搜索

[9882] 2016-03-06_FlexeraFlexNetPublisher中基于栈的缓冲区溢出漏洞分析

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2016-03-06_FlexeraFlexNetPublisher中基于栈的缓冲区溢出漏洞分析 F l e x e r a   F l e x N e t   P u b l i s h e r 中 基 于 栈 的 缓 冲 区 溢 出 漏 洞 分 析 v u l _ w i s h   F r e e B u f   2 0 1 6 - 0 3 - 0 6 近 日 ， 安 全 人 员 在 近 日 ， 安 全 人 员 在 F l e x e r a   F l e x N e t   P u b l i s h e r ( L i c e n s e   M a n a g e r ) 中 发 现 了 一 个 基 于 栈 的 缓 冲 区 溢 出 漏 洞 （ 中 发 现 了 一 个 基 于 栈 的 缓 冲 区 溢 出 漏 洞 （ C V E 编 号 ： 编 号 ： C V E - 2 0 1 5 - 8 2 7 7 ， ， C N N V D 编 号 ： 编 号 ： C N N V D - 2 0 1 6 0 2 - 4 4 1 ） ， 可 导 致 远 程 代 码 执 行 ， 并 且 会 根 据 不 同 的 软 件 产 品 变 化 。 ） ， 可 导 致 远 程 代 码 执 行 ， 并 且 会 根 据 不 同 的 软 件 产 品 变 化 。 F l e x N e t P u b l i s h e r 是 应 用 广 泛 的 L i c e n s e 管 理 工 具 ， 软 件 厂 商 可 以 锁 定 机 器 的 硬 盘 号 ， 网 卡 号 ， 使 用 日 期 等 ， 以 保 护 软 件 的 知 识 产 权 。 英 特 尔 、 思 科 、 A d o b e 、 惠 普 、 R S A 、 西 门 子 等 都 是 F l e x N e t   P u b l i s h e r 的 用 户 。 漏 洞 细 节 漏 洞 细 节 该 漏 洞 存 在 于 l m g r d . e x e 中 ， 并 且 很 多 厂 商 都 使 用 F l e x N e t P u b l i s h e r 创 建 v e n d o r 二 进 制 文 件 ， 主 要 原 因 是 程 序 使 用 一 个 自 定 义 的 s t r n c p y 函 数 （ 按 长 度 拷 贝 字 符 串 ） ， 与 传 统 的 s t r n c p y 函 数 类 似 ， 该 自 定 义 函 数 中 包 含 源 缓 冲 区 、 目 的 缓 冲 区 和 长 度 三 个 参 数 。 然 而 ， 该 漏 洞 导 致 s t r n c p y 函 数 忽 略 了 长 度 参 数 ， 因 此 程 序 会 自 动 将 其 转 换 为 s t r c p y 函 数 。 通 过 追 踪 s t r n c p y 函 数 的 用 法 ， 发 现 其 广 泛 使 用 在 由 F l e x N e t   P u b l i s h e r 支 持 的 l m g r d 和 v e n d o r 二 进 制 文 件 。 当 开 发 者 默 认 最 大 长 度 已 经 被 限 制 时 ， 该 函 数 会 十 分 危 险 。 该 函 数 的 伪 代 码 如 下 图 。 图 一   s t r n c p y 函 数 的 伪 代 码 经 过 深 度 分 析 ， 研 究 人 员 发 现 s t r n c p y 函 数 被 用 在 将 近 1 0 0 个 位 置 ， 大 多 数 用 于 处 理 消 息 解 析 函 数 中 用 户 提 供 的 数 据 。 确 定 漏 洞 的 可 利 用 性 时 ， 首 先 应 该 找 出 编 译 到 应 用 程 序 中 的 内 存 保 护 机 制 的 位 置 。 某 些 视 觉 分 析 法 可 以 显 示 栈 c o o k i e 的 使 用 情 况 ， 并 运 行 C o r e l a n m o n a 脚 本 ， 由 此 分 析 ， l m g r d 二 进 制 文 件 使 用 A S L R 、 D E P 和 S a f e S E H 安 全 机 制 进 行 编 译 。
图 二   l m g r d 二 进 制 文 件 的 编 译 下 一 步 ， 也 是 最 复 杂 的 一 步 ， 就 是 按 照 可 利 用 难 易 程 度 为 使 用 s t r n c p y 函 数 的 位 置 进 行 排 名 。 这 意 味 着 ， 不 仅 要 考 虑 目 的 缓 冲 区 是 位 于 堆 上 还 是 栈 上 ， 还 有 确 定 栈 c o o k i e 是 否 使 用 在 当 前 的 栈 框 架 中 。 在 经 过 一 系 列 搜 索 之 后 ， 研 究 人 员 将 目 光 锁 定 用 于 解 析 0 x 1 0 7 类 型 消 息 的 函 数 。 该 函 数 用 途 的 特 殊 之 处 在 于 ， 栈 框 架 中 没 有 编 译 栈 c o o k i e ， 如 果 该 函 数 的 目 的 缓 冲 区 大 小 只 有 4 字 节 ， 那 么 程 序 可 能 会 将 其 默 认 为 一 个 地 址 。 图 三   用 于 解 析 0 x 1 0 7 类 型 消 息 的 函 数 借 助 特 制 的 数 据 包 运 用 该 消 息 解 析 函 数 确 实 能 引 发 一 个 基 于 栈 的 缓 冲 区 溢 出 漏 洞 。 但 是 还 有 一 个 要 求 是 ， 该 溢 出 不 能 溢 出 到 函 数 参 数 ， 或 者 随 后 要 调 用 的 m e m c p y 函 数 不 能 抛 出 异 常 ， 否 则 就 不 能 控 制 执 行 。 幸 运 的 是 ， 研 究 人 员 成 功 使 用 R O P 方 法 覆 盖 了 返 回 的 指 针 ， 将 返 回 指 针 在 栈 中 的 位 置 移 动 到 输 入 缓 冲 区 。
