搜索

[11245] 2017-04-17_Nebula漏洞利用包CVE-2016-0189漏洞利用分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-04-17_Nebula漏洞利用包CVE-2016-0189漏洞利用分析 N e b u l a 漏 洞 利 用 包 C V E - 2 0 1 6 - 0 1 8 9 漏 洞 利 用 分 析 原 创   兰 云 科 技 银 河   F r e e B u f   2 0 1 7 - 0 4 - 1 7 * 原 创 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 1 .   引 言 引 言 在 最 近 的 一 年 里 ，   漏 洞 利 用 工 具 包 ( E K / E x p l o i t   K i t ) 市 场 风 云 变 幻 。 2 0 1 6 年 六 月 初 ， 曾 经 极 为 猖 獗 的 A n g l e r   E K   销 声 匿 迹 ， N e u t r i n o   E K   迅 速 填 补 了 空 白 。 随 后 短 短 不 到 3 个 月 时 间 ， N e u t r i n o   E K   又 转 为 地 下 ， R I G   E K 继 而 成 为 最 流 行 的 漏 洞 利 用 工 具 包 。 今 年 3 月 初 ， R I G 又 淡 出 视 线 ， 而 迎 来 了 新 的 N e b u l a   E K 。 N e b u l a   E K 包 中 对 C V E - 2 0 1 6 - 0 1 8 9 的 漏 洞 利 用 ， 比 其 它 漏 洞 利 用 包 的 漏 洞 利 用 方 有 了 一 定 改 进 ， 这 里 进 行 一 下 深 入 分 析 。 所 用 工 具 : I E 1 1 ( 调 试 J a v a s c r i p t ) w i n d b g N e b u l a   E K   的 首 页 ， 如 下 图 所 示 。   不 难 看 出 ， 页 面 里 包 含 了 混 淆 过 的 J a v a s c r i p t 代 码 。 进 一 步 分 析 ， 这 些 代 码 是 否 有 种 似 曾 相 识 的 感 觉 ? 对 了 ， 代 码 的 混 淆 方 法 跟 落 日 漏 洞 利 用 工 具 包 ( S u n d o w n   E K ) 极 为 相 似 。 页 面 中 共 有 2 段 J a v a s c r i p t 代 码 ，   混 淆 方 法 相 同 。 第 一 段 J a v a s c r i p t 代 码 ， 去 掉 混 淆 后 ， 代 码 如 下 ,   不 难 看 出 ， 这 段 代 码 就 是 C V E - 2 0 1 6 - 0 1 8 9 的 漏 洞 利 用 。   关 于 C V E - 2 0 1 6 - 0 1 8 9 ， 网 上 已 有 一 些 分 析 报 告 ， 比 如 T h e o r i 的 分 析 [ 1 ] 。   然 而 这 些 分 析 报 告 ， 并 未 提 供 在 内 存 层 面 的 技 术 细 节 ， 使 得 读 者 总 有 种 知 其 然 ， 不 知 其 所 以 然 的 感 觉 。 本 文 试 图 利 用 w i n d b g 来 分 析 漏 洞 利 用 时 的 内 存 布 局 ， 使 得 读 者 对 该 漏 洞 利 用 有 更 深 刻 的 理 解 。 2 .   C V E - 2 0 1 6 - 0 1 8 9 的 关 键 知 识 点 的 关 键 知 识 点 C V E - 2 0 1 6 - 0 1 8 9 是 个 关 于 V B S c r i p t 的 漏 洞 。 V B S c r i p t   脚 本 引 擎 代 码 在 v b s c r i p t . d l l   中 。 2 . 1 .   V B S c r i p t 的 变 量 的 变 量 V B S c r i p t   的 内 存 变 量 占 用 0 × 1 0 个 字 节 ，   前 两 个 字 节 定 了 变 量 类 型 V A R T Y P E 。 常 见 类 型 定 义 如 下 表 所 示 [ 2 ] 。
我 们 可 以 在 V B S c r i p t 代 码 中 插 入 I s E m p t y ( ) 函 数 ， 然 后 在 w i n d b g 的 v b s c r i p t ! I s E m p t y ( )   函 数 上 设 置 断 点 来 观 察 内 存 [ 3 ] 。 图 1     调 试 用 V B S c r i p t 代 码 这 里 ， 0 a 5 6 0 1 9 8 就 是 s t r 对 象 ， 这 里   0 0 0 8 两 个 字 节 表 示 的 是 V A R T Y P E ， 根 据 表 可 知 ， 值 恰 好 为 v b S t r i n g ( V T _ B S T R   =   8 )   而 偏 移 0 × 8 处 存 放 的 就 是 字 符 串 地 址 ， 这 里 还 可 以 看 出 ， 字 符 串 是 U n i c o d e 存 放 的 。 2 . 2 .   V B S c r i p t 的 数 组 的 数 组 V B S c r i p t   的 数 组 的 定 义 如 下
