搜索

[12807] 2018-06-09_腾讯御见捕获Flash0day漏洞（CVE-2018-5002）野外攻击

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2018-06-09_腾讯御见捕获Flash0day漏洞（CVE-2018-5002）野外攻击 腾 讯 御 见 捕 获 F l a s h   0 d a y 漏 洞 （ C V E - 2 0 1 8 - 5 0 0 2 ） 野 外 攻 击 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 8 - 0 6 - 0 9 0 x 1   概 述 概 述 腾 讯 御 见 威 胁 情 报 中 心 近 日 监 控 到 一 例 使 用 腾 讯 御 见 威 胁 情 报 中 心 近 日 监 控 到 一 例 使 用 A d o b e   F l a s h   0 d a y 漏 洞 （ 漏 洞 （ C V E - 2 0 1 8 - 5 0 0 2 ） 的 ） 的 A P T 攻 击 ， 攻 击 者 疑 攻 击 ， 攻 击 者 疑 通 过 即 时 聊 天 工 具 和 邮 箱 等 把 恶 意 通 过 即 时 聊 天 工 具 和 邮 箱 等 把 恶 意 E x c e l 文 档 发 送 给 目 标 人 员 ， 诱 骗 目 标 人 员 打 开 文 档 。 实 际 上 ， 该 恶 意 文 档 发 送 给 目 标 人 员 ， 诱 骗 目 标 人 员 打 开 文 档 。 实 际 上 ， 该 恶 意 E x c e l 文 档 经 过 特 别 构 造 ， 被 嵌 入 了 文 档 经 过 特 别 构 造 ， 被 嵌 入 了 f l a s h 对 象 ， 用 户 一 旦 打 开 文 档 电 脑 就 会 中 毒 。 对 象 ， 用 户 一 旦 打 开 文 档 电 脑 就 会 中 毒 。 C V E - 2 0 1 8 - 5 0 0 2 影 响 A d o b e   F l a s h   P l a y e r   2 9 . 0 . 0 . 1 7 1 及 所 有 之 前 的 版 本 。 A d o b e 官 方 于 6 月 7 日 下 午 发 布 安 全 公 告 （ 公 告 I D ： A P S B 1 8 - 1 9 ） ， A d o b e   F l a s h   P l a y e r 的 版 本 已 更 新 到 3 0 . 0 . 0 . 1 1 3 。 点 击 阅 读 原 文 阅 读 原 文 查 看 A d o b e   官 方 安 全 公 告 。 我 们 及 时 向 A d o b e 官 方 上 报 了 漏 洞 利 用 样 本 ， 并 获 得 了 A d o b e 官 方 确 认 和 致 谢 。 （ 攻 击 流 程 图 ） 0 x 2   攻 击 流 程 分 析 攻 击 流 程 分 析 1 .   漏 洞 文 档 行 为 分 析 漏 洞 文 档 行 为 分 析 此 次 攻 击 时 使 用 的 诱 饵 文 档 文 件 名 为 《 b a s i c _ s a l a r y . x l s x 》 ， 主 要 内 容 为 阿 拉 伯 语 言 撰 写 的 外 交 部 官 员 基 本 工 资 情 况 。 诱 饵 文 档 嵌 入 了 一 个 在 线 的 F l a s h 对 象 ， 用 户 打 开 文 档 后 ， 就 会 自 动 加 载 F l a s h 文 件 。
（ g o o g l e 翻 译 后 的 文 档 内 容 ） （ 诱 饵 文 档 内 容 ） 2 .   S W F 1 行 为 分 析 行 为 分 析 S W F 1 文 件 中 的 代 码 高 度 混 淆 ， 后 续 图 片 中 的 源 码 ， 均 是 对 混 淆 代 码 进 行 一 定 优 化 后 截 取 的 。
