搜索

[19458] 2019-02-22_你电脑中的WinRAR也许存在严重的安全漏洞

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2019-02-22_你电脑中的WinRAR也许存在严重的安全漏洞 你 电 脑 中 的 W i n R A R 也 许 存 在 严 重 的 安 全 漏 洞 i 春 秋   2 0 1 9 - 0 2 - 2 2 W i n R A R 可 能 是 目 前 全 球 用 户 最 多 的 解 压 缩 软 件 ， 近 日 安 全 团 队 发 现 并 公 布 了 W i n R A R 中 存 在 长 达 1 9 年 的 严 重 安 全 漏 洞 ， 这 意 味 着 有 可 能 超 过 5 亿 用 户 面 临 安 全 风 险 。 该 漏 洞 存 在 于 所 有 W i n R A R 版 本 中 包 含 的 U N A C E V 2 . D L L 库 中 ， 该 库 负 责 以 A C E 格 式 解 压 缩 档 案 ， 而 自 2 0 0 5 年 起 W i n R A R 已 经 停 止 更 新 U N A C E V 2 . D L L ， 并 决 定 放 弃 A C E 归 档 格 式 支 持 。 研 究 人 员 在 其 中 发 现 了 一 个 路 径 遍 历 漏 洞 ， 可 以 把 被 压 缩 文 件 的 文 件 提 取 到 任 意 文 件 夹 。 攻 击 者 通 过 利 用 恶 意 A C E 档 案 伪 装 成 R A R 文 件 ， 用 户 在 解 压 恶 意 的 压 缩 文 档 时 ， W i n R A R 软 件 将 恶 意 代 码 解 压 至 系 统 自 启 动 目 录 ， 当 用 户 下 次 登 陆 电 脑 时 系 统 将 自 动 运 行 释 放 的 恶 意 代 码 。 漏 洞 在 C V E - 2 0 1 8 - 2 0 2 5 0 、 C V E - 2 0 1 8 - 2 0 2 5 1 、 C V E - 2 0 1 8 - 2 0 2 5 2 和 C V E - 2 0 1 8 - 2 0 2 5 3 标 识 下 进 行 跟 踪 。 该 漏 洞 影 响 W i n R A R   5 . 6 1 及 以 前 的 版 本 ， 目 前 最 新 版 本 已 经 放 弃 了 对 A C E 格 式 的 支 持 ， 从 而 消 除 该 漏 洞 。 小 伙 伴 们 快 检 查 一 下 自 己 的 电 脑 ， 如 果 安 装 了 W i n R A R ， 安 全 起 见 一 定 要 马 上 更 新 至 最 新 版 本 。 说 到 安 全 漏 洞 ， 网 安 的 朋 友 们 一 定 不 陌 生 ， 甚 至 有 很 多 人 是 挖 洞 高 手 。 那 么 栈 溢 出 漏 洞 栈 溢 出 漏 洞 大 家 是 否 了 解 呢 ？
今 天 i 春 秋 就 为 大 家 介 绍 一 个 在 国 内 的 C T F 比 赛 中 ， P W N 题 最 常 见 考 点 — — 缓 冲 区 溢 出 漏 洞 ， 而 缓 冲 区 溢 出 代 表 就 是 栈 溢 出 栈 溢 出 漏 洞 漏 洞 ， 我 们 一 起 来 学 习 一 下 吧 。 基 础 知 识 基 础 知 识 栈 是 一 种 先 进 后 出 的 数 据 结 构 ， 从 高 地 址 向 低 地 址 增 长 的 内 存 结 构 。 函 数 调 用 栈 是 指 程 序 运 行 时 内 存 一 段 连 续 的 区 域 ， 用 来 保 存 函 数 运 行 时 的 状 态 信 息 ， 包 括 函 数 参 数 与 局 部 变 量 等 ， 是 系 统 栈 的 一 部 分 。 在 一 次 函 数 调 用 中 ， 函 数 调 用 栈 中 将 被 依 次 压 入 ： 函 数 实 参 、 返 回 地 址 、 E B P 。 如 果 函 数 有 局 部 变 量 ， 那 就 在 栈 中 开 辟 相 应 的 空 间 以 构 造 变 量 。 E S P   称 为 栈 顶 指 针 ， 用 来 指 示 当 前 栈 帧 的 顶 部 。 E B P   称 为 栈 基 址 指 针 ， 用 来 指 示 当 前 栈 帧 的 底 部 。 漏 洞 原 理 漏 洞 原 理 栈 溢 出 漏 洞 是 由 于 使 用 了 不 安 全 的 函 数 ， 如 C 中 的   r e a d ( f d ,   b u f ,   n b y t e s ) 、 g e t s ( s ) 等 ， 通 过 构 造 特 定 的 数 据 使 得 栈 溢 出 ， 从 而 导 致 程 序 的 执 行 流 程 被 控 制 。 当 程 序 代 码 如 下 时 ：
