搜索

[12536] 2018-04-01_以UPX漏洞为例介绍整数溢出（基础篇）

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2018-04-01_以UPX漏洞为例介绍整数溢出（基础篇） 以 U P X 漏 洞 为 例 介 绍 整 数 溢 出 （ 基 础 篇 ） 原 创   t o c t t o u   F r e e B u f   2 0 1 8 - 0 4 - 0 1 * 本 文 原 创 作 者 ： t o c t t o u ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 我 发 现 我 发 现 F r e e b u f 上 没 有 整 数 溢 出 漏 洞 的 基 础 介 绍 ， 所 以 这 篇 文 章 通 过 分 析 我 刚 刚 发 现 的 上 没 有 整 数 溢 出 漏 洞 的 基 础 介 绍 ， 所 以 这 篇 文 章 通 过 分 析 我 刚 刚 发 现 的 U P X 源 代 码 中 的 整 数 溢 出 源 代 码 中 的 整 数 溢 出 漏 洞 ， 介 绍 一 下 漏 洞 ， 介 绍 一 下 C / C + + 整 数 溢 出 漏 洞 的 原 理 、 触 发 和 修 复 方 法 。 这 篇 文 章 暂 不 涉 及 如 何 利 用 整 数 溢 出 达 到 远 程 整 数 溢 出 漏 洞 的 原 理 、 触 发 和 修 复 方 法 。 这 篇 文 章 暂 不 涉 及 如 何 利 用 整 数 溢 出 达 到 远 程 代 码 执 行 ， 代 码 执 行 ， U P X 的 漏 洞 只 是 一 个 拒 绝 服 务 漏 洞 。 的 漏 洞 只 是 一 个 拒 绝 服 务 漏 洞 。 0 x 0 1   整 数 溢 出 原 理 整 数 溢 出 原 理 C / C + + 中 的 整 数 溢 出 基 本 原 理 非 常 简 单 ， 比 如 u n s i g n e d   c h a r   n u m b e r   =   2 0 0   +   2 0 0 ; 。 最 终 n u m b e r 的 值 是 4 0 0   m o d 2 5 6 = 1 4 4 。 这 是 因 为 C + + 对 于 无 符 号 整 数 （ u n s i g n e d   c h a r ,   u n s i g n e d   i n t 等 ） 溢 出 的 处 理 是 取 模 ， 导 致 的 结 果 是 两 个 整 数 相 加 ， 反 而 结 果 更 小 。 C + + 中 有 符 号 整 数 溢 出 是 未 定 义 行 为 。 下 文 中 所 有 提 到 整 数 溢 出 ， 都 指 的 是 无 符 号 整 数 溢 出 。 整 数 溢 出 的 利 用 一 般 都 是 用 它 来 导 致 缓 冲 区 溢 出 ， 进 而 利 用 缓 冲 区 溢 出 技 巧 来 代 码 执 行 、 泄 露 内 存 或 拒 绝 服 务 。 我 认 为 对 于 文 件 解 析 一 类 的 程 序 要 特 别 注 意 整 数 溢 出 问 题 ， 因 为 有 很 多 文 件 格 式 ， 它 们 的 文 件 头 中 包 含 了 长 度 、 偏 移 信 息 。 攻 击 者 通 过 构 造 畸 形 文 件 可 以 直 接 控 制 这 些 信 息 ， 尝 试 触 发 整 数 溢 出 或 其 他 缓 冲 区 溢 出 漏 洞 。 所 以 在 写 代 码 时 我 们 需 要 关 注 的 点 有 ： 第 一 ， 将 整 数 运 算 的 结 果 作 为 缓 冲 区 长 度 分 配 内 存 ； 第 二 ， 将 整 数 运 算 的 结 果 作 为 偏 移 量 读 取 内 存 。 对 于 第 一 点 ， 比 如 这 段 代 码 ： 如 果 l e n 1 是 攻 击 者 可 控 的 值 ， 那 么 这 里 就 存 在 整 数 溢 出 问 题 。 假 设 是 3 2 位 程 序 ， 攻 击 者 选 取 l e n 1   =   0 x F F F F F F C 1 ， 那 么 l e n 1 + 4 0 等 于 1 ， 所 以 b u f f e r 的 长 度 为 1 。 第 三 行 ， 作 者 错 误 地 假 设 了 下 标 0 x 1 0 一 定 会 在 b u f f e r 分 配 的 内 存 区 间 内 ， 但 实 际 上 这 里 发 生 了 越 界 写 入 。 对 于 第 二 点 ， 看 这 段 代 码 ： 这 里 作 者 错 误 地 假 设 了 如 果 4 0   +   o f f s e t 这 个 i n d e x 没 有 越 界 ， 则 o f f s e t 这 个 i n d e x 也 没 有 越 界 。 