当 访 问 数 组 元 素 时 ， V B S c r i p t 引 擎 会 调 用   A c c e s s A r r a y   函 数 来 计 算 元 素 的 存 放 地 址 。 试 着 用 w i n d b g   调 试 如 下 代 码 ,   在 v b s c r i p t ! A c c e s s A r r a y 处 下 断 点 : 堆 栈 中 0 a b 0 4 3 8 0 即 为 数 组 A 地 址 数 组 元 素 存 放 在   p v D a t a   ( 0 x 7 d f d 1 3 0 )   起 始 的 地 方 在   v b s c r i p t ! A c c e s s A r r a y + 0 x 9 d :   指 令 处 停 下       ( 不 同 版 本 这 个 偏 移 值 可 能 会 有 出 入 ) 这 条 指 令 非 常 关 键 ， 它 计 算 元 素 A ( 1 , 2 )   的 地 址 。   这 里 e s i   就 是 S A F E A R R A Y 的 地 址 ， 而 e s i + 0 c 是 p v D a t a 的 地 址 。 e a x 值 就 是 元 素 相 对 于 p v D a t a 的 偏 移 。 查 看 e a x 值 为 什 么 A ( 1 , 2 ) 的 偏 移 会 是 0 × 5 0 呢 。   V B S c r i p t 的 数 组 内 存 布 局 和 C 语 言 有 些 不 太 一 样 。 A 数 组 的 内 存 布 局 为   A ( 0 , 0 )   A ( 1 , 0 )   A ( 0 ,   1 ) ,   A ( 1 , 1 ) ,   A ( 0 ,   2 ) ,   A ( 1 , 2 ) ,     而 每 个 元 素 大 小 为 0 × 1 0 字 节 ( c b E l e m e n t s ) 。 因 此   A ( 1 , 2 )   的 偏 移 为 0 × 5 0 。 2 . 3 .   C V E - 2 0 1 6 - 0 1 8 9   漏 洞 原 理 初 探 漏 洞 原 理 初 探 C V E - 2 0 1 6 - 0 1 8 9   的 漏 洞 在 A c c e s s A r r a y   函 数 代 码 中 。 我 们 看 一 下 这 个 函 数 的 逻 辑 ：   这 个 函 数 在 根 据 索 引 计 算 偏 移 时 ， 如 果 索 引 是 V T _ I 2   或 者 V T _ I 4 时 ， 直 接 使 用 它 的 值 。 而 如 果 是 其 它 类 型 时 候 ， 将 会 调 用 r t V a r i a n t C h a n g e T y p e E x   函 数 来 计 算 索 引 值 。 如 果 索 引 是 J a v a S c r i p t 对 象 的 话 ， 将 会 调 用 索 引 对 象 的 v a l u e O f 函 数 来 获 取 索 引 的 值 。 这 似 乎 并 没 有 太 大 问 题 ， 然 而 我 们 看 一 下 漏 洞 利 用 脚 本 的 v a l u e O f 函 数
  除 了 返 回 值 ” 1 ” 因 为 ，   它 调 用 了 S u m g g l e F a g 函 数 查 看 该 函 数 的 代 码 可 以 发 现 ： 它 调 用 了 Z e r o i n e L 函 数 ， 而 该 函 数 将 数 组 重 新 定 义 成 了 C o d ( 1 , 1 )     （ k 1 = 1 ）     到 这 里 , 我 们 明 白 了 该 漏 洞 的 原 理 了 ， 在 A c c e s s A r r a y 中 计 算 索 引 值 的 时 候 ， 索 引 如 果 是 个 J a v a S c r i p t 对 象 ， 可 以 通 过 函 数 v a l u e o f 来 重 新 修 改 该 数 组 的 大 小 !     当 数 组 的 大 小 变 小 时 ， 将 会 导 致 访 问 越 界 。 3 .   C V E - 2 0 1 6 - 0 1 8 9   漏 洞 利 用 深 入 分 析 漏 洞 利 用 深 入 分 析 N e b u l a   E K 的 漏 洞 利 用 在 越 界 访 问 的 基 础 上 实 现 了 ： 1 . 