（ 混 淆 后 的 S W F 1 代 码 ） 诱 饵 文 档 中 嵌 入 了 一 个 在 线 s w f 对 象 ， 当 打 开 带 漏 洞 的 e x c e l 表 格 时 ， 会 加 载 “ M o v i e ” 字 段 所 指 向 的 在 线 F l a s h 文 件 ， 这 里 取 名 为 S W F 1 。 E x c e l 会 将 F l a s h V a r s 指 向 的 文 本 会 以 参 数 的 形 式 传 递 给 S W F 1 ， 这 里 存 放 的 是 漏 洞 利 用 样 本 （ S W F 2 文 件 ）   和 S h e l l C o d e 等 U R L 信 息 ， 分 别 被 标 记 为 了 s t a b U r l 、 e n c K e y U r l 、 d o w n l o a d U r l 、 i m a g e U r l 。 （ S W F 1 运 行 时 取 参 数 ） S W F 1 运 行 后 ， 会 以 p o s t 方 式 从 参 数 e n c K e y U r l   指 向 的 W E B 服 务 器 得 到 解 密 k e y 及 加 密 的 s w f 。 使 用 a e s 算 法 解 密 后 ， 得 到 漏 洞 s w f 文 件 ， 取 名 为 S W F 2 。
（ S W F 1 以 p o s t 方 式 下 载 加 密 的 S W F 2 ） （ S W F 1 使 用 a e s 解 密 S W F 2 ） S W F 1 通 过 L o a d B y t e s 将 解 密 后 的 漏 洞 利 用 文 件 S W F 2 加 载 执 行 ， 并 将 d o w n l o a d U r l 等 参 数 传 给 S W F 2 。
（ S W F 1 加 载 S W F 2 ） 3 .   S W F 2 （ （ 0 d a y 漏 洞 ） 行 为 分 析 漏 洞 ） 行 为 分 析 C V E - 2 0 1 8 - 5 0 0 2 是 由 于 F l a s h 未 能 正 确 处 理 包 含 特 殊 字 节 码 序 列 的 S W F 文 件 时 产 生 的 栈 越 界 读 写 漏 洞 。 该 漏 洞 同 之 前 的 C V E - 2 0 1 7 - 1 1 2 9 2 类 似 ， 都 需 要 修 改 S W F 文 件 的 字 节 码 来 触 发 漏 洞 。 同 时 该 漏 洞 的 利 用 只 需 要 简 单 的 内 存 布 局 ， 不 需 要 复 杂 的 堆 喷 ， 一 个 样 本 同 时 在 3 2 位 和 6 4 位 系 统 中 稳 定 运 行 。 1 ） ）   漏 洞 原 理 分 析 漏 洞 原 理 分 析 a .   漏 洞 代 码 A S C 2 ( A c t i o n S c r i p t   2 ) 引 入 了 一 组 用 于 快 速 操 作 内 存 的 函 数 ， 如 l i 8 ,   s i 8 等 等 。 该 组 函 数 的 具 体 含 义 如 下 ： 样 本 代 码 经 过 了 恶 意 混 淆 ， 下 面 是 清 除 混 淆 后 的 触 发 漏 洞 代 码 。
其 中 包 含 l i 8 的 静 态 初 始 化 （ S t a t i c   I n i t i a l i z e r ） 代 码 并 没 有 被 完 全 反 编 译 ， 下 图 是 根 据 其 字 节 码 得 出 的 伪 码 ： 实 际 调 试 发 现 ， 执 行 l i 8 指 令 时 会 触 发 异 常 ， 同 时 异 常 会 交 由 当 前 的 c a t c h 块 来 处 理 。 而 c a t c h 部 分 的 代 码 可 以 越 界 将 其 调 用 者 的 栈 上 的 两 个 对 象 指 针 ( l o c a l _ 4 4 8 ,   l o c a l _ 4 4 9 ) 互 换 , 从 而 实 现 类 型 混 淆 。 这 里 就 产 生 两 个 重 要 的 问 题 ： I     l i 8 指 令 并 不 在 t r y 块 中 ， 为 什 么 产 生 的 异 常 能 被 当 前 的 c a t c h 块 捕 获 ？ I I     c a t c h 块 正 常 情 况 下 只 能 访 问 l o c a l _ 0 和 l o c a l _ 1 ， 为 什 么 这 里 能 越 界 读 写 ？
