搜索

[12362] 2018-02-15_GDB调试CVE-2018-5711PHP-GD拒绝服务漏洞

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2018-02-15_GDB调试CVE-2018-5711PHP-GD拒绝服务漏洞 G D B 调 试 C V E - 2 0 1 8 - 5 7 1 1   P H P - G D 拒 绝 服 务 漏 洞 x i a o y i n g l i c a i   F r e e B u f   2 0 1 8 - 0 2 - 1 5 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： x i a o y i n g l i c a i ， 属 于 ， 属 于 F r e e b u f 原 创 奖 励 计 划 ， 禁 止 转 载 原 创 奖 励 计 划 ， 禁 止 转 载 下 载 、 编 译 下 载 、 编 译 P H P 源 码 源 码 从 g i t h u b 的 P H P - s r c 克 隆 下 含 有 漏 洞 的 版 本 ， 最 好 采 取 7 . 0 以 上 版 本 ， 编 译 时 候 会 比 较 简 单 ， 本 次 选 用 P H P 7 . 1 . 9 。 编 译 环 境 为   阿 里 云   U b u n t u   1 6 . 0 4   L T S 由 于 下 载 的 源 码 是 没 有 c o n f i g u r e 文 件 的 ， 首 先 要 编 译 b u i l d c o n f 文 件 可 以 使 用 - h 选 项 看 到 帮 助 为 了 方 便 快 速 编 译 ， 我 编 写 了 一 个 脚 本 。   因 为 我 们 要 来 调 试 g d ， 所 以 要 加 上   w i t h - g d 配 置 好 后 一 般 会 有 错 误 提 示 ， 如 果 无 错 误 提 示 可 以 使 用   m a k e   - j 2   来 编 译 源 码 。 由 于 我 采 用 的 是 阿 里 云 单 核 主 机 ， 所 以 使 用 j 2 参 数 。 检 测 安 装 情 况 可 以 看 到 目 前 P H P 和 g d 库 已 经 正 常 安 装 。 安 装 安 装 G D B G U I 为 了 方 便 我 们 的 调 试 ， 我 们 安 装 一 个 很 方 便 的 G D B G U I ， 具 体 的 网 址 可 以 G O O G L E 一 下 。   快 速 安 装 的 命 令 为 以 后 我 们 可 以 运 行 g d b g u i 来 进 行 远 程 调 试 。 记 得 加 上 — a u t h 选 项 ， - r 选 项 开 启 外 网 访 问 。 g i t   c l o n e   - - b r a n c h   P H P - 7 . 1 . 9   h t t p s : / / g i t h u b . c o m / p h p / p h p - s r c C l o n i n g   i n t o   ' p h p - s r c ' . . . r e m o t e :   C o u n t i n g   o b j e c t s :   7 2 5 5 7 5 ,   d o n e . r e m o t e :   C o m p r e s s i n g   o b j e c t s :   1 0 0 %   ( 3 4 / 3 4 ) ,   d o n e . r e m o t e :   T o t a l   7 2 5 5 7 5   ( d e l t a   1 1 ) ,   r e u s e d   1 2   ( d e l t a   3 ) ,   p a c k - r e u s e d   7 2 5 5 3 8 R e c e i v i n g   o b j e c t s :   1 0 0 %   ( 7 2 5 5 7 5 / 7 2 5 5 7 5 ) ,   3 0 1 . 7 2   M i B   |   1 1 . 9 6   M i B / s ,   d o n e . R e s o l v i n g   d e l t a s :   1 0 0 %   ( 5 6 2 8 8 3 / 5 6 2 8 8 3 ) ,   d o n e . C h e c k i n g   c o n n e c t i v i t y . . .   d o n e . . / b u i l d c o n f   - - f o r c e . / c o n f i g u r e   - h # ! / b i n / s h m a k e   d i s t c l e a n . / b u i l d c o n f   - - f o r c e . / c o n f i g u r e                   - - e n a b l e - m a i n t a i n e r - z t s                   - - e n a b l e - d e b u g                   - - e n a b l e - c l i                   - - w i t h - g d                   " $ @ " s a p i / c l i / p h p   - v P H P   7 . 1 . 9   ( c l i )   ( b u i l t :   F e b     2   2 0 1 8   1 1 : 2 8 : 4 8 )   (   Z T S   D E B U G   ) C o p y r i g h t   ( c )   1 9 9 7 - 2 0 1 7   T h e   P H P   G r o u p Z e n d   E n g i n e   v 3 . 