搜索

[29110] 2021-08-06_【漏洞分析】MicrosoftWindows通讯簿中堆缓冲区溢出漏洞分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-08-06_【漏洞分析】MicrosoftWindows通讯簿中堆缓冲区溢出漏洞分析 【 漏 洞 分 析 】 M i c r o s o f t   W i n d o w s   通 讯 簿 中 堆 缓 冲 区 溢 出 漏 洞 分 析 O t s 安 全   2 0 2 1 - 0 8 - 0 6 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 概 述 概 述 这 篇 文 章 分 析 了   M i c r o s o f t   W i n d o w s   通 讯 簿 中 的 堆 缓 冲 区 溢 出 。 微 软 周 二 发 布 了 针 对 2 0 2 1   年   2   月 补 丁 的 此 漏 洞 的 公 告 。 这 篇 博 文 将 详 细 介 绍   M i c r o s o f t   W i n d o w s   通 讯 簿 是 什 么 、 漏 洞 本 身 以 及 制 作 概 念 验 证 漏 洞 的 步 骤 ， 从 而 使 易 受 攻 击 的 应 用 程 序 崩 溃 。 视 窗 通 讯 簿 视 窗 通 讯 簿 W i n d o w s   通 讯 簿 是   M i c r o s o f t   W i n d o w s   操 作 系 统 的 一 部 分 ， 是 一 项 为 用 户 提 供 集 中 式 联 系 人 列 表 的 服 务 ， M i c r o s o f t   和 第 三 方 应 用 程 序 均 可 访 问 和 修 改 这 些 联 系 人 列 表 。 W i n d o w s   通 讯 簿 维 护 一 个 本 地 数 据 库 和 界 面 ， 用 于 查 找 和 编 辑 有 关 联 系 人 的 信 息 ， 并 且 可 以 使 用 轻 量 级 目 录 访 问 协 议   ( L D A P )   查 询 网 络 目 录 服 务 器 。 W i n d o w s   通 讯 簿 于 1 9 9 6   年 推 出 ， 后 来 在   W i n d o w s   V i s t a   中 被   W i n d o w s   联 系 人 取 代 ， 随 后 在   W i n d o w s   1 0   中 被 人 脉 应 用 程 序 取 代 。 W i n d o w s   通 讯 簿 提 供 了 一 个   A P I ， 使 其 他 应 用 程 序 能 够 直 接 使 用 其 数 据 库 和 用 户 界 面 服 务 ， 从 而 使 服 务 能 够 访 问 和 修 改 联 系 人 信 息 。 虽 然   M i c r o s o f t   已 经 替 换 了 提 供 通 讯 簿 功 能 的 应 用 程 序 ， 但 较 新 的 替 换 程 序 使 用 旧 功 能 并 确 保 向 后 兼 容 。 W i n d o w s   通 讯 簿 功 能 存 在 于   W i n d o w s   1 0   应 用 程 序 （ 包 括   O u t l o o k   和   W i n d o w s   M a i l ） 使 用 的 多 个 W i n d o w s   库 中 。 通 过 这 种 方 式 ， 现 代 应 用 程 序 可 以 使 用   W i n d o w s   通 讯 簿 ， 甚 至 可 以 从 旧 版 本 的   W i n d o w s   导 入 通 讯 簿 。 C V E - 2 0 2 1 - 2 4 0 8 3 在 处 理 联 系 人 的 嵌 套 属 性 时 ， w a b 3 2 . d l l   中 的 S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( ) 函 数 中 存 在 堆 缓 冲 区 溢 出 漏 洞 。 基 于 网 络 的 攻 击 媒 介 包 括 诱 使 用 户 打 开 精 心 制 作 的 . w a b 文 件 ， 其 中 包 含   W A B   记 录 中 的 恶 意 复 合 属 性 。 漏 洞 漏 洞 以 下 漏 洞 分 析 基 于   W i n d o w s   1 0   x 6 4   上 运 行 的   W i n d o w s   地 址 簿 联 系 人   D L L   ( w a b 3 2 . d l l )   版 本   1 0 . 0 . 1 9 0 4 1 . 3 8 8 。 W i n d o w s   通 讯 簿 联 系 人   D L L （ 即 w a b 3 2 . d l l ） 提 供 对 通 讯 簿   A P I   的 访 问 ， 多 个 应 用 程 序 使 用 它 来 与   W i n d o w s   通 讯 簿 交 互 。 C o n t a c t s   D L L   处 理 与 联 系 人 和 身 份 管 理 相 关 的 操 作 。 其 中 ， C o n t a c t s   D L L   能 够 导 入 从 早 期 版 本 的   W i n d o w s   地 址 簿 导 出 的 地 址 簿 （ 即   W A B   文 件 ） 。 早 期 版 本 的   W i n d o w s   通 讯 簿 以 . w a b 文 件 的 形 式 维 护 了 一 个 包 含 身 份 和 联 系 人 的 数 据 库 。 虽 然 当 前 版 本 的   W i n d o w s 默 认 不 再 使 用 . w a b 文 件 ， 但 它 们 允 许 从 较 早 安 装 的 W i n d o w s   通 讯 簿 导 入   W A B   文 件 。 