搜索

[10571] 2016-10-07_kill.exe溢出漏洞分析与EXP讨论

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2016-10-07_kill.exe溢出漏洞分析与EXP讨论 k i l l . e x e 溢 出 漏 洞 分 析 与 E X P 讨 论 z z z 6 6 6 8 6   F r e e B u f   2 0 1 6 - 1 0 - 0 7 *   本 文 原 创 作 者 ： z z z 6 6 6 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 1 .   前 言 前 言 前 几 日 ， 笔 者 在 前 几 日 ， 笔 者 在 e x p l o i t - d b 上 发 现 了 一 个 上 发 现 了 一 个 k i l l . e x e 的 溢 出 漏 洞 ， 在 众 多 的 的 溢 出 漏 洞 ， 在 众 多 的 U A F 漏 洞 中 ， 这 种 单 纯 的 溢 出 漏 洞 简 直 如 一 股 清 泉 一 漏 洞 中 ， 这 种 单 纯 的 溢 出 漏 洞 简 直 如 一 股 清 泉 一 般 ， 遂 将 其 捡 了 出 来 ， 深 入 地 看 了 看 。 般 ， 遂 将 其 捡 了 出 来 ， 深 入 地 看 了 看 。 原 计 划 写 一 个 完 整 的 可 用 E X P ， 但 貌 似 失 败 了 。 所 以 ， 这 里 以 半 介 绍 半 讨 论 的 形 式 聊 一 聊 这 个 E X P 的 问 题 。 对 于 在 这 方 面 比 较 有 经 验 有 见 解 的 读 者 ， 笔 者 诚 恳 的 请 求 不 吝 赐 教 ； 而 对 于 这 方 面 不 太 了 解 的 读 者 ， 希 望 这 篇 可 以 把 一 些 基 本 信 息 介 绍 给 大 家 。 2 .   漏 洞 分 析 漏 洞 分 析 K i l l . e x e 是 微 软 发 行 的 W i n d o w s 调 试 工 具 包 的 一 个 小 工 具 ， 用 于 终 止 一 个 或 多 个 进 程 ， 以 及 它 们 的 所 有 线 程 。 在 e x p l o i t - d b 中 提 到 的 包 含 漏 洞 的 k i l l . e x e 的 版 本 号 为 ： 6 . 3 . 9 6 0 0 . 1 7 2 9 8 。 在 安 装 W i n d o w s   D r i v e r   K i t   ( W D K ) 8 . 1 时 ， 会 自 动 安 装 该 版 本 的 k i l l . e x e 工 具 。 此 外 ， 在 6 . 1 . 7 6 5 0 . 0 版 本 的 k i l l . e x e 工 具 中 ， 同 样 存 在 类 似 的 问 题 。 该 版 本 的 k i l l . e x e 工 具 可 以 通 过 安 装 W D K   7 . 1 获 取 。 下 面 首 先 分 析 一 下 6 . 3 . 9 6 0 0 . 1 7 2 9 8 版 本 的 k i l l . e x e 的 漏 洞 函 数 。 K i l l . e x e 在 处 理 命 令 行 参 数 时 触 发 了 栈 溢 出 漏 洞 ， 可 以 向 栈 内 写 数 据 ： 该 漏 洞 函 数 的 内 部 逻 辑 也 较 为 简 单 ， 当 只 接 受 到 一 个 参 数 时 ， 可 以 概 述 为 ： 当 有 多 个 参 数 时 ， 用 一 个 循 环 把 上 述 内 容 进 去 ， 即 针 对 每 个 参 数 判 断 是 否 为 数 字 然 后 进 行 相 应 操 作 并 保 存 结 果 。 需 要 注 意 的 是 ， 原 函 数 的 内 容 要 比 这 种 表 述 复 杂 的 多 ， 该 图 只 是 示 意 图 ， 用 于 帮 助 读 者 理 解 该 函 数 的 所 做 工 作 。 