1 . 0 ,   C o p y r i g h t   ( c )   1 9 9 8 - 2 0 1 7   Z e n d   T e c h n o l o g i e s p i p   i n s t a l l   g d b g u i s c r e e n   g d b g u i   - r   - - a u t h     V i e w   g d b g u i   a t   h t t p : / / 0 . 0 . 0 . 0 : 5 0 0 0 e x i t   g d b g u i   b y   p r e s s i n g   C T R L + C
开 始 调 试 开 始 调 试 运 行 后 P H P 后 可 以 发 现 触 发 漏 洞 然 后 我 们 来 部 署 一 下 P O C 环 境 在 命 令 行 输 入 参 数   开 始 执 行 根 据 之 前 的 问 题 分 析 ， 我 们 定 位 到 问 题 出 现 在 源 码 / u s r / s r c / p h p - s r c / e x t / g d / l i b g d / g d _   g i f _ i n . c   中 我 们 在 左 侧 输 入 地 址 ， 并 在   g d I m a g e C r e a t e F r o m G i f C t x   函 数 放 置 断 点 运 行 到 断 点 处 观 察 一 下 上 下 文 目 前 并 没 什 么 特 别 。 一 路 运 行 到   第 2 1 4 行   ， 前 面 全 部 是 G I F 头 和 c o l o r   t a b l e 的 解 析 ， 如 果 文 件 结 构 不 合 理 ， 会 返 回 并 提 示   i n v a l i d   G I F   f i l e . 可 以 看 到 目 前 处 理 字 符 是   逗 号   （ 0 x 2 c ） ， 如 果 我 们 查 看   p o c . g i f   的 话 。 已 经 处 理 到 了 2 0 位 置 ， / u s r / s r c / p h p - s r c / s a p i / c l i / p h p   r u n   / r o o t / p o c . p h p B r e a k p o i n t   3 ,   p h p _ g d _ g d I m a g e C r e a t e F r o m G i f C t x   ( f d = 0 x 7 f f f f 4 0 7 7 0 0 0 )   a t   / u s r / s r c / p h p - s r c / e x t / g d / l i b g d / g d _ g i f _ i n . c : 1 3 5
继 续 向 后 读 取 9 个   b y t e s 之 后 到 达   2 9 h   位 置 。 后 面 的 0 3   F F 为 触 发 漏 洞 的 第 一 处 关 键 。 继 续 向 下 执 行 ， 进 入 到 R e a d I m a g e 方 法 ， 到 代 码   5 6 8 行 ， 读 取 了 一 个 b y t e   （ 0 3 ）   去 与   M A X _ L W Z _ B I T S   做 比 较 ， 只 有 小 约 等 于 M A X _ L W Z _ B I T S 的 时 候 才 会 继 续 进 行 。 M A X _ L W Z _ B I T S 定 义 为 1 2 .
一 路 步 入 L W Z R e a d B y t e _ 方 法 ,   第 一 次 调 用 是 在 做 一 些 初 始 化 操 作 。 随 后 进 入 w h i l e   l o o p 中 , f l a g 为 0 且 s d - > f r e s h 为 t r u e ，   进 入 第 4 5 8 行 。   （ 如 果 为 了 方 便 可 以 直 接 在 这 里 下 断 点 。   随 后 进 入 真 正 触 发 漏 洞 的 d o   w h i l e   l o o p ） 此 个 d o   w h i l e   l o o p 的 终 止 条 件 为 s d - > f i r s t c o d e   ! =   s d - > c l e a r _ c o d e   , 其 中   s d - > c l e a r _ c o d e   =   8   ,   s d - > c o d e s i z e   =   4   ,   * Z e r o D a t a B l o c k P   =   0   。
f i r s t   c o d e 为 G e t C o d e 的 返 回 值 。 当 f i r s t _ c o d e 为 8 的 时 候 ， 此 处 循 环 就 会 继 续 进 行 步 入 G e t C o d e   首 先 是 一 系 列 判 断 数 据 长 度 的 对 循 环 终 止 条 件 的 判 断 。 此 处 发 现 ， 如 果   s c d - > d o n e   为 t r u e 时 候 会 返 回 - 1   ， 同 时 结 束 外 层 d o   w h i l e   l o o p 。 接 下 来 走 到 了 第 3 9 8 行 ， 此 处 为 本 次 漏 洞 的 第 一 现 场 ， 由 于 c o u n t 为 u n s i g n e d   c h a r ， 而 G e t D a t a B l o c k   读 取 文 件 完 毕 后 会 返 回 - 1 。   