有 多 种 方 法 可 以 将   W A B   文 件 导 入   W i n d o w s   通 讯 簿 ， 但 据 观 察 ， 应 用 程 序 依 赖 于   W i n d o w s   联 系 人 导 入 工 具 （ 即 C : P r o g r a m   F i l e s W i n d o w s   M a i l w a b m i g . e x e ） 来 导 入 通 讯 簿 。 导 入 工 具 加 载 w a b 3 2 . d l l 以 处 理 加 载   W A B   文 件 、 提 取 相 关 联 系 人 并 将 其 导 入   W i n d o w s   通 讯 簿 。 W A B   文 件 格 式 文 件 格 式 W A B   文 件 格 式 （ 通 常 称 为   W i n d o w s   通 讯 簿 或   O u t l o o k   通 讯 簿 ） 是 一 种 未 记 录 的 专 有 文 件 格 式 ， 其 中 包 含 个 人 身 份 。 身 份 又 可 能 包 含 联 系 人 ， 每 个 联 系 人 可 能 包 含 一 个 或 多 个 属 性 。 尽 管 该 格 式 未 记 录 ， 但 文 件 格 式 已 由 第 三 方 进 行 了 部 分 逆 向 工 程 。 以 下 结 构 是 从 公 开 可 用 的 第 三 方 应 用 程 序 和 w a b 3 2 . d l l 的 反 汇 编 中 获 得 的 。 因 此 ， 结 构 定 义 、 字 段 名 称 和 字 段 类 型 可 能 不 准 确 。 W A B   文 件 具 有 以 下 结 构 ： O f f s e t             L e n g t h   ( b y t e s )         F i e l d                                       D e s c r i p t i o n - - - - - - - - -       - - - - - - - - - - - - - -         - - - - - - - - - - - - - - - - - - - -         - - - - - - - - - - - - - - - - - - -
除 非 另 有 说 明 ， 否 则 所 有 多 字 节 字 段 都 以 小 端 字 节 序 表 示 。 所 有 字 符 串 字 段 均 采 用   U n i c o d e ， 以   U T F 1 6 - L E   格 式 编 码 。 该 幻 数 字 段 包 含 下 列 1 6 个 字 节 ： 9 C   C B   C B   8 D   1 3   7 5   D 2   1 1   9 1   5 8   0 0   C 0   7 9   4 F   5 6   A 4 。 虽 然 一 些 来 源 将 字 节 序 列 8 1   3 2   8 4   C 1   8 5   0 5   D 0   1 1   B 2   9 0   0 0   A A   0 0   3 C   F 6   7 6 列 为   W A B 文 件 的 有 效 幻 数 ， 但 实 验 发 现 替 换 字 节 序 列 可 以 防 止   W i n d o w s   地 址 簿 处 理 文 件 。 编 号 为   1   到   6 的 六 个 表 描 述 符 字 段 中 的 每 一 个 都 具 有 以 下 结 构 ： 以 下 是 一 些 已 知 类 型 的 表 描 述 符 的 示 例 ： 文 本 记 录 （ 类 型 ： 0 x 8 4 d 0 ） ： 包 含   U n i c o d e   字 符 串 的 记 录 。 索 引 记 录 （ 类 型 ： 0 x F A 0 ） ： 可 能 包 含 多 个   W A B   记 录 描 述 符 的 记 录 。 每 个 文 本 记 录 具 有 以 下 结 构 ： 同 样 ， 每 条 索 引 记 录 的 结 构 如 下 索 引 记 录 中 的 每 个 条 目 （ 即 ， 连 续 的 每 个 索 引 记 录 结 构 ） 都 有 一 个 指 向   W A B   记 录 的 偏 移 量 。 W A B   记 录 记 录 W A B   记 录 用 于 描 述 联 系 人 。 它 包 含 存 储 在 属 性 中 的 电 子 邮 件 地 址 和 电 话 号 码 等 字 段 ， 这 些 字 段 可 能 是 各 种 类 型 ， 例 如 字 符 串 、 整 数 、 G U I D   和 时 间 戳 。 每 个   W A B   记 录 具 有 以 下 结 构 ： 0 x 0                   1 6                                 M a g i c   N u m b e r                         S i x t e e n   m a g i c   b y t e s 0 x 1 0                 4                                   C o u n t   1                                   U n k n o w n   I n t e g e r 0 x 1 4                 4                                   C o u n t   2                                   U n k n o w n   I n t e g e r 0 x 1 8                 1 6                                 T a b l e   D e s c r i p t o r   1             T a b l e   d e s c r i p t o r 0 x 2 8                 1 6                                 T a b l e   D e s c r i p t o r   2             T a b l e   d e s c r i p t o r 0 x 3 8                 