b .   异 常 处 理 F l a s h 的 虚 拟 机 A V M 在 执 行 可 能 会 触 发 异 常 的 字 节 码 前 ， 会 记 录 当 前 执 行 的 位 置 p r e v i o u s _ b y t e c o d e _ o f f s e t ， 当 发 生 异 常 后 则 根 据 记 录 的 执 行 位 置 从 异 常 处 理 例 程 表 E x c e p t i o n H a n d l e r T a b l e 中 查 找 对 应 的 异 常 处 理 函 数 ， 即 A S 脚 本 或 字 节 码 中 的 c a t c h 块 。 F l a s h 在 创 建 d o m a i n M e m o r y 时 ， 会 为 其 初 始 化 一 个 大 小 为 0 x 4 0 0 的 内 存 。 F l a s h 在 执 行 l i 8 ( 1 2 3 4 5 6 ) 指 令 时 ， 首 先 会 检 查 偏 移 1 2 3 4 5 6 是 否 超 过 了 d o m a i n M e m o r y 的 大 小 。 由 于 偏 移 1 2 3 4 5 6 超 过 了 d o m a i n M e m o r y 的 范 围 0 - 1 0 2 3 ， 所 以 F l a s h 会 抛 出 一 个 R a n g e   E r r o r 的 异 常 ， 如 下 图 所 示 ， 其 中 0 x 3 4 为 l i 8 的 字 节 码 0 x 3 5   – 1 。 在 执 行 该 段 代 码 前 ， p r e v i o u s _ b y t e c o d e _ o f f s e t 被 初 始 化 为 0 。 此 后 一 共 执 行 了 三 个 字 节 码 ， 分 别 是 ： j u m p ， p u s h ， l i 8 ， 这 三 个 字 节 码 的 执 行 都 没 有 保 存 当 前 执 行 的 位 置 到 p r e v i o u s _ b y t e c o d e _ o f f s e t 。 这 样 F l a s h 在 处 理 l i 8 字 节 码 触 发 的 异 常 时 ， 认 为 异 常 发 生 的 位 置 为 0 ， 接 下 来 F i n d E x c e p t i o n H a n d l e r 函 数 根 据 异 常 发 生 的 位 置 查 找 对 应 的 异 常 处 理 函 数 ， 由 于 异 常 位 置 0 位 于 当 前 的 T r y 块 内 ， F i n d E x c e p t i o n H a n d l e r 函 数 就 认 为 该 异 常 应 该 交 给 当 前 的 c a t c h 块 来 处 理 。 下 图 就 是 调 试 该 过 程 的 截 图 ， F i n d E x c e p t i o n H a n d l e r 的 第 二 个 参 数 就 是 出 现 异 常 的 偏 移 即 p r e v i o u s _ b y t e c o d e _ o f f s e t ， 值 为 0 。 c .   栈 越 界 读 写 栈 越 界 读 写 主 要 是 通 过 绕 过 F l a s h 对 C a t c h 代 码 块 的 检 查 ( V e r i f y ) 实 现 的 。
F l a s h 在 对 T r y 代 码 块 进 行 检 查 时 ， 发 现 当 前 代 码 块 只 有 一 条 j u m p 指 令 ， 而 j u m p 指 令 不 会 抛 出 异 常 。 同 时 ， 由 于 j u m p 目 标 区 域 的 字 节 码 序 列 不 在 T r y 代 码 块 内 ，   F l a s h   A V M 认 为 整 段 代 码 不 会 发 生 异 常 ， 对 应 的 c a t c h 代 码 不 会 被 执 行 到 ， 所 以 略 过 了 对 c a t c h 代 码 块 的 检 查 ， 从 而 可 以 在 c a t c h 代 码 块 内 实 现 越 界 读 写 。 越 界 读 写 前 ：
触 发 越 界 读 写 ， 交 换 l o c a l _ 4 4 8 和 l o c a l _ 4 4 9 ： 2 ） ）   行 为 分 析 行 为 分 析 S W F 2 运 行 后 会 从 d o w n l o a d U r l 指 向 的 W E B 服 务 器 下 载 加 密 的 数 据 ， 以 得 到 s h e l l c o d e 。
（ S W F 2   取 s h e l l c o d e 下 载 链 接 ） （ S W F 2 下 载 s h e l l c o d e ） 取 加 密 数 据 的 前 1 6 个 字 节 作 为 解 密 的 K e y ， 通 过 A E S 解 密 S h e l l C o d e 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理