而 c o u n t 不 会 被 至 于 - 1 。 截 止 至 此 ， 其 他 的 大 多 文 章 都 分 析 到 这 里 。 我 对 G I F 的 构 造 和 具 体 的 问 题 成 因 还 是 很 感 兴 趣 ， 所 以 我 们 在 深 入 一 层 ， 结 合 G I F 的 构 造 ， 探 索 造 成 问 题 的 根 源 。 水 平 有 限 ， 如 果 有 问 题 请 尽 情 指 正 步 入 G e t D a t a B l o c k _   方 法 。   继 续 步 入 R e a d O K ，   c t x - > g e t B u f   通 过 一 个 动 态 指 针 调 用 到   f i l e G e t b u f   方 法 。 f i l e G e t b u f   中 会   f r e a d   方 法 读 取 文 件 内 内 容 。 s i z e _ t   f r e a d   (   v o i d   * b u f f e r ,   s i z e _ t   s i z e ,   s i z e _ t   c o u n t ,   F I L E   * s t r e a m )   ;
对 参 数 进 行 分 析 。   b u f 为 存 储 数 据 的 目 标 ，   s i z e 为 1 ,   c o u n t 为 1 ， 最 后 一 个 为 数 据 源 。 即 是 此 处 从 s t r e a m 中 读 取 1 个 1 b y t e 数 据 到 b u f f e r 中 。   并 返 回 成 功 读 取 的 大 小 。 此 处 我 们 可 以 看 到   f c t x - > f   即 将 被 读 取 的 为   f f   。 执 行 后   返 回 数 值 为 1 .   b u f 中 第 一 个 b y t e 为   f f .   回 到   G e t D a t a B l o c k 领 空 之 后 的 s t a c k 状 态 为   c o u n t   =   2 5 5   （ f f ） 进 入 下 一 个 i f 条 件 ， 再 次 进 入   f i l e G e t b u f   其 中   s i z e 为   2 5 5 .   读 取 的 内 容 即 为   f f   后 面 的   垃 圾 数 据 载 入 位 置 为   之 前   f f 所 在 位 置 （ 0 x 7 f f f f f f e 9 8 7 7 ） + 2 5 5   =   0 x 7 f f f f f f f 9 b 6 2 再 次 回 到 G e t D a t a B l o c k 领 空   此 时 c o u n t 为   2 5 5 （ 0 x f f ） ，   b u f 中 储 存 的 是 随 后 的 G I F 中 的 数 据 （ 0 x 8 8 ） 。 一 路 读 取 数 据   直 到   s c d - > b u f   装 满 我 们 构 造 的 数 据 。 继 续 执 行 若 干 次 后 进 入 了 死 循 环 ， 触 发 漏 洞 。
对 跳 出 循 环 条 件 进 行 分 析 ， 除 了 其 中 一 个 跳 出 条 件 为 异 常 处 理 外 ， 另 外 两 处 1 .   L i n e   3 9 8 :   s c d - > d o n e   =   T R U E ;   这 个 理 论 上 来 说 应 该 是 文 件 读 取 完 成 后 ， 由 G e t D a t a B l o c k 返 回 - 1 从 而 退 出 循 环 ， 但 是 本 次 漏 洞 根 源 即 为 c o u n t 无 法 为 负 值 ， 因 此 不 可 行 2 .   L i n e   4 1 1 :   r e t   | =   ( ( s c d - > b u f [ i   /   8 ]   &   ( 1   < <   ( i   %   8 ) ) )   ! =   0 )   < <   j ;   此 处 提 取 了 b u f 中 的 数 据 的 一 个 b y t e 中 的 第 一 位 。   如 在 我 们 p o c . g i f 中 均 为 0 x 8 8 ，   每 次 r e t 运 算 结 果 即 为 8 。 而 s d - > c l e a r _ c o d e 即 为 8   从 而 导 致 无 法 退 出 循 环 。 我 们 也 可 以 尝 试 ， 如 果 我 们 使 用 7 7 替 换 P O C . g i f 中 的 8 8 后 ， 并 无 法 触 发 漏 洞 。 因 为 r e t 处 将 取 值 为 7 ， 从 而 满 足   s d - > f i r s t _ c o d e   ! =   s d - > c l e a r _ c o d e 。   因 此 精 心 构 造 的 p o c 可 以 在 利 用 条 件 1 的 基 础 上 ， 构 造 满 足 条 件 2 的 情 况 即 可 触 发 漏 洞 。 修 补 方 法 修 补 方 法 可 以 看 到 ， 官 网 对 本 漏 洞 的 修 补 即 为 将 c o u n t 的 类 型 变 更 为 i n t 。   即 保 证 当 文 件 读 取 完 成 后 可 以 退 出 循 环 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： x i a o y i n g l i c a i ， 属 于 ， 属 于 F r e e b u f 原 创 奖 励 计 划 ， 禁 止 转 载 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理