搜索

[14368] 2019-07-19_深入分析macOSCVE-2019-8507漏洞

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2019-07-19_深入分析macOSCVE-2019-8507漏洞 深 入 分 析 m a c O S   C V E - 2 0 1 9 - 8 5 0 7 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 7 - 1 9 0 x 0 0   写 在 前 面 的 话 写 在 前 面 的 话 2 0 1 9 年 年 3 月 月 2 5 日 ， 苹 果 发 布 了 日 ， 苹 果 发 布 了 m a c O S   M o j a v e   1 0 . 1 4 . 4 和 和 i O S   1 2 . 2 。 这 两 个 版 本 修 复 了 大 量 的 安 全 漏 洞 ， 其 中 包 。 这 两 个 版 本 修 复 了 大 量 的 安 全 漏 洞 ， 其 中 包 括 括 Q u a r t z C o r e （ 即 （ 即 C o r e A n i m a t i o n ） 中 的 ） 中 的 C V E - 2 0 1 9 - 8 5 0 7 。 关 于 苹 果 更 新 的 详 细 信 息 ， 可 以 参 考 这 篇 【 公 告 】 。 关 于 苹 果 更 新 的 详 细 信 息 ， 可 以 参 考 这 篇 【 公 告 】 （ 点 击 底 部 阅 读 原 文 查 看 ） 。 （ 点 击 底 部 阅 读 原 文 查 看 ） 。 在 这 篇 文 章 中 ， 我 们 将 对 m a c O S 中 的 漏 洞 C V E - 2 0 1 9 - 8 5 0 7 进 行 详 细 分 析 。 0 x 0 1   漏 洞 概 述 漏 洞 概 述 Q u a r t z C o r e ， 也 就 是 C o r e A n i m a t i o n ， 它 是 m a c O S 和 i O S 用 来 创 建 动 画 场 景 的 图 形 框 架 。 C o r e A n i m a t i o n 使 用 了 一 种 独 特 的 渲 染 模 型 ， 这 种 模 型 会 以 单 独 得 进 程 来 进 行 图 形 化 操 作 。 在 m a c O S 中 ， 这 个 进 程 为 W i n d o w S e r v e r 。 在 i O S 中 ， 这 个 进 程 为 b a c k b o a r d 。 Q u a r t z C o r e 中 名 为 c o m . a p p l e . C A R e n d e r S e r v e r 的 服 务 通 常 被 称 为 C A R e n d e r S e r v e r 。 这 个 服 务 m a c O S 和 i O S 中 都 有 ， 可 以 直 接 从 S a f a r i 沙 盒 环 境 中 访 问 。 但 是 ， 在 m a c O S 上 ， 当 Q u a r t z C o r e 在 处 理 一 个 C A : : R e n d e r : : D e c o d e r : : d e c o d e _ s h a p e ( ) 函 数 中 的 图 形 对 象 时 ， 就 会 发 生 内 存 崩 溃 （ 漏 洞 ） ， 这 将 导 致 应 用 程 序 意 外 终 止 运 行 。 下 面 给 出 的 是 W i n d o w s   S e r v e r 进 程 在 遇 到 问 题 时 的 程 序 崩 溃 日 志 ：

0 x 0 2   P o C 概 念 验 证 概 念 验 证 接 下 来 ， 我 将 演 示 如 何 使 用 我 们 的 P o C 来 触 发 该 漏 洞 。 P o C 代 码 如 下 所 示 ：