泄 漏 V B S c r i p t 对 象 的 地 址 2 . 读 取 任 意 地 址 3 . 写 入 任 意 地 址 （ 受 限 ） 这 3 种 手 段 在 实 现 原 理 上 都 是 类 似 的 。 通 过 将 数 组 定 义   C o d 从 ( 1 , 2 0 0 0 ) ,   缩 小 到 ( 1 , 1 ) ， 从 而 在 A c c e s s A r r a y   函 数 中 实 现 了 越 界 访 问 。 同 时 ， 立 即 使 用 大 量 y ( i )     对 释 放 掉 的 内 存 重 新 进 行 占 位 。 由 于 y ( i ) 是 可 控 的 ， 如 果 越 界 访 问 到 y ( i ) 的 内 存 区 ， 即 可 控 制 对 内 存 的 访 问 。 下 面 我 们 利 用 w i n d b g 对 内 存 进 行 观 察 ， 分 析 1 . 泄 露 V B S c r i p t 对 象 地 址 的 情 形 。 需 要 注 意 的 是 ， 由 于 脚 本 中 有 大 量 数 组 操 作 ， 如 果 我 们 在 A c c e s s A r r a y 函 数 上 下 断 点 ， 可 能 会 断 下 很 多 次 。 这 里 介 绍 一 个 小 技 巧 : 先 将 断 点 用 b d 命 令 禁 掉 ， 在 想 断 下 的 V B S c r i p t   脚 本 前 加 入 M s g B o x 函 数 ， 当 M s g B o x 弹 出 后 ， 我 们 再 把 断 点 用 b e 命 令 恢 复 。 这 样 就 可 以 确 保 断 在 我 们 想 断 的 地 方 。 为 清 晰 起 见 ， 我 们 将 在 脚 本 中 将 a w . C o d ( 0 , 0 ) 设 成 0 × 1 1 2 2 3 3 4 4 。 利 用 该 技 巧 ， 我 们 在 v b s c r i p t ! A c c e s s A r r a y + 0 x 9 d 断 在   a w . C o d ( a r g 1 ,   2 )   =   s   / /   a r g 1 . v a l u e O f ( )   = =   1   ,   s   是 我 们 试 图 泄 露 的 对 象 地 址 这 行 越 界 访 问 （ 写 入 ） 处 。 断 下 时 ， 0 x 2 a 6 5 9 d 0   就 是   a w . C o d 数 组 的 p v D a t a   地 址 ， 0 3   0 0   两 个 字 节 是 v b L o n g   ( V T _ I 4 ) ,   而   4 4   3 3   2 2   1 1 恰 好 为 我 们 赋 的 值 。   前 面 已 经 分 析 过 a w . C o d ( a r g 1 , 2 ) ,   即   a w . C o d ( 1 , 2 ) ,   该 元 素 相 对 p v D a t a 的 偏 移 就 是 0 × 5 0 ,   由 于 a w . C o d 现 在 被 重 新 设 定 为 ( 1 , 1 ) ， 所 以   大 小 为 2 * 2 * 0 × 1 0 = 0 × 4 0 ,   也 就 是 说   a w C o d ( a r g 1 , 2 )   越 界 了 0 × 1 0 个 字 节 。 a w . C o d ( 1 , 2 )   的 地 址 为   2 a 6 5 9 d 0   +   0 × 5 0   =   0 x 2 a 6 5 a 2 0 。 而 从 地 址 0 x 2 a 6 5 a 1 c 起 （ 标 为 绿 色 的 部 分 ） 是 某 个 成 功 占 位 y ( i )   的 值 。 内 存 布 局 如 下 图 所 示 : 由 上 图 可 知 ， A w . c o d ( 1 , 2 )   正 好 与 y ( i ) 的 第 四 个 字 节 开 始 的 部 分 重 叠 。  
了 解 了 这 点 。 上 面 这 段 代 码 就 不 难 理 解 了 – 遍 历   y 的 所 有 元 素 ， 找 到 与 A w . c o d ( 1 , 2 )   重 叠 的 那 个 y ( i ) .     由 于 s   被 写 入 了 A w . c o d ( 1 , 2 ) ，   即   y i ( i )   的 第 四 个 字 节 开 始 的 部 分 。 那 么 M i d ( y ( i ) ,   3 ,   1 ) 正 好 是 第 四 个 字 节 开 始 的 2 个 字 节 ( 注 意 M i d 函 数 下 表 是 从   1   开 始 的 ) ， 它 存 放 的 是 对 象 的 类 型 的 值 。   4 个 字 节 之 后 ， 则 是 对 象 的 地 址 。 