1 6                                 T a b l e   D e s c r i p t o r   3             T a b l e   d e s c r i p t o r 0 x 4 8                 1 6                                 T a b l e   D e s c r i p t o r   4             T a b l e   d e s c r i p t o r 0 x 5 8                 1 6                                 T a b l e   D e s c r i p t o r   5             T a b l e   d e s c r i p t o r 0 x 6 8                 1 6                                 T a b l e   D e s c r i p t o r   6             T a b l e   d e s c r i p t o r O f f s e t         L e n g t h         F i e l d         D e s c r i p t i o n                     ( b y t e s ) - - - - - - -       - - - - - - - -     - - - - - - -     - - - - - - - - - - - - - - - - - - - 0 x 0               4                   T y p e           T y p e   o f   t a b l e   d e s c r i p t o r 0 x 4               4                   S i z e           S i z e   o f   t h e   r e c o r d   d e s c r i b e d 0 x 8               4                   O f f s e t       O f f s e t   o f   t h e   r e c o r d   d e s c r i b e d   r e l a t i v e   t o   t h e   b e g i n n i n g   o f   f i l e 0 x C               4                   C o u n t         N u m b e r   o f   r e c o r d s   p r e s e n t   a t   o f f s e t O f f s e t       L e n g t h   ( b y t e s )         F i e l d                     D e s c r i p t i o n - - - - - -       - - - - - - - - - - - - - -         - - - - - - - - - - - -       - - - - - - - - - - - - - - - - - - - 0 x 0             N                                   C o n t e n t                 T e x t   c o n t e n t   o f   t h e   r e c o r d ;   a   n u l l   t e r m i n a t e d   U N I C O D E   s t r i n g 0 x 0 + N         0 x 4                               R e c o r d I d               A   r e c o r d   i d e n t i f i e r   f o r   t h e   t e x t   r e c o r d O f f s e t             L e n g t h   ( b y t e s )         F i e l d                 D e s c r i p t i o n - - - - - - - - -       - - - - - - - - - - - - - -         - - - - - - - - - -       - - - - - - - - - - - - - - - - - - - 0 x 0                   4                                   R e c o r d I d           A   r e c o r d   i d e n t i f i e r   f o r   t h e   i n d e x   r e c o r d 0 x 4                   4                                   O f f s e t               O f f s e t   o f   t h e   r e c o r d   r e l a t i v e   t o   t h e   b e g i n n i n g   o f   t h e   f i l e O f f s e t             L e n g t h       F i e l d                             D e s c r i p t i o n - - - - - - - - -       - - - - - -       - - - - - - - - - - - - - - -         - - - - - - - - - - - - - - - - - - - 0 x 0                   4                 U n k n o w n 1                       U n k n o w n   f i e l d
