搜索

[11918] 2017-10-22_IE11浏览器0day漏洞（CVE-2015-2425）UAF分析

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-10-22_IE11浏览器0day漏洞（CVE-2015-2425）UAF分析 I E   1 1 浏 览 器 0 d a y 漏 洞 （ C V E - 2 0 1 5 - 2 4 2 5 ） U A F 分 析 p w d m e   F r e e B u f   2 0 1 7 - 1 0 - 2 2 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： p w d m e ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 是 是 泄 露 出 来 的 一 个 泄 露 出 来 的 一 个 的 的 漏 洞 ， 影 响 了 漏 洞 ， 影 响 了 I E 1 1 及 之 前 的 版 本 。 在 一 及 之 前 的 版 本 。 在 一 封 封 高 层 收 到 的 来 自 高 层 收 到 的 来 自 安 全 公 司 的 信 件 中 被 发 现 。 安 全 公 司 的 信 件 中 被 发 现 。 公 司 的 研 公 司 的 研 究 者 在 信 中 向 究 者 在 信 中 向 提 供 了 对 于 提 供 了 对 于 W i n d o w s   7 / 8 . 1 最 新 版 的 最 新 版 的 I E 1 1 的 的 代 码 。 但 代 码 。 但 并 没 有 并 没 有 购 买 ， 所 以 只 泄 露 了 购 买 ， 所 以 只 泄 露 了 ， 并 没 有 攻 击 代 码 。 ， 并 没 有 攻 击 代 码 。 环 境 环 境 测 试 环 境 是 3 2 位 ， I E 版 本 是 I E 1 1 。 p o c : 把 I E 1 1 附 加 到 上 ， 然 后 运 行 ， I E 1 1 崩 溃 到 一 个 无 法 读 取 的 地 址 : C V E - 2 0 1 5 - 2 4 2 5 H a c k i n g   t e a m I E 1 1 0 d a y H a c k i n g   T e a m V e c t r a   N e t w o r k s V e c t r a   N e t w o r k s H a c k i n g   T e a m p o c H a c k i n g   T e a m p o c w i n 8 . 1 p o c . h t m l w i n d b g p o c . h t m l
w i n d b g + I D A 分 析 分 析 由 于 崩 溃 在 一 个 不 可 访 问 的 地 址 ， 不 好 确 定 之 前 的 指 令 ， 这 时 需 要 用 到 与 栈 回 溯 相 关 的 命 令 ， 就 是 中 的 一 系 列 命 令 : 每 一 行 描 述 当 前 的 一 个 栈 帧 ， 最 上 面 的 一 行 描 述 的 是 当 前 指 令 的 返 回 地 址 : 由 此 可 知 崩 溃 的 返 回 地 址 是 ， 在 中 ， 看 当 前 的 也 可 以 得 出 同 样 的 结 论 : 为 了 看 到 函 数 是 怎 么 调 用 的 ， 需 要 用 到 命 令 ， 使 用 回 到 崩 溃 栈 的 第 一 层 ， 也 就 是 上 层 函 数 调 用 时 的 状 态 : w i n d b g k 6 3 d f c f 3 c J a v a s c r i p t F u n c t i o n : : C a l l F u n c t i o n < 1 > e s p . f r a m e . f r a m e   / c   1
看 到 回 到 了 上 层 函 数 中 ， 的 值 为 崩 溃 处 的 返 回 地 址 ， 在 反 汇 编 窗 口 可 以 看 到 上 层 函 数 ， 也 可 以 用 命 令 : 产 生 崩 溃 的 地 方 是 的 函 数 ， 调 用 的 是 处 的 函 数 指 针 ， 在 中 看 一 下 的 定 义 : e i p u 6 3 d f c f 3 9 c a l l [ e b p - 1 C h ] I D A C a l l F u n c t i o n < 1 >
这 个 函 数 是 方 式 调 用 的 ， 是 一 种 快 速 调 用 方 式 ， 规 定 将 前 两 个 参 数 由 寄 存 器 和 来 传 递 ， 其 余 参 数 还 是 通 过 堆 栈 传 递 ( 从 右 到 左 ) ， 不 同 编 译 器 编 译 的 程 序 规 定 的 寄 存 器 不 同 。 在 平 台 上 ， 使 用 和 寄 存 器 。 往 前 找 更 改 内 容 的 指 令 ， 只 有 处 的 指 令 : 是 函 数 的 第 二 个 参 数 ， 也 就 是 一 个 函 数 指 针 ， 所 以 处 的 指 令 是 调 用 了 函 数 指 针 所 指 向 的 函 数 ， 这 样 的 话 ， 还 需 要 向 上 层 看 ， 到 底 是 什 么 样 的 函 数 指 针 ， 回 到 上 一 层 函 数 : _ _ f a s t c a l l _ _ f a s t c a l l e c x e d x I n t e l   3 8 6 E C X E D X e b p - 1 C h 6 3 d f c e c 6 m o v e d x 6 3 d f c f 3 9
