搜索

[14510] 2019-08-25_Microsoftoffice公式编辑器Matrixrecord栈溢出漏洞分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2019-08-25_Microsoftoffice公式编辑器Matrixrecord栈溢出漏洞分析 M i c r o s o f t   o f f i c e   公 式 编 辑 器   M a t r i x   r e c o r d   栈 溢 出 漏 洞 分 析 护 花 使 者 c x y   F r e e B u f   2 0 1 9 - 0 8 - 2 5 一 一 、 前 、 前 言 言 2 0 1 8   年 年   1   月 月   9   日 ， 日 ， O f f i c e   公 式 编 辑 器 再 曝 出 新 漏 洞 ， 编 号 为 公 式 编 辑 器 再 曝 出 新 漏 洞 ， 编 号 为   C V E - 2 0 1 8 - 0 7 9 8 。 提 起 公 式 编 辑 器 大 家 都 不 陌 。 提 起 公 式 编 辑 器 大 家 都 不 陌 生 ， 之 前 的 生 ， 之 前 的   C V E - 2 0 1 7 - 1 1 8 8 2   和 和   C V E - 2 0 1 8 - 0 8 0 2   这 对 姊 妹 漏 洞 都 出 自 这 里 ， 当 然 了 这 个 只 是 公 开 的 漏 洞 ， 还 这 对 姊 妹 漏 洞 都 出 自 这 里 ， 当 然 了 这 个 只 是 公 开 的 漏 洞 ， 还 有 一 些 是 没 有 公 开 的 。 可 能 是 由 于 公 式 编 辑 器 漏 洞 有 点 多 ， 所 以 这 次 有 一 些 是 没 有 公 开 的 。 可 能 是 由 于 公 式 编 辑 器 漏 洞 有 点 多 ， 所 以 这 次   W i n d o w s   干 脆 直 接 通 过 删 掉 公 式 编 辑 器 的 干 脆 直 接 通 过 删 掉 公 式 编 辑 器 的 方 式 来 修 复 漏 洞 ， 一 了 百 了 。 但 漏 洞 补 丁 刚 发 布 一 周 ， 就 已 开 始 出 现 多 例 方 式 来 修 复 漏 洞 ， 一 了 百 了 。 但 漏 洞 补 丁 刚 发 布 一 周 ， 就 已 开 始 出 现 多 例   C V E - 2 0 1 8 - 0 7 9 8   漏 洞 的 变 种 和 在 野 漏 洞 的 变 种 和 在 野 利 用 ， 据 说 中 国 的 一 些 组 织 也 包 括 其 中 。 漏 洞 原 理 比 较 简 单 ， 是 由 于 多 次 循 环 复 制 导 致 的 栈 溢 出 ， 幸 运 的 是 循 利 用 ， 据 说 中 国 的 一 些 组 织 也 包 括 其 中 。 漏 洞 原 理 比 较 简 单 ， 是 由 于 多 次 循 环 复 制 导 致 的 栈 溢 出 ， 幸 运 的 是 循 环 的 次 数 和 复 制 的 数 据 都 可 以 进 行 精 确 的 控 制 ， 从 而 给 漏 洞 利 用 带 来 了 便 利 。 环 的 次 数 和 复 制 的 数 据 都 可 以 进 行 精 确 的 控 制 ， 从 而 给 漏 洞 利 用 带 来 了 便 利 。 二 、 分 析 环 境 二 、 分 析 环 境 虚 拟 机 ： V M w a r e   1 5   P r o   +   W i n d o w s 7   S P 1 反 汇 编 调 试 工 具 ： x 6 4 d b g 其 他 工 具 ： C 3 2 A s m 漏 洞 软 件 ： O f f i c e   2 0 1 6 P O C ： C V E - 2 0 1 8 - 0 7 9 8 _ p o c . r t f （ 百 度 云 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 o j n a G L X F a A Y c U K 5 b z P d 5 6 Q ， 提 取 码 ： d 6 r p ） 三 、 调 试 分 析 三 、 调 试 分 析 在 调 试 之 前 先 将 系 统 的   A S L R   给 关 闭 ， 并 且 更 改 注 册 表 用 来 将 调 试 器 附 加 到 公 式 编 辑 器 上 ， 为 的 是 方 便 调 试 。
由 于 在 调 试 漏 洞 前 并 没 有 找 到 该 漏 洞 的   P O C ， 所 以 需 要 手 动 的 构 造 数 据 并 且 完 成 分 析 。 幸 运 的 是 从 阅 读 国 外 的 几 篇 分 析 文 档 中 捕 获 到 了 两 个 重 要 的 信 息 ， 第 一 个 是 漏 洞 触 发 的 函 数 为   s u b _ 4 4 3 F 6 C ， 且 存 在 复 制 操 作 的 指 令 为   m o v [ e c x ] ， a l 。