以 下 字 段 是 相 关 的 ： 该 R e c o r d P r o p e r t i e s 场 纪 录 产 权 结 构 的 继 承 。 所 述 P r o p e r t y C o u n t 字 段 指 示 内 属 性 的 数 目 R e c o r d P r o p e r t i e s 字 段 。 记 录 属 性 可 以 是 简 单 的 或 复 合 的 。 简 单 属 性 简 单 属 性 简 单 属 性 具 有 以 下 结 构 ： 简 单 属 性 的 标 签 小 于   0 x 1 0 0 0 ， 包 括 以 下 内 容 ： 请 注 意 以 下 事 项 ： 上 述 清 单 并 非 详 尽 无 遗 。 有 关 更 多 属 性 标 记 定 义 ， 请 参 阅 此 。 P t y p B i n a r y 的 值 以   C O U N T   字 段 为 前 缀 ， 该 字 段 对   1 6   位 字 进 行 计 数 。 除 上 述 之 外 ， 还 存 在 以 下 属 性 ； 它 们 在   W A B   中 的 用 法 未 知 。 P t y p E m b e d d e d T a b l e   ( 0 x 0 0 0 0 0 0 0 D ) ： 属 性 值 是 一 个 组 件 对 象 模 型   ( C O M )   对 象 。 0 x 4                   4                 U n k n o w n 2                       U n k n o w n   f i e l d 0 x 8                   4                 R e c o r d I d                       A   r e c o r d   i d e n t i f i e r   f o r   t h e   W A B   r e c o r d 0 x C                   4                 P r o p e r t y C o u n t             T h e   n u m b e r   o f   p r o p e r t i e s   c o n t a i n e d   i n   R e c o r d P r o p e r t i e s 0 x 1 0                 4                 U n k n o w n 3                       U n k n o w n   f i e l d   0 x 1 4                 4                 U n k n o w n 4                       U n k n o w n   f i e l d   0 x 1 8                 4                 U n k n o w n 5                       U n k n o w n   f i e l d   0 x 1 C                 4                 D a t a L e n                         T h e   l e n g t h   o f   t h e   R e c o r d P r o p e r t i e s   f i e l d   ( M ) 0 x 2 0                 M                 R e c o r d P r o p e r t i e s       S u c c e s s i o n   o f   s u b p r o p e r t i e s   b e l o n g i n g   t o   t h e   W A B   r e c o r d O f f s e t             L e n g t h   ( b y t e s )         F i e l d               D e s c r i p t i o n - - - - - - - - -       - - - - - - - - - - - - - -         - - - - - - - - -       - - - - - - - - - - - - - - - - - - - 0 x 0                   0 x 2                               T a g                   A   p r o p e r t y   t a g   d e s c r i b i n g   t h e   t y p e   o f   t h e   c o n t e n t s 0 x 2                   0 x 2                               U n k n o w n           U n k n o w n   f i e l d 0 x 4                   0 x 4                               S i z e                 S i z e   i n   b y t e s   o f   V a l u e   m e m b e r   ( X ) 0 x 8                   X                                   V a l u e               P