这 样 ， 只 须 读 取 y ( i ) 的 内 容 ， 就 可 以 获 取 对 象 的 地 址 了 。 概 括 起 来 ， A w . c o d   和   某 个 y ( i )     重 叠 ， 我 们 可 以 通 过 A w . c o d 的 越 界 操 作 来 将 数 据 写 入 可 控 的 y ( i ) 里 。 下 面 讨 论 情 形 2   读 取 任 意 地 址   这 次 我 们 在 占 位 的 内 存 中 ， 成 功 构 造 如 下 数 据 ： A w . c o d ( 1 , 2 )   将 越 界 访 问 到   我 们 构 造 的 占 位 内 存   地 址 0 x 2 f 7 2 8 7 8 。 0 8   0 0   为 v b S t r i n g 类 型 V T _ B S T R ，   而 4 8   c 2   1 b   0 1       四 个 字 节 则 为 试 图 读 取 的 地 址 。 当 执 行   o   =   a w . C o d ( a r g 1 , 2 ) 时 ，   V B S c r i p t 引 擎 将 会 把 地 址 0 x 2 f 7 2 8 7 8 作 为 一 个 v b S t r i n g 对 象 来 处 理 。 而 4 8   c 2   1 b   0 1       四 个 字 节 则 作 为 字 符 串 内 容 的 地 址 来 处 理 。 读 取 该 字 符 串 的 内 容 则 获 取 了   4 8   c 2   1 b   0 1         地 址 里 存 放 的 内 容 。 最 后 我 们 看 一 下 写 入 任 意 地 址 （ 受 限 ） 的 情 形 。   写 入 与 读 取 原 理 大 致 一 样 。 这 里 只 是 将 C S n g ( 0 )   赋 值 给 了   a w . C o d ( 1 , 2 ) ， 从 而 导 致   C S n g   的 类 型 值   4 ( V T _ R 4 )   被 写 入 了 指 定 地 址 。 这 里 脚 本 并 未 实 现 任 意 值 的 写 入 ， 然 而 并 不 影 响 漏 洞 的 利 用 。 最 后 我 们 看 一 下 ， 整 个 漏 洞 利 用 是 如 何 工 作 的 : 1 ） 首 先 ， 创 建 一 个   对 象 ， 通 过 上 述 的 方 法 ( 1 )   泄 露 该 对 象 的 地 址 ; 2 ）   在 该 对 象 偏 移 为 8 的 地 方 ， 利 用 方 法 ( 2 ) 读 取 内 存 获 取 C S e s s i o n 对 象 指 针 ; 3 ） 然 后 在 C S e s s i o n 对 象 偏 移 为 4 的 地 方 ， 获 取 C O l e S c r i p t   对 象 ; 4 ） 而 C O l e S c r i p t   对 象 0 × 1 7 4 的 地 方 则 存 放 了 S a f e t y O p t i o n ， 也 就 是 所 谓 的 上 帝 模 式 ( G o d M o d e ) 标 记 。 利 用 上 述 方 法 ( 3 ) 将 其 值 修 改 为 4 ， 从 而 成 功 开 启 上 帝 模 式 。 4 .   一 个 有 趣 的 一 个 有 趣 的 D L L 劫 持 技 巧 劫 持 技 巧 分 析 本 来 到 这 里 可 以 结 束 了 ， 然 而 我 们 在 N e b u l a 的 漏 洞 利 用 包 里 发 现 了 一 个 有 趣 的 D L L 劫 持 技 巧 。 尽 管 在 前 面 ， 上 帝 模 式 已 经 成 功 开 启 了 ， 当 I E 的 保 护 模 式 开 启 时 （ 默 认 是 开 启 的 ） ， V i s t a 以 后 的 版 本 在 执 行 S h e l l . A p p l i c a i o n 对 象 的 S h e l l E x e c u t e   函 数 时 ，   会 弹 出 一 个 如 下 的 对 话 框 ( 除 非 被 加 载 的 程 序 在 E l e v a t i o n P o l i c y 中 定 义 了 静 默 加 载 ， 比 如 n o t e p a d . e x e ) ， 向 用 户 询 问 是 否 允 许 。 正 是 由 于 这 个 原 因 ， 一 些 漏 洞 利 用 包 选 择 了 仅 在 X P 系 统 上 对 C V E - 2 0 1 6 - 0 1 8 9   进 行 利 用 。   N e b u l a   E K 采 用 了 一 个 B l a c k H a t   2 0 1 4 [ 2 ] 上   公 布 的 技 巧 来 规 避 这 个 问 题 。 I E 浏 览 器 在 创 建 S h e l l . A p p l i c a t i o n   对 象 时 ， 会 加 载 % s y s t e m r o o t % s y s t e m 3 2 s h e l l 3 2 . d l l 。 通 常 情 况 下 % s y s t e m r o o t % 为 c : w i n d o w s 目 录 。 然 而 ， 攻 击 者 可 以 通 过 如 下 方 式 进 行 D L L 劫 持 攻 击 。