但 是 如 果 我 们 取 o f f s e t = 2 5 5 。 则 4 0   +   o f f s e t   =   3 9 ， 那 么 我 们 就 将 b u f f e r [ 2 5 5 ] 这 个 越 界 地 址 写 入 了 0 。 0 x 0 2   分 析 分 析 U P X 整 数 溢 出 漏 洞 整 数 溢 出 漏 洞 这 个 漏 洞 是 我 最 近 找 出 来 的 U P X 开 源 项 目 的 漏 洞 。 因 为 最 近 研 究 U P X ， 随 手 在 C V E 数 据 库 里 搜 索 了 一 下 有 没 有 U P X 的 漏 洞 ， 结 果 还 真 有 ， C V E - 2 0 1 7 - 1 5 0 5 6 。 漏 洞 报 告 在   h t t p s : / / g i t h u b . c o m / u p x / u p x / i s s u e s / 1 2 8   。 这 是 一 个 畸 形 文 件 导 致 内 存 越 界 读 取 漏 洞 ， 我 看 了 一 下 修 复 的 c o m m i t 。 从 c o m m i t 来 看 ， 修 复 并 不 完 美 ， 而 且 正 好 可 以 拿 来 讲 整 数 溢 出 。 我 们 重 点 看 c o m m i t 中 P a c k L i n u x E l f 3 2 : : P a c k L i n u x E l f 3 2 h e l p 1 函 数 中 添 加 在 2 5 0 - 2 5 6 行 的 校 验 ：
f i l e _ s i z e 是 用 户 输 入 的 E L F 文 件 的 大 小 ， e _ p h o f f ,   e _ p h n u m ,   e _ s h o f f ,   e _ s h n u m 都 是 E L F 文 件 头 部 的 字 段 。 这 些 值 我 们 可 以 通 过 构 造 畸 形 E L F 文 件 来 控 制 。 显 然 这 里 作 者 在 避 免 缓 冲 区 越 界 读 取 问 题 ， 检 测 e _ s h o f f   + e _ s h n u m   s i z e o f ( E l f 3 2 _ S h d r ) 这 个 偏 移 量 是 否 依 然 在 E L F 文 件 大 小 之 内 。 如 果 不 在 ， 就 抛 出 异 常 ， 因 为 我 们 的 缓 冲 区 只 有 f i l e _ s i z e 这 么 大 。 作 者 想 到 了 检 查 整 数 溢 出 ， 但 是 他 的 方 法 是 把 e _ p h o f f 和 e _ s h o f f 从 u n s i g n e d   i n t 转 换 成 u n s i g n e d l o n g 。 值 得 注 意 的 是 u n s i g n e d   l o n g 的 大 小 是 ： M S V C 下 永 远 是 3 2 位 整 数 ， g c c 和 c l a n g 下 3 2 位 E L F 就 是 3 2 位 整 数 ， 6 4 位 E L F 就 是 6 4 位 整 数 。 所 以 如 果 我 们 用 3 2 位 U P X 的 话 ， ( u n s i g n e d   l o n g ) e _ s h o f f   +   e _ s h n u m s i z e o f ( E l f 3 2 _ S h d r ) 是 可 以 溢 出 的 ， 只 要 e _ s h o f f 足 够 大 ， 让 它 们 的 和 大 于 或 等 于 2 ^ 3 2 ， 它 的 值 就 可 以 小 于 f i l e _ s i z e 。 往 下 ： 2 6 8 至 2 7 2 行 针 对 e _ t y p e 不 是 E T _ D Y N   ( s h a r e d   o b j e c t   f i l e ) 情 形 ， 2 6 8 行 的 l e n 就 是 之 前 2 5 8 行 校 验 的 值 ， 按 上 文 说 的 l e n 是 溢 出 之 后 的 值 ， 它 小 于 f i l e _ s i z e ， 但 是 e _ p h o f f 很 大 。 所 以 到 2 7 2 行 p h d r i = e _ p h o f f   +   f i l e _ i m a g e 又 发 生 整 数 溢 出 ， p h d r i 会 小 于 f i l e _ i m a g e 。 