r o p e r t y   v a l u e   o r   c o n t e n t T a g   N a m e                 T a g   V a l u e         L e n g t h             D e s c r i p t i o n                                                           ( b y t e s ) - - - - - - - - -               - - - - - - - - - - -     - - - - - - - - -       - - - - - - - - - - - - - - - - - - - P t y p I n t e g e r 1 6       0 x 0 0 0 0 0 0 0 2       2                       A   1 6 - b i t   i n t e g e r P t y p I n t e g e r 3 2       0 x 0 0 0 0 0 0 0 3       4                       A   3 2 - b i t   i n t e g e r P t y p F l o a t i n g 3 2     0 x 0 0 0 0 0 0 0 4       4                       A   3 2 - b i t   f l o a t i n g   p o i n t   n u m b e r P t y p F l o a t i n g 6 4     0 x 0 0 0 0 0 0 0 5       8                       A   6 4 - b i t   f l o a t i n g   p o i n t   n u m b e r P t y p B o o l e a n           0 x 0 0 0 0 0 0 0 B       2                       B o o l e a n ,   r e s t r i c t e d   t o   1   o r   0 P t y p S t r i n g 8           0 x 0 0 0 0 0 0 1 E       V a r i a b l e         A   s t r i n g   o f   m u l t i b y t e   c h a r a c t e r s   i n   e x t e r n a l l y   s p e c i f i e d                                                                                   e n c o d i n g   w i t h   t e r m i n a t i n g   n u l l   c h a r a c t e r   ( s i n g l e   0   b y t e ) P t y p B i n a r y             0 x 0 0 0 0 0 1 0 2       V a r i a b l e         A   C O U N T   f i e l d   f o l l o w e d   b y   t h a t   m a n y   b y t e s P t y p S t r i n g             0 x 0 0 0 0 0 0 1 F       V a r i a b l e         A   s t r i n g   o f   U n i c o d e   c h a r a c t e r s   i n   U T F - 1 6 L E   f o r m a t   e n c o d i n g w i t h   t e r m i n a t i n g   n u l l   c h a r a c t e r   ( 0 x 0 0 0 0 ) . P t y p G u i d                 0 x 0 0 0 0 0 0 4 8       1 6                     A   G U I D   w i t h   D a t a 1 ,   D a t a 2 ,   a n d   D a t a 3   f i l d s   i n   l i t t l e - e n d i a n P t y p T i m e                 0 x 0 0 0 0 0 0 4 0       8                       A   6 4 - b i t   i n t e g e r   r e p r e s e n t i n g   t h e   n u m b e r   o f   1 0 0 - n a n o s e c o n d                                                                                   i n t e r v a l s   s i n c e   J a n u a r y   1 ,   1 6 0 1 P t y p E r r o r C o d e       0 x 0 0 0 0 0 0 0 A       4                       A   3 2 - b i t   i n t e g e r   e n c o d i n g   e r r o r   i n f o r m a t i o n