1 ） 在 % t e m p %   目 录 下 创 建 s y s t e m 3 2 目 录 2 ） 在 上 面 创 建 的 目 录 下 生 成 一 个 假 的 s h e l l 3 2 . d l l 文 件 ， 用 来 加 载 需 要 加 载 的 程 序 。 N e b u l a   E K   在 V B S c r i p t 脚 本 中 会 生 成 一 个 3 K 左 右 的 文 件 。 3 ） 在 脚 本 创 建 S h e l l . A p p l i c a t i o n 对 象 之 前 ， 利 用 W S c r i p t . S h e l l   来   修 改   % s y s t e m 3 2 % 环 境 变 量 ， 指 向 1 ) 创 建 的 目 录 4 ） 创 建 S h e l l . A p p l i c a t i o n   对 象 ， 从 而 自 动 加 载   假 的 s h e l l 3 2 . d l l 文 件 ， 达 到 执 行 文 件 的 目 的 。   相 应 的 代 码 片 段 如 下 。   需 要 指 出 的 是 , 通 过 这 种 方 式 加 载 的 进 程 是 低 完 整 性 ( L o w   I n t e g r i t y ) 的 。 通 常 被 加 载 的 程 序 还 需 要 通 过 本 地 漏 洞 来 进 一 步 提 权 。 5 .   总 结 总 结 N e b u l a   E K   通 过 C V E - 2 0 1 6 - 0 1 8 9 的 一 个 漏 洞 ， 实 现 了 对 任 意 内 存 的 读 写 ， 从 而 开 启 了 上 帝 模 式 。 并 且 配 合 一 个 D L L 劫 持 技 巧 ， 达 到 了 绕 过 I E 保 护 模 式 ， 静 默 执 行 任 何 文 件 的 目 的 。 参 考 文 献 [ 1 ]   P A T C H   A N A L Y S I S   O F   C V E - 2 0 1 6 - 0 1 8 9 .   h t t p : / / t h e o r i . i o / r e s e a r c h / c v e - 2 0 1 6 - 0 1 8 9 [ 2 ]   h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / a a 2 6 3 4 0 2 ( v = v s . 6 0 ) . a s p x [ 3 ]   启 明 星 辰 C V E - 2 0 1 4 - 6 3 3 2 分 析 报 告 。 h t t p : / / w w w . v e n u s t e c h . c o m . c n / U s e r F i l e s / 2 0 1 4 1 2 1 0 _ % E 6 % 9 7 % A 0 % E 9 % 9 C % 8 0 % E 6 % 8 B % 8 5 % E 5 % B F % 8 3 % E 6 % B D % 9 C % E 8 % 9 7 % 8 F % E 4 % B A % 8 6 1 8 % E 5 % B 9 % B 4 % E 7 % 9 A % 8 4 % E 5 % B E % A E % E 8 % B D % A F % E 6 % B 5 % 8 F % E 8 % A 7 % 8 8 % E 5 % 9 9 % A 8 % E 8 % B F % 9 C % E 7 % A 8 % 8 B % E 4 % B B % A 3 % 2 0 % E 7 % A 0 % 8 1 % E 6 % 8 9 % A 7 % E 8 % A 1 % 8 C % E 6 % B C % 8 F % E 6 % B 4 % 9 E . p d f [ 4 ]   W r i t e   O n c e ,   P w n   A n y w h e r e . h t t p s : / / w w w . b l a c k h a t . c o m / d o c s / u s - 1 4 / m a t e r i a l s / u s - 1 4 - Y u - W r i t e - O n c e - P w n - A n y w h e r e . p d f * 原 创 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理