下 面 仔 细 说 明 漏 洞 函 数 的 两 个 分 支 ： 左 侧 分 支 代 表 接 收 到 了 一 串 数 字 字 符 串 为 参 数 ， 则 计 算 该 字 符 串 所 代 表 的 数 值 。 其 中 ， v 1 为 字 符 串 起 始 地 址 ， v 7 为 最 终 的 计 算 结 果 。 4 8 为 ’ 0 ’ 的 a s c I I 码 值 ， * 1 0 表 示 乘 以 权 重 。 右 侧 分 支 表 示 接 收 到 了 一 串 字 符 串 ， 则 将 字 符 串 内 容 复 制 到 栈 上 。 其 中 ， v 1 为 字 符 串 起 始 地 址 ， v 5 为 指 向 某 栈 空 间 的 指 针 。 如 果 仔 细 研 究 的 话 ， 可 以 发 现 在 左 侧 分 支 中 同 样 存 在 一 个 漏 洞 ： v 7 存 在 整 数 溢 出 漏 洞 ， 汇 编 代 码 如 下 ：
上 部 分 用 于 判 断 字 符 串 的 下 一 位 是 否 为 数 字 ， 下 部 分 用 于 计 算 其 数 值 。 显 然 ， E A X 存 在 整 数 溢 出 的 问 题 。 但 是 ， 这 漏 洞 并 没 有 什 么 用 。 恭 喜 你 ， 获 得 恭 喜 你 ， 获 得 “ 认 真 的 代 码 阅 读 者 认 真 的 代 码 阅 读 者 ” 成 就 。 成 就 。 下 面 着 重 看 右 侧 分 支 也 存 在 一 个 漏 洞 ， 即 栈 溢 出 漏 洞 。 其 执 行 复 制 操 作 的 汇 编 指 令 如 下 ： 图 中 的 3 次 判 断 的 含 义 为 ： 该 字 符 是 否 为 空 格 ， 是 否 为 制 表 符 ， 是 否 为 空 ， 如 果 是 则 终 止 复 制 ； 否 则 继 续 复 制 下 一 个 字 符 。 当 笔 者 以 长 串 的 ’ A ’ 作 为 其 参 数 启 动 k i l l . e x e 之 后 ， 可 以 观 察 到 栈 被 覆 盖 的 情 况 ：
3 .   E X P 讨 论 讨 论 与 W i n   X P 相 比 ， W i n   7 环 境 更 加 复 杂 多 变 ， 所 以 本 节 将 E X P 相 关 的 讨 论 放 在 W i n   X P 环 境 下 。 首 先 ， 将 k i l l . e x e 程 序 复 制 到 W i n   X P 的 虚 拟 机 中 ， 然 后 考 虑 漏 洞 的 利 用 方 法 。 粗 略 的 归 纳 一 下 ， 常 见 的 栈 溢 出 漏 洞 的 利 用 方 式 有 3 种 ： 1 .   覆 盖 函 数 返 回 地 址 。 2 .   覆 盖 S E H 结 构 。 3 .   覆 盖 其 他 有 用 数 据 或 关 键 数 据 ， 如 对 象 以 及 虚 表 指 针 等 。 下 面 开 始 分 开 讨 论 k i l l . e x e 的 情 况 ， 并 试 图 找 出 可 行 的 可 用 方 式 。 3 . 1   覆 盖 返 回 地 址 覆 盖 返 回 地 址 在 W i n X P 环 境 下 ， 覆 盖 返 回 地 址 当 然 是 一 种 简 单 可 靠 地 利 用 ， 但 是 这 里 存 在 一 个 问 题 ： k i l l . e x e 是 有 s t a c k   c o o k i e 保 护 的 ， 即 有 / G S 标 记 ： 自 然 而 然 地 想 到 ， 有 没 有 办 法 过 掉 这 个 s t a c k   c o o k i e 。 首 先 ， 可 以 肯 定 的 是 ， 这 个 c o o k i e 并 非 是 静 态 的 值 。 进 一 步 的 ， 有 些 文 献 表 示 可 以 计 算 或 猜 测 这 个 c o o k i e 的 大 致 取 值 范 围 ， 以 减 少 / G S 的 保 护 能 力 ， 但 在 这 里 不 打 算 选 用 这 类 方 法 。 