第 二 个 是 出 问 题 的 数 据 结 构 来 自 公 式 编 辑 器 的   M a t r i x ， 查 询 一 下 发 现 有 如 下 定 义 ， 从 后 面 的 分 析 中 可 以 看 出 这 个 数 据 结 构 是 专 门 用 来 处 理 公 式 编 辑 器 中 的 矩 阵 公 式 的 。 新 建   R T F   文 件 ， 插 入 一 个 带 有 矩 阵 公 式 的 公 式 编 辑 器 对 象 （ O L E ） ， 之 后 在   s u b _ 4 4 3 F 6 C   函 数 的 首 地 址 下 断 点 ， 看 看 处 理   M a t r i x   数 据 时 是 否 走   s u b _ 4 4 3 F 6 C   函 数 这 个 流 程 。

重 新 运 行 之 后 断 在 了   s u b _ 4 4 3 F 6 C   函 数 上 ， 通 过 分 析 堆 栈 调 用 ， 发 现 其 父 函 数 为   s u b _ 4 4 3 E 3 4 ， 对 这 两 个 函 数 下 记 录 断 点 ， 看 看 该 函 数 与 解 析 矩 阵 数 据 是 否 有 关 联 。 从 下 图 中 可 以 看 出 当 只 有 一 个 矩 阵 公 式 时   s u b _ 4 4 3 E 3 4   执 行 了 一 次 。 之 后 再 添 加 一 个 矩 阵 。 通 过 对 比 可 以 发 现 ， 每 处 理 一 个 矩 阵 都 会 调 用 到   s u b _ 4 4 3 E 3 4   进 行 解 析 。 对 其 中 一 次 调 用   s u b _ 4 4 3 E 3 4   函 数 调 试 看 看 ： 首 先 这 个 函 数 会 调 用   s u b _ 4 3 B 3 4 9   函 数 对 矩 阵 进 行 基 本 的 判 断 ， 判 断 里 面 的 数 据 是 否 符 合 要 求 。
其 次 会 调 用 一 系 列   s u b _ 4 1 6 3 5 2   函 数 去 获 取 对 象 中 的 数 据 ， 这 里 特 指   M a t r i x   数 据 。 通 过 对 取 出 的 数 据 分 析 后 发 现 0 x 4 4 3 E 8 F   地 址 调 用 的   s u b _ 4 1 6 3 5 2   函 数 会 从 样 本 中 取 出   M a t r i x   偏 移 地 址   + B   的 数 据 用 来 控 制 循 环 读 取 数 据 的 次 数 。
这 里 的 对 象 其 实 就 是 公 式 编 辑 器 对 象 ， 这 属 于 微 软   O L E   框 架 下 的 数 据 传 递 技 术 ， 我 们 知 道 公 式 编 辑 器 是 独 立 于 O f f i c e   存 在 的 ， 是 一 个 完 整 的   . e x e   或 者   . d l l   程 序 ， 也 就 是 说   O f f i c e   如 果 想 调 用 公 式 编 辑 器 必 须 通 过 创 建 新 进 程 的 方 式 调 用 ， 而 且 进 程 之 间 的 数 据 传 递 是 基 于   L R P C   的   O L E   接 口 技 术 ， 这 里 是 通 过   G l o b a l L o c k   函 数 间 接 处 理 的 。
接 着 进 入   s u b _ 4 4 3 F 6 C   函 数 。 在 该 函 数 中 首 先 会 将 之 前 取 出 的 循 环 次 数 放 入   e a x   中 ， 之 后 进 行   ( e a x   +   9 )   > >   3   的 运 算 ， 运 算 完 成 之 后 再 一 次 调 用 s u b _ 4 1 6 3 5 2   函 数 去 获 取 需 要 复 制 到 栈 上 的 数 据 （ M a t r i x   数 据 偏 移   + D ） ， 之 后 通 过   m o v   [ e c x ] ， a l   指 令 将 获 取 到 的 数 据 复 制 到 栈 中 ， 复 制 大 小 为 一 个 字 节 ， 完 成 之 后 判 断 循 环 次 数 是 否 为   0 ， 为   0   则 跳 出 循 环 。 由 此 分 析 得 出 流 程 图 ：
根 据 分 析 的 结 果 对   M a t r i x   偏 移   + B   的 地 方 填 充 循 环 次 数   F F ， 对 偏 移   + D   的 地 方 填 充 复 制 的 数 据 。
重 新 运 行 后 首 先 会 获 取 到 循 环 次 数 为   0 x F F 。 进 入   s u b _ 4 4 3 F 6 C   函 数 之 后 获 取 到 复 制 的 数 据 为   0 x A A 。 到 达 此 处 后 继 续 循 环 。 至 此 栈 上 的 返 回 地 址 已 经 被   M a t r i x   的 数 据 给 覆 盖 了 ， 实 现 了 跳 转 到 任 意 地 址 的 目 的 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理