当 构 造 变 量 c h a r   s [ 1 2 ] 时 ， 系 统 就 在 栈 中 给 s 开 辟 栈 空 间 ， 可 g e t s ( s ) 函 数 未 限 制 输 入 字 符 长 度 ， 可 以 构 造 大 量 的 数 据 来 超 出 变 量 的 空 间 从 而 造 成 溢 出 ， 覆 盖 到 s 以 上 的 栈 空 间 。 解 题 步 骤 解 题 步 骤 例 举 一 道 栈 溢 出 的 P W N 题 ， 根 据 解 题 步 骤 来 解 答 。
1 、 逆 向 工 程 ： 、 逆 向 工 程 ： 将 P W N 题 拖 入 I D A ， 点 击 程 序 入 口 函 数 。 按 F 5 逆 向 m a i n 函 数 ， 查 看 对 应 的 C 伪 代 码 。 m a i n 函 数 调 用 v u l n e r a b l e ( ) 函 数 。 点 击 进 入 v u l n e r a b l e ( ) 函 数 并 F 5 逆 向 。 v u l n e r a b l e ( ) 函 数 中 调 用 了 g e t s ( ) 和 p u t s ( ) 函 数 ， 而 程 序 的 逻 辑 就 运 行 m a i n 函 数 和 v u l n e r a b l e 函 数 。 v u l n e r a b l e 函 数 功 能 ： 输 入 字 符 串 ， 输 出 字 符 串 程 序 中 主 要 函 数 有 ： 内 置 行 数 ： g e t s 、 p u t s 、 s y s t e m 自 定 义 函 数 ： m a i n 、 t e s t 、 s u c c e s s 2 、 分 析 代 码 ： 、 分 析 代 码 ： 进 行 逆 向 工 程 拿 到 C 伪 代 码 ， 代 码 大 致 如 下 ：
g e t s ( )   是 一 个 危 险 函 数 ， 因 为 它 不 检 查 输 入 字 符 串 的 长 度 ， 而 是 以 回 车 来 判 断 是 否 输 入 结 束 ， 所 以 很 容 易 导 致 栈 溢 出 。 3 、 漏 洞 利 用 ： 、 漏 洞 利 用 ： 查 看 程 序 的 保 护 机 制 ： 程 序 在 无 任 何 保 护 的 情 况 下 进 行 解 题 ： 输 入 s 的 值 溢 出 到 返 回 地 址 ， 将 返 回 地 址 替 换 成 t e x t 函 数 的 起 始 地 址 。 查 看 t e x t 函 数 的 起 始 地 址 。 E B P 与 E B P 的 距 离 1 4 H ， 而 栈 中 的 E B P 占 栈 内 存 4 H ， 所 以 要 覆 盖 到 放 回 地 址 需 要 1 8 H 。
编 写 脚 本 如 下 ： 利 用 脚 本 后 的 栈 结 构 如 下 ： 所 以 当 函 数 调 用 完 毕 后 ， 执 行 返 回 地 址 时 将 执 行 t e x t 函 数 。 运 行 脚 本 ， 成 功 运 行 t e x t 函 数 ： 4 、 、 g e t s h e l l ： ： 分 析 代 码 发 现 程 序 中 有 g e t s h e l l 函 数 ， 这 时 就 不 需 要 构 造 s h e l l c o d e ， 直 接 溢 出 返 回 地 址 ， 让 程 序 执 行 此 函 数 。
查 看 s u c c e s s 函 数 地 址 ： 脚 本 如 下 ： 运 行 脚 本 ， 成 功 拿 到 s h e l l ： 以 上 就 是 今 天 的 全 部 内 容 ， 大 家 对 栈 溢 出 漏 洞 都 了 解 了 吧 ， 相 信 对 于 新 手 小 白 来 说 也 是 一 个 学 习 的 知 识 点 ， 要 好 好 掌 握 哦 ！ 文 章 素 材 来 源 于 i 春 秋 社 区 i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理