最 后 ， 由 于 k i l l . e x e 中 的 栈 溢 出 漏 洞 只 能 覆 盖 部 分 栈 中 的 内 容 ， 无 法 覆 盖 到 位 于 . d a t a 段 中 的 数 据 ， 所 以 修 改 c o o k i e 值 也 是 不 可 行 的 。 无 奈 之 下 ， 只 能 选 用 覆 盖 S E H 结 构 的 利 用 方 法 ， 当 然 这 也 是 一 种 有 效 绕 过 / G S 保 护 的 E X P 方 法 。 3 . 2   覆 盖 覆 盖 S E H 结 构 结 构 覆 盖 S E H 结 构 同 样 是 一 种 颇 为 有 效 的 利 用 手 法 。 但 是 这 里 同 样 存 在 着 一 个 问 题 ： k i l l . e x e 是 有 S a f e s e h 保 护 的 ， 即 有 / S a f e s e h 标 记 ：
此 外 ， 图 中 还 可 以 发 现 k i l l . e x e 开 启 了 C F G 保 护 ， 即 有 / g u a r d : c f 标 记 。 但 是 由 于 笔 者 的 分 析 环 境 是 w i n X P 系 统 ， 所 以 暂 时 不 考 虑 C F G 保 护 。 因 为 存 在 S a f e s e h 保 护 ， 所 以 E X P 变 得 更 加 麻 烦 。 绕 过 S a f e s e h 保 护 最 好 的 方 法 ， 就 是 不 使 用 覆 盖 S E H 结 构 的 E X P 技 巧 ， 而 是 直 接 去 覆 盖 函 数 返 回 地 址 或 其 他 关 键 栈 数 据 ， 而 这 显 然 是 不 可 行 的 。 考 察 被 k i l l . e x e 加 载 的 其 他 模 块 ， 发 现 全 部 都 有 / S a f e s e h 标 记 ， 这 就 使 得 通 过 未 启 用 / S a f e s e h 的 模 块 绕 过 S a f e s e h 变 得 不 可 行 。 不 过 ， 需 要 明 确 一 点 ， k i l l . e x e 在 w i n 7 环 境 下 是 自 动 开 启 D E P 和 A S L R 的 ， 截 图 如 下 ： 而 在 w i n X P 环 境 下 ， 并 没 有 开 启 D E P ： 至 于 为 何 在 w i n X P 环 境 下 ， 并 没 有 开 启 D E P 的 原 因 ， 笔 者 并 没 有 考 证 。 暂 不 考 虑 未 开 启 D E P 的 原 因 ， 既 然 k i l l . e x e 没 有 开 启 D E P 的 话 ， 那 么 只 要 保 证 异 常 处 理 函 数 不 在 任 意 模 块 之 中 ， 且 不 在 栈 中 ， 那 么 就
可 有 效 的 绕 过 S a f e s e h 。 下 面 ， 笔 者 尝 试 用 该 方 法 过 掉 S a f e s e h 保 护 。 首 先 ， 观 察 进 程 空 间 内 不 属 于 任 何 模 块 的 地 址 空 间 ： 以 上 地 址 都 是 不 可 取 的 ， 原 因 如 下 ： 如 果 打 算 让 k i l l . e x e 触 发 异 常 处 理 函 数 ， 必 须 赋 值 很 长 的 数 据 导 致 向 栈 之 后 的 不 可 写 地 址 写 入 数 据 ， 那 么 所 有 的 写 入 内 容 不 能 包 含 空 格 、 换 行 符 以 及 空 字 符 。 而 以 上 所 有 这 些 地 址 的 最 高 位 字 节 均 为 0 × 0 0 ， 这 个 字 节 将 终 止 栈 的 覆 盖 过 程 ， 原 因 见 第 1 节 中 的 分 析 。 此 外 ， 还 有 另 外 一 小 部 分 不 属 于 任 何 模 块 的 地 址 空 间 ： 在 这 一 部 分 地 址 空 间 中 ， 可 以 用 m e t a s p l o i t 中 的 工 具 查 找 p o p   p o p   r e t n 指 令 串 ， 其 结 果 如 下 ： 当 笔 者 尝 试 使 用 这 些 地 址 的 时 候 ， 发 现 这 些 地 址 无 法 与 A S C I I 码 或 者 G B K 码 对 应 。 