所 以 如 果 接 下 来 p h d r i 被 用 于 读 取 E l f 3 2 _ P h d r 结 构 体 的 值 ， 那 么 读 到 的 实 际 上 是 缓 冲 区 f i l e _ i m a g e 以 外 的 值 。 但 是 随 后 发 现 p h d r i 使 用 之 前 会 检 查 e _ p h o f f 是 否 为 0 x 4 0 。 所 以 这 个 缓 冲 区 越 界 读 取 是 触 发 不 了 的 。 接 下 来 2 7 4 行 以 下 针 对 e _ t y p e 是 E T _ D Y N 情 形 ， 类 似 地 ， 因 为 我 们 取 e _ s h o f f 为 一 个 接 近 2 ^ 3 2 的 值 ， 如 0 x F F F F E 0 0 0 ， 这 样 s h d r i =   ( E l f 3 2 _ S h d r   * ) ( e _ s h o f f   +   f i l e _ i m a g e ) ; 指 向 的 就 是 f i l e _ i m a g e 内 存 之 前 的 位 置 。 然 后 进 入 e l f _ f i n d _ s e c t i o n _ t y p e ( E l f 3 2 _ S h d r : : S H T _ D Y N S Y M ) 函 数 ：
f o r 循 环 内 s h d r i 指 针 被 用 来 读 取 s h d r i - > s h _ t y p e 的 值 。 这 时 因 为 s h d r i 不 是 一 个 有 效 的 地 址 ， 这 里 就 会 触 发 崩 溃 。 所 以 我 的 P o C 就 直 接 把 C V E - 2 0 1 7 - 1 5 0 5 6 的 P o C 拿 来 ， 把 e _ t y p e 改 成 3   ( E T _ D Y N ) 、 e _ s h o f f 改 成 0 x F F F F E 0 0 0 、 e _ s h n u m 改 成 0 x 0 0 F F 。 这 样 e _ s h o f f   +   e _ s h n u m   *   s i z e o f ( E l f 3 2 _ S h d r ) 的 值 是 0 x 0 7 D 8 ， 小 于 f i l e _ s i z e 。 s h d r i 等 于 f i l e _ i m a g e   -   0 x 2 0 0 0 。 用 3 2 位 U P X 压 缩 P o C ， 就 能 看 到 崩 溃 ： 当 然 这 个 整 数 溢 出 漏 洞 只 能 到 拒 绝 服 务 为 止 了 ， 应 该 是 没 法 远 程 利 用 的 （ 比 如 把 内 存 写 到 输 出 文 件 里 ） 。 我 也 对 U P X 、 E L F 文 件 了 解 不 多 ， 所 以 就 没 深 入 研 究 其 他 位 置 有 没 有 溢 出 问 题 。 0 x 0 3   修 复 修 复 我 提 交 了 一 个 P u l l   r e q u e s t 修 复 这 个 U P X 漏 洞 ， 但 是 他 们 没 用 我 的 P R ， 他 们 自 己 写 了 一 个 c o m m i t 。 对 于 加 法 避 免 整 数 溢 出 的 方 法 两 种 ： 加 法 运 算 的 和 如 果 小 于 任 何 一 个 加 数 ， 则 有 溢 出 ： 另 一 种 是 转 换 成 6 4 位 无 符 号 整 数 ：
乘 法 ： 转 换 成 6 4 位 或 者 ： 0 x 0 4   参 考 参 考 h t t p s : / / g i t h u b . c o m / u p x / u p x / i s s u e s / 1 2 8 h t t p s : / / g i t h u b . c o m / u p x / u p x / c o m m i t / e f 3 3 6 d b c c 6 d c 8 3 4 4 4 8 2 f 8 c f 6 c 9 0 9 a e 9 6 c 3 2 8 6 3 1 7 h t t p s : / / g i t h u b . c o m / u p x / u p x / p u l l / 1 9 0 h t t p s : / / g i t h u b . c o m / u p x / u p x / c o m m i t / 9 0 a 1 3 2 2 9 2 9 2 5 9 b 3 0 4 9 f 1 1 5 6 4 d 2 5 c c 1 b c 9 9 e e 5 4 f a * 本 文 原 创 作 者 ： t o c t t o u ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理