P t y p N u l l   ( 0 x 0 0 0 0 0 0 0 1 ) ： 无 ： 此 属 性 是 占 位 符 。 P t y p U n s p e c i f i e d   ( 0 x 0 0 0 0 0 0 0 0 ) :   A n y ： 此 属 性 类 型 值 匹 配 任 何 类 型 ； 复 合 属 性 复 合 属 性 复 合 属 性 具 有 以 下 结 构 ： 复 合 属 性 的 标 签 大 于 等 于 0 x 1 0 0 0 ， 包 括 以 下 内 容 ： 每 个 复 合 属 性 的 V a l u e 字 段 包 含 N e s t e d P r o p C o u n t 数 量 的 相 应 类 型 的   S i m p l e   属 性 。 在 固 定 大 小 的 属 性 （ 的 情 况 下 P t y p M u l t i p l e I n t e g e r 1 6 ， P t y p M u l t i p l e I n t e g e r 3 2 ， P t y p M u l t i p l e G u i d ， 和 P t y p M u l t i p l e T i m e ） ， 该 值 的 复 合 属 性 的 字 段 包 含 N e s t e d P r o p C o u n t 所 述 的 数 值 对 应 的 简 单 属 性 的 字 段 。 例 如 ， 在 N e s t e d P r o p C o u n t 为   4 的 P t y p M u l t i p l e I n t e g e r 3 2 结 构 中 ： 的 大 小 始 终 是 1 6 。 该 值 包 含 四 个   3 2   位 整 数 。 对 于 可 变 大 小 的 属 性 （ P t y p M u l t i p l e S t r i n g 8 、 P t y p M u l t i p l e B i n a r y 和 P t y p M u l t i p l e S t r i n g ） ， 复 合 属 性 的 V a l u e 字 段 包 含 N e s t e d P r o p C o u n t 数 量 的 S i z e 和 相 应   S i m p l e   属 性 的 V a l u e 字 段 。 例 如 ， 在 包 含   U n i c o d e   字 符 串 “ f o o ” 和 “ b a r ” 的 N e s t e d P r o p C o u n t 为   2 的 P t y p M u l t i p l e S t r i n g 结 构 中 ： 该 尺 寸 是 1 4   0 0   0 0   0 0 。 V a l u e   字 段 包 含 以 下 两 个 字 节 字 符 串 的 串 联 ： “ f o o ” 用 四 字 节 长 度 编 码 ： 0 6   0 0   0 0   0 0   6 6   0 0   6 f   0 0   6 f   0 0 。 “ b a r ” 用 四 字 节 长 度 编 码 ： 0 6   0 0   0 0   0 0   6 2   0 0   6 1   0 0   7 2   0 0 。 技 术 细 节 技 术 细 节 O f f s e t     L e n g t h           F i e l d                           D e s c r i p t i o n                 ( b y t e s ) - - - - - -     - - - - - - - - -     - - - - - - - - - - - - - - - - -   - - - - - - - - - - - - - - - - - - - 0 x 0           0 x 2                 T a g                               A   p r o p e r t y   t a g   d e s c r i b i n g   t h e   t y p e   o f   t h e   c o n t e n t s 0 x 2           0 x 2                 U n k n o w n                       U n k n o w n   f i e l d 0 x 4           0 x 4                 N e s t e d P r o p C o u n t       N u m b e r   o f   n e s t e d   p r o p e r t i e s   c o n t a i n e d   i n   t h e   c u r r e n t   W A B   p r o p e r t y 0 x 8           0 x 4                 S i z e                             S i z e   i n   b y t e s   o f   V a l u e   m e m b e r   ( X ) 0 x C           X                     V a l u e                           P r o p e r t y   v a l u e   o r   c o n t e n t T a g   N a m e                                 T a g   V a l u e - - - - - - - - -                               - - - - - - - - - - P t y p M u l t i p l e I n t e g e r 1 6       0 x 0 0 0 0 1 0 0 2 P t y p M u l t i p l e I n t e g e r 3 2       0 x 0 0 0 0 1 0 0 3 P t y p M u l t i p l e S t r i n g 8           0 x 0 0 0 0 1 0 1 E P t y p M u l t i p l e B i n a r y             0 x 0 0 0 0 1 1 0 2 P t y p M u l t i p l e S t r i n g             0 x 0 0 0 0 1 0 1 F P t y p M u l t i p l e G u i d                 0 x 0 0 0 0 1 0 4 8 P t y p M u l t i p l e T i m e                 0 x 0 0 0 0 1 0 4 0
