不 算 一 个 好 事 ， 这 导 致 了 我 们 可 能 离 最 终 的 r e t 又 增 加 了 许 多 障 碍 ， 但 我 们 在 此 时 别 无 他 法 ， 只 能 强 行 F 8 再 一 路 往 终 点 走 。
图 1 0   命 中 断 点 的 函 数 位 置 庆 幸 的 是 这 个 递 归 调 用 用 一 个 远 跳 很 快 的 就 跳 出 了 函 数 主 体 ， 甚 至 于 连 栈 溢 出 的 函 数 都 没 有 机 会 执 行 ， 那 么 证 明 我 们 运 气 还 是 非 常 好 的 ， 在 这 个 函 数 r e t 之 后 需 要 我 们 越 过 的 函 数 调 用 就 没 有 多 少 了 ， 希 望 就 在 眼 前 。 图 1 1   递 归 调 用 成 功 F 8 步 过 退 出 递 归 调 用 函 数 后 ， 继 续 靠 着 我 们 一 手 绝 活 F 8 最 终 我 们 来 到 了 我 们 想 要 的 终 点 ， 发 现 返 回 地 址 被 我 们 构 造 的 数 据 成 功 覆 盖 ， 证 明 该 漏 洞 可 以 被 利 用 。
图 1 2   最 终 的 r e t 成 功 劫 持 执 行 流 那 么 现 在 我 们 知 道 了 我 们 可 以 构 造 一 个 长 度 为 0 x 9 4 字 节 长 度 的 内 容 来 实 现 一 个 s h e l l c o d e ， 然 后 覆 盖 返 回 地 址 就 能 成 功 劫 持 执 行 流 ， 通 过 调 试 发 现 在 覆 盖 的 返 回 地 址 之 下 ， 也 就 是 函 数 调 用 的 第 一 个 参 数 刚 好 指 向 我 们 构 造 的 源 数 据 ， 那 么 我 们 在 返 回 地 址 只 需 要 一 个 r e t 指 令 ， 便 能 成 功 引 导 执 行 流 从 我 们 的 s h e l l c o d e 开 始 执 行 ， 但 是 在 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 被 曝 光 之 后 微 软 对 公 式 编 辑 器 进 程 强 制 开 启 了 动 态 随 机 基 址 ， 意 味 着 我 们 不 能 写 死 返 回 地 址 ， 因 为 该 地 址 每 次 都 在 变 化 ， 那 么 总 有 大 神 有 奇 招 ( h t t p : / / w w w . f r e e b u f . c o m / c o l u m n / 1 6 0 0 0 6 . h t m l ) ， 参 考 该 篇 文 章 介 绍 的 绕 过 A L S R 的 手 法 我 们 也 可 以 成 功 的 b y p a s s   A L S R 。 原 理 大 致 就 是 随 机 基 址 通 常 只 随 机 高 两 位 地 址 ， 而 在 内 存 中 由 于 小 端 排 序 的 原 因 ， 我 们 覆 盖 是 从 低 两 位 开 始 的 ， 那 么 由 于 末 尾 必 须 用 N U L L 截 断 ， 因 此 倒 数 第 二 位 地 址 必 须 为 0 0 ， 查 找 是 否 具 有 0 x X X Y Y 0 0 Z Z ( X , Y , Z 为 随 机 字 符 ) 格 式 的 r e t 指 令 ， 最 终 发 现 事 实 就 是 这 么 偶 然 ， 刚 好 该 函 数 内 部 有 这 么 一 个 地 址 。 图 1 3   用 于 b y p a s s   A L S R 的 r e t n 指 令 我 们 的 s h e l l c o d e 结 构 已 经 比 较 清 晰 了 ， 前 面 0 x 9 4 字 节 用 于 写 入 我 们 的 s h e l l c o d e ， 紧 接 着 我 们 用 “ x 2 5 x 0 0 ” 覆 盖 返 回 地 址 低 两 位 ， 那 么 就 开 始 布 局 我 们 的 s h e l l c o d e ， 由 于 s h e l l c o d e 空 间 只 有 0 x 9 4 字 节 的 空 间 十 分 有 限 ， 因 此 我 们 可 以 考 虑 模 仿 C V E - 2 0 1 7 - 1 1 8 8 2 中 使 用 的 手 法 利 用 进 程 中 的 W i n E x e c 函 数 来 完 成 调 用 其 他 程 序 的 方 法 。 图 1 4   W i n E x e c 函 数 仍 然 存 在 最 终 写 出 汇 编 代 码 提 取 出 s h e l l c o d e 放 入 文 件 中 用 于 构 造 字 体 文 件 名 称 的 位 置 ， 也 就 是 之 前 我 们 构 造 的 ” a a a … ” 处 ， 并 在 覆 盖 起 始 地 址 偏 移 0 x 9 4 字 节 后 填 入 关 键 的 覆 盖 返 回 地 址 的 信 息 ” x 2 5 x 0 0 ” ， 那 么 在 文 件 中 的 s h e l l c o d e 就 这 么 构 造 成 功 了 ， 我 们 把 需 要 执 行 的 命 令 行 参 数 紧 接 着 写 到 s h e l l c o d e 之 后 便 可 以 实 现 一 个 利 用 C V E - 2 0 1 8 - 0 8 0 2 漏 洞 执 行 的 r t f 文 件 ，