看 到 来 源 是 ， 而 的 来 源 是 ， 来 源 于 下 面 一 句 : 看 一 下 这 个 函 数 的 定 义 : e d x [ e a x + 0 C h ] e a x [ e b x + 4 ] e b x
为 了 解 决 类 成 员 调 用 中 t h i s 指 针 传 递 而 规 定 的 ， 要 求 把 指 针 放 在 特 定 寄 存 器 中 ， 该 寄 存 器 由 编 译 器 决 定 。 使 用 。 所 以 这 里 里 的 指 针 就 是 指 针 。 梳 理 一 下 这 里 的 过 程 : 推 测 这 里 调 用 了 某 个 对 象 的 成 员 函 数 ， 而 这 个 对 象 是 对 象 。 弄 清 楚 后 我 们 回 到 崩 溃 点 所 在 的 函 数 内 ， 选 择 在 处 下 断 点 ， 断 点 会 多 次 触 发 ， 触 发 5 次 后 ， 停 下 ， 步 入 函 数 看 : _ _ t h i s c a l l _ _ t h i s c a l l t h i s V C e c x e c x t h i s J a v a s c r i p t F u n c t i o n c a l l   [ e b p - 1 C h ]
在 处 的 后 ， 就 会 变 成 一 段 已 经 释 放 内 存 的 地 址 ， 看 到 这 句 的 指 令 跳 到 了 指 向 的 值 ， 把 这 段 函 数 汇 编 看 一 下 : 里 存 放 的 应 该 是 的 返 回 值 ， 这 次 在 这 个 函 数 上 下 断 点 再 次 调 试 ， 会 触 发 六 次 断 点 ， 在 返 回 前 调 用 了 将 置 为 了 不 可 访 问 的 地 址 : 看 看 ， 这 次 还 在 调 用 上 下 断 点 ， 六 次 断 点 后 进 入 ， 发 现 里 面 还 有 一 个 改 变 了 的 值 ， 然 后 还 有 : 6 3 e 0 6 3 1 b c a l l e a x j m p e a x e a x N a t i v e C o d e G e n e r a t o r : : C h e c k C o d e G e n N a t i v e C o d e G e n e r a t o r : : C h e c k C o d e G e n D o n e e a x N a t i v e C o d e G e n e r a t o r : : C h e c k C o d e G e n D o n e N a t i v e C o d e G e n e r a t o r : : C h e c k C o d e G e n C h e c k C o d e G e n D o n e c a l l e a x m o v   e a x , e d i
再 次 用 相 同 的 方 式 调 试 ， 这 次 进 入 看 看 ， 这 个 函 数 如 下 : 的 语 句 改 变 了 : 这 个 函 数 返 回 后 有 一 个 的 指 令 ， 但 这 里 值 也 已 经 是 返 回 后 的 值 了 ， 看 来 还 要 追 踪 ， 看 一 下 函 数 : S c r i p t F u n c t i o n : : U p d a t e T h u n k E n t r y P o i n t 6 3 e 0 6 6 0 4 m o v e a x m o v   e a x , e s i e d i e a x e d i C h e c k C o d e G e n D o n e
是 作 为 参 数 传 入 的 ， 并 且 在 函 数 内 没 有 被 改 变 ， 那 么 还 要 往 回 追 踪 ， 经 过 回 溯 ， 从 函 数 开 头 开 始 跟 ， 由 于 中 间 还 有 跳 转 ， 所 以 的 值 还 会 改 变 ， 跟 到 变 成 崩 溃 时 的 返 回 地 址 时 可 以 得 出 : e d i U p d a t e T h u n k E n t r y P o i n t C h e c k C o d e G e n D o n e e d i e d i
那 么 还 需 要 跟 踪 一 下 ， 可 以 看 到 来 自 ， 而 来 自 : 所 以 中 是 的 第 一 个 参 数 : e s i e a x e a x e c x e c x C h e c k C o d e G e n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理