搜索

[19598] 2020-04-14_干货分享丨Office漏洞分析（上篇）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-04-14_干货分享丨Office漏洞分析（上篇） 干 货 分 享 丨 O f f i c e 漏 洞 分 析 （ 上 篇 ） i 春 秋   2 0 2 0 - 0 4 - 1 4 今 天 的 文 章 是   i   春 秋 论 坛 作 者 E R F Z E 表 哥 发 布 的 文 章 ， 关 于 C V E - 2 0 1 7 - 1 1 8 8 2 及 利 用 样 本 分 析 ， 文 章 篇 幅 较 长 ， 阅 读 约 1 2 分 钟 。 漏 洞 描 述 漏 洞 描 述 成 因 ： 成 因 ： W i n d o w s 的 公 式 编 辑 器 E Q N E D T 3 2 . E X E 读 入 包 含 M a t h T y p e 的 O L E 数 据 ， 在 拷 贝 公 式 字 体 名 称 时 没 有 对 名 称 长 度 进 行 校 验 ， 使 得 攻 击 者 可 以 通 过 刻 意 构 造 的 数 据 内 容 覆 盖 栈 上 的 函 数 返 回 地 址 ， 从 而 劫 持 程 序 流 程 。 影 响 版 本 ： 影 响 版 本 ： M i c r o s o f t   O f f i c e   2 0 0 7   S e r v i c e   P a c k   3 ,   M i c r o s o f t   O f f i c e   2 0 1 0   S e r v i c e   P a c k   2 ,   M i c r o s o f t   O f f i c e   2 0 1 3   S e r v i c e   P a c k   1 , M i c r o s o f t   O f f i c e   2 0 1 6 漏 洞 分 析 漏 洞 分 析 笔 者 复 现 及 分 析 环 境 ： W i n d o w s   7   S e r v i c e   P a c k   1 、 M i c r o s o f t   O f f i c e   2 0 1 0 、 x 3 2 d b g 、 I D A   7 . 0 E Q U A T I O N . e x e 存 在 ：
设 置 注 册 表 项 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s E Q N E D T 3 2 . E X E ： D e b u g g e r 键 值 为 x 3 2 d b g 路 径 。 生 成 P O C ： 打 开 该 文 档 ， 于 W i n E x e c (   ) 函 数 处 设 断 ： 成 功 断 下 后 ， 查 看 栈 中 返 回 地 址 ：
继 续 向 上 查 看 栈 ， 发 现 调 用 W i n E x e c (   ) 的 函 数 ： 通 过 I D A 分 析 s u b _ 4 1 1 5 A 7 功 能 ： 跟 进 s u b _ 4 1 1 6 0 F 查 看 ：
未 校 验 长 度 ， 直 接 使 用 s t r c p y (   ) 函 数 ， 此 处 应 该 就 是 漏 洞 触 发 位 置 。 进 一 步 确 定 具 体 位 置 ： 于 0 x 4 1 1 6 5 8 处 设 断 ， 重 新 运 行 。 第 二 次 成 功 断 下 后 ， 查 看 E S I 寄 存 器 指 向 内 存 内 容 ：
此 时 E C X 寄 存 器 值 为 0 x C ， 即 复 制 4 8 个 字 节 到 E D I 寄 存 器 指 向 内 存 ， 而 v a r _ 2 8 实 际 大 小 只 有 3 6 个 字 节 ： 到 达 函 数 结 束 处 ：
l e a v e 指 令 执 行 完 毕 后 ， 栈 顶 0 x 1 8 F 1 D 0 处 值 为 0 x 4 3 0 C 1 2 ， 即 调 用 W i n E x e c (   ) 。 而 传 递 参 数 正 是 0 x 1 8 F 3 5 0 指 向 内 存 中 的 c m d 指 令 ： 成 功 弹 出 计 算 器 ： 下 面 对 使 用 到 的 P O C 进 行 简 要 分 析 ， 各 变 量 含 义 由 命 名 可 知 ， R T F 文 档 格 式 并 非 本 文 重 点 。 首 先 判 断 命 令 长 度 是 否 小 于 4 3 ， 而 4 3 这 个 数 字 是 因 为 ：
上 图 选 中 部 分 是 插 入 命 令 处 ， 具 体 偏 移 由 P O C 中 C O M M A N D _ O F F S E T ( 0 x 9 4 9 * 2 ) 变 量 给 出 。 将 命 令 插 入 到 构 造 数 据 中 之 后 ， 函 数 返 回 拼 接 好 的 O L E 。 下 面 将 O L E 嵌 入 到 R T F 文 档 中 ： 摩 诃 草 摩 诃 草 ( A P T - C - 0 9 ) 组 织 某 样 本 分 析 组 织 某 样 本 分 析 M D 5 ： 0 D 3 8 A D C 0 B 0 4 8 B A B 3 B D 9 1 8 6 1 D 4 2 C D 3 9 D F 于 0 x 4 1 1 6 5 8 处 设 断 ， 在 第 二 次 断 下 时 ， 各 寄 存 器 值 如 下 ： 继 续 执 行 到 函 数 结 束 处 l e a v e 指 令 ：
0 x 1 8 F 2 3 0 地 址 处 值 0 x 4 3 0 C 4 7 即 覆 盖 后 的 函 数 返 回 地 址 ： 而 该 地 址 处 指 令 是 r e t ， 有 些 出 乎 意 料 。 继 续 向 下 执 行 ， 来 到 0 x 1 8 F 3 B 0 处 ， 正 是 0 x 1 8 F 2 3 4 地 址 处 值 ： 这 方 才 是 构 造 者 意 欲 执 行 的 指 令 。 经 过 蓝 色 方 框 中 的 一 系 列 运 算 后 ， E B X 指 向 是 真 正 的 S h e l l c o d e ：
上 述 内 容 均 可 在 O L E 中 查 看 ( 路 径 x l e m b e d d i n g s ) ： 将 O L E 0 x 1 0 0 0 — 0 x 1 5 2 0 中 数 据 复 制 到 一 b i n 文 件 后 ， 通 过 I D A 查 看 。 s u b _ 2 4 7 功 能 如 下 ：
该 函 数 接 受 的 第 二 个 参 数 即 上 文 提 到 的 E B X 指 向 地 址 ， 于 O L E 中 位 置 是 0 x 1 0 4 0 ， 而 0 x 1 0 4 0 + 0 x 5 5 8 处 内 容 如 下 ： 故 该 函 数 第 一 个 功 能 是 修 正 P E 文 件 头 。 第 二 个 功 能 流 程 如 下 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理