当 然 这 需 要 主 机 打 上 C V E - 2 0 1 7 - 1 1 8 8 2 的 补 丁 之 后 才 能 成 功 复 现 。 图 1 5   构 造 的 s h e l l c o d e 用 这 个 s h e l l c o d e 从 我 们 开 始 构 造 ” a a a … ” 的 起 始 地 址 开 始 覆 盖 ， 在 之 后 紧 接 我 们 需 要 执 行 命 令 ( 先 用 打 开 计 算 器 试 个 水 ) ， 然 后 用 不 为 N U L L 的 字 符 进 行 填 充 至 一 共 0 x 9 4 字 节 ， 再 用 我 们 的 b y p a s s   A L S R 的 ” x 2 5 x 0 0 ” 来 覆 盖 返 回 地 址 低 两 位 ， 那 么 一 个 简 单 的 漏 洞 利 用 文 档 就 产 生 了 。 图 1 6   利 用 C V E - 2 0 1 7 - 1 1 8 8 2 改 造 成 的 C V E - 2 0 1 8 - 0 8 0 2 漏 洞 利 用 文 档 图 1 7   打 开 文 档 后 自 动 弹 出 计 算 器
至 此 利 用 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 文 件 进 行 一 个 简 单 的 改 造 ， 我 们 完 成 了 C V E - 2 0 1 8 - 0 8 0 2 文 件 的 构 造 ， 打 开 该 文 档 后 自 动 弹 出 计 算 器 ， 但 是 这 并 不 是 我 们 最 终 的 利 用 形 态 ， 接 下 来 我 将 展 示 攻 击 者 如 何 利 用 该 漏 洞 进 行 恶 意 行 为 ， 这 里 其 实 又 利 用 了 r t f 文 档 的 一 个 特 性 ， 在 打 开 r t f 文 档 时 会 将 嵌 入 文 档 中 的 文 件 自 动 释 放 到 系 统 % t e m p % 目 录 下 ， 因 此 现 今 最 多 尝 试 攻 击 的 方 式 都 是 利 用 这 个 特 性 在 r t f 文 档 中 嵌 入 恶 意 E X E 文 件 ， 然 后 再 利 用 该 漏 洞 去 执 行 释 放 在 % t e m p % 目 录 下 的 文 件 。 首 先 修 改 我 们 构 造 的 用 于 启 动 计 算 器 的 执 行 命 令 ， 更 改 为 ” c m d   / c   % t e m p % h e l l o . e x e ” 之 类 的 命 令 。 图 1 8   修 改 为 执 行 其 他 E X E 程 序 的 命 令 形 态 接 下 来 我 们 新 建 一 个 任 意 类 型 的 文 件 ， 改 后 缀 名 为 . r t f ， 用 w o r d 打 开 后 拖 入 我 们 想 要 执 行 的 e x e 文 件 ， 这 个 e x e 文 件 应 该 要 和 修 改 的 命 令 中 文 件 名 对 应 ， 然 后 保 存 用 二 进 制 编 辑 工 具 打 开 ， 将 刚 才 我 们 构 造 那 部 分 恶 意 执 行 代 码 的 整 个 o b j e c t 内 容 拖 放 到 存 放 了 e x e 文 件 的 r t f 中 指 定 的 位 置 。 图 1 9   嵌 入 e x e 文 件 并 保 存
图 2 0   需 要 拷 贝 到 嵌 入 e x e 的 r t f 文 档 中 的 恶 意 公 式 编 辑 器 内 容 图 2 1   拷 贝 到 嵌 入 e x e 文 件 的 r t f 文 档 中 的 大 致 位 置 至 此 真 正 一 个 具 有 攻 击 性 的 r t f 文 档 就 形 成 了 ， 该 文 档 在 被 w o r d 程 序 打 开 后 将 会 由 于 自 身 机 制 释 放 h e l l o . e x e 文 件 到 % t e m p % 目 录 下 ， 之 后 由 于 公 式 编 辑 器 的 漏 洞 利 用 了 W i n E x e c 函 数 执 行 了 ” c m d   / c   % t e m p % h e l l o . e x e ” ， 实 现 了 最 终 的 攻 击 行 为 ， 当 然 我 在 这 里 用 的 示 例 程 序 只 是 一 个 提 示 中 毒 的 标 签 ， 并 没 有 真 正 的 攻 击 行 为 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理