图 四   栈 溢 出 前 后 对 比 分 析 进 行 到 这 ， 还 有 D E P 和 A S L R 两 个 内 存 保 护 机 制 需 要 绕 过 。 绕 过 D E P 的 方 法 是 通 过 在 当 前 二 进 制 目 录 下 使 用 R O P 来 重 新 分 配 一 个 可 执 行 的 栈 。 但 是 使 用 该 方 法 需 要 泄 露 二 进 制 文 件 或 加 载 库 的 内 存 地 址 ， 所 以 需 要 找 到 另 一 个 漏 洞 获 取 内 存 地 址 。 真 实 情 况 是 ， 研 究 人 员 并 没 有 找 到 获 取 内 存 地 址 的 方 法 。 但 是 在 研 究 过 程 中 发 现 ， 程 序 中 实 际 有 两 个 二 进 制 文 件 作 为 F l e x e r a   P u b l i s h e r 服 务 运 行 ， 一 个 名 为 l m g r d . e x e ， 另 一 个 为 供 应 商 的 软 件 名 称 （ 例 如 ， v e n d o r . e x e ） 。 l m g r d 文 件 可 以 管 理 v e n d o r 文 件 ， 并 且 可 以 重 启 崩 溃 的 v e n d o r 文 件 。 研 究 人 员 可 以 借 助 该 方 法 结 合 暴 力 破 解 方 法 获 取 加 载 库 的 基 址 。 通 过 向 v e n d o r 服 务 发 送 消 息 以 重 启 应 用 程 序 服 务 ， 进 而 猜 测 出 基 址 。 为 何 要 用 暴 力 破 解 方 法 ？ 主 要 是 研 究 人 员 发 现 加 载 库 的 基 址 只 有 1 2 位 会 发 生 变 化 ， 也 就 是 说 该 基 址 只 有 4 0 9 6 种 可 能 。 在 P O C 中 ， 研 究 人 员 将 以 上 分 析 的 所 有 内 容 结 合 到 一 个 p y t h o n 脚 本 中 。 为 了 验 证 漏 洞 利 用 成 功 的 时 间 ， 研 究 人 员 使 用 s h e l l c o d e 连 回 s h e l l ， 并 设 置 一 个 单 独 的 线 程 通 知 主 线 程 创 建 连 接 的 时 间 。 在 此 过 程 中 需 要 注 意 的 一 点 是 ， 要 及 时 停 止 暴 力 破 解 器 。 研 究 人 员 使 用 了 p w n t o o l s 库 来 简 化 与 M e t a s p l o i t 服 务 器 连 接 的 代 理 。
图 五   使 用 p w n t o o l s 库 简 化 代 理 受 影 响 版 本 受 影 响 版 本   F l e x N e t   P u b l i s h e r   ( L i c e n s e   M a n a g e r )   1 1 . 1 3 . 1 . 0 及 之 前 版 本   嵌 入 了 F l e x N e t   P u b l i s h e r   ( L i c e n s e   M a n a g e r ) 的 产 品 修 复 情 况 修 复 情 况 F l e x e r a 已 经 修 复 了 该 漏 洞 ， 用 户 可 以 从 其 官 网 获 取 补 丁 ， 并 按 照 其 引 导 及 时 升 级 软 件 。 对 于 网 络 防 护 人 员 ， 可 以 先 确 定 l m g r d . e x e 的 运 行 位 置 ， 然 后 判 断 是 否 修 复 ， 如 果 不 确 定 补 丁 是 否 适 用 ， 可 以 联 系 所 使 用 软 件 的 厂 商 。 同 时 也 要 确 保 服 务 台 能 及 时 处 理 客 户 投 诉 。 总 结 总 结 人 们 对 于 该 漏 洞 更 关 注 的 是 它 广 泛 的 影 响 。 该 漏 洞 本 身 存 在 于 F l e x e r a 软 件 中 ， 但 是 却 影 响 了 很 多 嵌 入 F l e x N e t   P u b l i s h e r 的 其 他 产 品 ， 其 厂 商 必 须 根 据 F l e x e r a 的 补 丁 研 究 出 适 用 于 本 产 品 的 相 应 补 丁 ， 因 此 有 些 产 品 的 用 户 可 能 要 等 待 一 段 时 间 才 能 获 取 修 复 版 本 。 *   原 文 地 址 ： s e c u r i t y m u m b l i n g s ， s e c u r i f e r a ， v u l _ w i s h 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理