这 里 捎 带 一 提 ， k i l l . e x e 是 可 以 接 受 G B K 编 码 的 字 符 （ 简 体 字 、 繁 体 字 等 ） ， 虽 然 这 可 以 扩 大 可 用 的 字 符 数 量 ， 但 并 没 有 什 么 帮 助 。 3 . 3   覆 盖 其 他 关 键 数 据 覆 盖 其 他 关 键 数 据 可 以 观 察 从 覆 盖 起 始 点 ， 到 s t a c k   c o o k i e 之 间 的 所 有 栈 空 间 ， 并 未 发 现 任 何 有 价 值 的 关 键 数 据 ， 即 便 将 其 完 全 覆 盖 成 错 误 数 据 ， 程 序 也 是 可 以 正 常 运 行 ， 并 在 退 出 漏 洞 函 数 时 清 理 了 包 含 错 误 数 据 的 栈 空 间 。 到 此 为 止 ， 笔 者 并 没 有 找 到 有 效 的 E X P 方 法 ， 暂 时 决 定 先 搁 置 此 版 本 的 k i l l . e x e ， 下 面 开 始 考 察 其 他 版 本 的 k i l l . e x e 工 具 。 4 .   另 一 个 版 本 的 另 一 个 版 本 的 k i l l . e x e 分 析 分 析 在 第 1 节 中 ， 笔 者 提 到 了 另 一 个 版 本 的 k i l l . e x e 工 具 ， 该 版 本 的 k i l l . e x e 工 具 同 样 有 G S 和 S a f e s e h 标 记 ， 无 D E P ， 但 也 没 有 g u a r d : c f 标 记 。
此 版 本 的 k i l l . e x e 工 具 在 栈 溢 出 时 的 关 键 代 码 与 第 2 节 分 析 的 内 容 略 有 不 同 ， 如 下 图 所 示 ： 上 图 中 ， 关 键 的 变 量 名 已 经 标 出 ， 分 别 是 s o u r c e 、 t e m p 和 d e s t i n a t i o n ， 这 三 个 变 量 的 含 义 正 如 其 名 称 所 示 。 此 版 本 的 k i l l . e x e 在 溢 出 时 ， 会 覆 盖 d e s t i n a t i o n 变 量 ， 从 而 使 得 可 以 对 覆 盖 的 内 存 地 址 和 内 容 进 行 很 小 限 度 的 控 制 。 但 这 是 否 可 以 导 致 有 效 的 E X P ， 就 留 给 有 兴 趣 的 读 者 自 己 分 析 吧 。 5 .   结 论 结 论 按 照 本 文 的 分 析 结 果 来 看 ， M i c r o s o f t 的 各 种 安 全 机 制 已 经 非 常 成 熟 ， 非 常 可 靠 ， 在 这 诸 多 的 安 全 防 护 机 制 之 下 ， M S 的 产 品 即 便 存 在 一 些 漏 洞 ， 也 无 法 实 现 其 有 效 利 用 ， 尤 其 针 对 传 统 的 简 单 单 一 漏 洞 。 当 然 ， 在 更 复 杂 的 情 况 和 环 境 之 中 ， 通 过 多 个 漏 洞 组 合 或 者 其 他 逻 辑 上 的 错 误 漏 洞 ， 也 确 实 存 在 一 些 可 被 利 用 的 漏 洞 。 而 对 于 非 M S 产 品 ， 那 就 另 当 别 论 了 。 此 外 由 于 笔 者 知 识 有 限 、 才 疏 学 浅 ， 笔 者 个 人 无 法 实 现 有 效 的 E X P 并 不 代 表 其 他 分 析 人 员 同 样 无 法 实 现 ， 在 这 里 笔 者 由 衷 地 期 待 能 够 得 到 这 些 高 人 的 指 点 。 对 于 不 太 熟 悉 本 文 内 容 的 读 者 ， 希 望 这 篇 能 带 来 一 些 启 发 和 帮 助 。 *   本 文 原 创 作 者 ： z z z 6 6 6 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理