搜索

[6425] 2020-01-13_一个指针引发的“血案”

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2020-01-13_一个指针引发的“血案” 一 个 指 针 引 发 的 “ 血 案 ” E 安 全   2 0 2 0 - 0 1 - 1 3 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 脚 本 引 擎 开 发 者 在 设 计 G C ( G a r b a g e   C o l l e c t ， 简 称 G C ) 时 追 踪 指 针 不 善 导 致 的 U A F ( U s e - A f t e r - F r e e ) ， 是 一 类 常 见 的 漏 洞 。 本 文 通 过 一 个 例 子 来 向 读 者 介 绍 这 类 漏 洞 的 成 因 与 分 析 思 路 。 漏 洞 描 述 漏 洞 描 述 C V E - 2 0 1 8 - 8 3 5 3 是 谷 歌 的 I v a n   F r a t r i c 发 现 的 一 个 j s c r i p t 漏 洞 ， 该 漏 洞 在 2 0 1 8 年 8 月 被 修 复 。 这 是 一 个 U A F 漏 洞 ， I v a n   F r a t r i c 在 披 露 页 清 晰 地 描 述 了 该 漏 洞 的 成 因 ： 通 俗 一 点 说 就 是 R e g E x p 类 的 l a s t I n d e x 成 员 没 有 被 加 入 G C 追 踪 列 表 ， 如 果 给 它 赋 值 ， 在 G C 时 会 导 致 l a s t I n d e x 处 存 储 的 指 针 变 为 悬 垂 指 针 。 后 续 再 访 问 l a s t I n d e x 时 ， 即 造 成 一 个 典 型 的 U s e - A f t e r - F r e e 场 景 。 j s c r i p t 模 块 目 前 已 发 现 多 个 类 似 漏 洞 ， 例 如 C V E - 2 0 1 7 - 1 1 7 9 3 ， ， C V E - 2 0 1 7 - 1 1 9 0 3 ， ， C V E - 2 0 1 8 - 0 8 6 6 ， ， C V E - 2 0 1 8 - 0 9 3 5 ， ， C V E - 2 0 1 8 - 8 3 5 3 ， ， C V E - 2 0 1 8 - 8 6 5 3 ， ， C V E - 2 0 1 8 - 8 3 8 9 ， ， C V E - 2 0 1 9 - 1 4 2 9 本 文 试 图 通 过 C V E - 2 0 1 8 - 8 3 5 3 一 窥 这 类 漏 洞 的 成 因 ， 并 在 此 基 础 上 分 析 谷 歌 P o C 中 的 信 息 泄 露 利 用 代 码 。 读 者 将 会 看 到 一 个 G C 导 致 的 U A F 如 何 被 转 化 为 高 质 量 的 信 息 泄 露 漏 洞 。 P o C 以 下 为 I v a n   F r a t r i c 给 出 的 P o C ， 下 一 小 节 将 通 过 该 P o C 分 析 漏 洞 成 因 。 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
U A F @ 0 P a t c h 团 队 已 通 过 补 丁 分 析 发 现 ， x 8 6 下 l a s t I n d e x 位 于 R e g E x p O b j 对 象 的 + A 8 偏 移 处 ， 如 下 ： 现 在 R e g E x p O b j : : C r e a t e 函 数 内 下 断 点 ， 在 R e g E x p O b j 对 象 创 建 完 成 后 ， 对 其 偏 移 + A 8 处 下 一 个 硬 件 写 入 断 点 ， 这 个 偏 移 处 存 储 一 个 V A R 结 构 体 ， 此 结 构 体 在 x 8 6 下 大 小 为 0 x 1 0 。 重 点 观 察 + B 0 处 的 数 据 变 化 。 为 了 更 清 晰 地 解 释 成 因 ， 笔 者 并 没 有 开 启 页 堆 ， 但 开 启 了 用 户 模 式 下 堆 申 请 的 栈 回 溯 ， 以 下 为 调 试 日 志 ：



重 占 位 重 占 位 到 这 里 已 经 获 得 一 个 非 常 好 的 U A F ， 接 下 来 的 问 题 是 ： 如 何 使 用 它 ？ 从 调 试 日 志 中 可 以 看 出 ， 用 来 存 储 V A R 变 量 的 内 存 块 是 从 G c B l o c k F a c t o r y : : P b l k A l l o c 申 请 的 ， x 8 6 下 其 申 请 大 小 固 定 为 0 x 6 4 8 ( 《 G a r b a g e   C o l l e c t i o n   I n t e r n a l s   o f   J S c r i p t 》 这 篇 文 章 有 解 释 为 什 么 x 8 6 下 这 个 大 小 是 0 x 6 4 8 ) ：   如 果 要 重 用 被 释 放 的 内 存 ， 得 在 G C 后 迅 速 用 大 小 为 0 x 6 4 8 的 内 存 申 请 去 占 用 之 。 如 何 做 到 ？ 一 个 比 较 好 的 方 法 是 借 助 N a m e L i s t 。 j s c r i p t 对 象 在 创 建 成 员 变 量 时 ， 如 果 成 员 变 量 的 名 称 过 长 ( 谷 歌 的 文 章 中 说 这 个 长 度 阈 值 为 4 ) ， 会 在 N a m e L i s t : : F C r e a t e V v a l 函 数 内 单 独 申 请 内 存 ， 以 存 储 对 应 的 成 员 变 量 ， 并 且 会 以 第 一 个 成 员 名 称 的 长 度 去 申 请 特 定 大 小 的 内 存 ， 而 相 关 计 算 公 式 是 固 定 的 。
通 过 逆 向 调 试 ， 可 以 得 到 x 8 6 下 的 计 算 公 式 ： 现 在 ， 令 a l l o c _ s i z e = 0 x 6 4 8 ， 解 上 述 方 程 ， 可 得 到 x = 0 x 1 7 8 ( 0 n 3 7 6 ) 。 于 是 可 以 通 过 下 面 的 代 码 重 用 被 释 放 的 内 存 ： 在 调 试 器 中 观 察 验 证 重 用 ：


从 从 U A F 到 信 息 泄 露 到 信 息 泄 露 前 一 小 节 已 经 在 合 适 的 时 机 控 制 了 被 F r e e 的 内 存 ， 接 下 来 要 通 过 这 个 U A F 漏 洞 实 现 信 息 泄 露 ， 以 得 到 被 重 用 内 存 的 起 始 地 址 。 N a m e L i s t : : F C r e a t e V v a l 点 点
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理