原 始 M a c h 信 息 跟 修 改 后 的 M a c h 信 息 对 比 如 下 图 所 示 ： 通 过 对 二 进 制 源 码 进 行 分 析 后 ， 我 们 发 现 只 需 要 将 偏 移 量 0 x B 6 的 在 一 个 字 节 由 0 x 0 6 修 改 为 0 x 8 6 ， 即 可 触 发 该 漏 洞 。 如 P o C 代 码 所 示 ， 为 了 发 送 专 门 制 作 的 M a c h 消 息 来 触 发 该 漏 洞 ， 我 们 首 先 需 要 发 送 一 个 m s g h i d 为 4 0 2 0 2 的 M a c h 消
息 ， 服 务 器 中 对 应 的 处 理 器 为 X R e g i s t e r C l i e n t ， 然 后 获 取 每 一 个 新 连 接 客 户 端 的 链 接 I D 。 当 我 们 获 取 到 了 连 接 I D 之 后 ， 我 们 就 可 以 在 特 质 的 M a c h 消 息 中 偏 移 量 0 x 2 C 的 位 置 设 置 这 个 值 了 。 最 后 ， 我 们 只 需 要 发 送 这 个 M a c h 消 息 就 可 以 触 发 该 漏 洞 了 。 0 x 0 3   漏 洞 分 析 漏 洞 分 析 接 下 来 ， 我 们 将 使 用 L L D B 来 对 漏 洞 进 行 动 态 调 试 ， 并 分 析 导 致 漏 洞 产 生 的 根 本 原 因 。 注 意 ： 我 们 需 要 通 过 S S H 模 式 来 调 试 W i n d o w S e r v e r 进 程 。 通 过 对 崩 溃 日 志 进 行 分 析 ， 我 们 可 以 获 取 到 崩 溃 线 程 的 堆 栈 回 溯 信 息 ， 并 使 用 下 列 命 令 在 C A : : R e n d e r : : S e r v e r : : R e c e i v e d M e s s a g e : : r u n c o m m a n d s t r e a m 函 数 处 设 置 断 点 ： c o n n _ i d 的 值 可 以 通 过 在 P o C 代 码 的 第 8 6 行 设 置 断 点 来 获 取 。 断 点 命 中 后 ， 我 们 可 以 直 接 读 取 特 制 M a c h 消 息 的 缓 冲 区 数 据 ， 寄 存 器 r 1 3 指 向 的 就 是 特 制 的 M a c h 消 息 。
函 数 C A : : R e n d e r : : D e c o d e r : : d e c o d e _ o b j e c t ( C A : : R e n d e r : : D e c o d e r   * t h i s , C A : : R e n d e r : : D e c o d e r   * a 2 ) 可 以 用 来 解 码 这 种 类 型 的 对 象 数 据 。 开 始 于 偏 移 量 0 x 7 0 0 0 0 9 0 7 d d 5 2 处 的 缓 冲 区 数 据 为 一 个 图 片 对 象 （ 绿 色 高 亮 标 记 ） ：
下 面 的 代 码 段 可 以 用 来 解 析 C A : : R e n d e r : : D e c o d e r : : d e c o d e _ o b j e c t 函 数 中 的 图 片 对 象 数 据 ： 下 图 显 示 的 是 函 数 C A : : R e n d e r : : I m a g e : : d e c o d e ( ) ， 我 添 加 了 部 分 注 释 方 便 大 家 查 看 ： 我 们 可 以 看 到 偏 移 量 0 x 7 0 0 0 0 9 0 7 d d 5 2 处 的 一 个 字 节 从 0 x 0 6 变 为 了 0 x 8 6 ， 所 以 变 量 v 4 现 在 等 于 0 x 8 6 。 接 下 来 ， 程 序 会 跳 转 到 L A B E L 3 1 来 执 行 其 他 分 支 代 码 ， 因 为 变 量 v 4 已 经 大 于 0 x 2 0 了 。 在 L A B E L 3 1 结 尾 处 ， 程 序 会 调 用 C A : : R e n d e r : : T e x t u r e : : d e c o d e ( C A : : R e n d e r : : T e x t u r e   * t h i s , C A : : R e n d e r : : D e c o d e r   * a 2 ) 函 数 来 继 续 处 理 后 续 数 据 。
我 们 可 以 看 到 ， 它 会 调 用 函 数 C A : : R e n d e r : : D e c o d e r : : d e c o d e _ s h a p e 来 处 理 S h a p e 对 象 数 据 。 接 下 来 ， 我 们 看 看 其 他 的 数 据 集 是 如 何 处 理 的 。 我 们 可 以 看 到 变 量 v 2 等 于 0 x 0 2 它 可 以 给 缓 冲 区 分 配 一 个 8 字 节 大 小 的 区 域 。 最 后 ， 它 会 调 用 函 数 C A : : R e n d e r : : D e c o d e r : : d e c o d e _ b y t e s 来 解 码 多 个 字 节 的 数 据 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理