当 导 入   W A B   文 件 形 式 的 格 式 错 误 的   W i n d o w s   通 讯 簿 时 ， 会 出 现 有 问 题 的 漏 洞 。 当 用 户 尝 试 将   W A B   文 件 导 入   W i n d o w s   通 讯 簿 时 ， 方 法 W A B O b j e c t I n t e r n a l : : I m p o r t ( ) 被 调 用 ， 该 方 法 又 调 用 I m p o r t W A B F i l e ( ) 。 对 于   W A B   文 件 中 的 每 个 联 系 人 ， I m p o r t W A B F i l e ( ) 执 行 以 下 嵌 套 调 用 ： I m p o r t C o n t a c t ( ) 、 C W A B S t o r a g e : : R e a d R e c o r d ( ) 、 R e a d R e c o r d W i t h o u t L o c k i n g ( ) ， 最 后 是 H r G e t P r o p A r r a y F r o m F i l e R e c o r d ( ) 。 后 一 个 函 数 接 收 一 个 指 向 文 件 的 指 针 作 为 参 数 并 读 取 联 系 人 标 题 并 提 取 P r o p e r t y C o u n t 和 D a t a L e n . 函 数 H r G e t P r o p A r r a y F r o m F i l e R e c o r d ( ) 依 次 调 用 S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( ) 对 导 入 的 文 件 执 行 安 全 检 查 ， 并 调 用   H r G e t P r o p A r r a y F r o m B u f f e r ( ) 将 联 系 人 属 性 读 入 属 性 数 组 。 函 数 H r G e t P r o p A r r a y F r o m B u f f e r ( ) 严 重 依 赖 于 S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( ) 执 行 的 检 查 的 正 确 性 。 但 是 ， 该 函 数 无 法 对 某 些 属 性 类 型 实 施 安 全 检 查 。 具 体 来 说 ， S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( ) 可 能 会 跳 过 检 查 属 性 标 记 未 知 的 嵌 套 属 性 的 内 容 ， 而 函 数 H r G e t P r o p A r r a y F r o m B u f f e r ( ) 继 续 处 理 所 有 嵌 套 属 性 ， 而 不 管 安 全 检 查 如 何 。 因 此 ， 可 以 欺 骗 函 数 H r G e t P r o p A r r a y F r o m B u f f e r ( ) 解 析 未 经 检 查 的 联 系 人 属 性 。 作 为 解 析 这 样 一 个 属 性 的 结 果 ， 函 数 H r G e t P r o p A r r a y F r o m B u f f e r ( )   可 以 被 欺 骗 使 堆 缓 冲 区 溢 出 。 代 码 分 析 代 码 分 析 以 下 代 码 块 显 示 了 与 此 漏 洞 相 关 的 方 法 的 受 影 响 部 分 。 代 码 片 段 由 [ N ] 表 示 的 引 用 标 记 划 分 。 与 此 漏 洞 无 关 的 行 将 替 换 为 [ 截 断 ] 标 记 。 以 下 是 函 数 H r G e t P r o p A r r a y F r o m F i l e R e c o r d 的 伪 代 码 ： 在   [ 1 ]   处 ， 调 用 函 数 S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( ) 对 接 收 到 的 缓 冲 区 和 其 中 包 含 的 属 性 执 行 一 系 列 安 全 检 查 。 如 果 检 查 结 果 为 正 ， 则 输 入 是 可 信 的 ， 并 通 过 在   [ 3 ]   处 调 用 H r G e t P r o p A r r a y F r o m B u f f e r ( ) 进 行 处 理 。 否 则 ， 该 函 数 将 在   [ 2 ]   处 返 回 错 误 。 以 下 是 函 数 S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( ) 的 伪 代 码 ： i f   (   ! ( u n s i g n e d   i n t ) S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( w a b _ b u f f e r _ f u l l ,   H I D W O R D ( u B y t e s [ 1 ] ) ,   w a b _ b u f f e r [ 3 ] )   )     { [ 2 ]         r e s u l t   =   0 x 8 0 0 4 0 1 1 b ;                 / /   E r r o r g o t o   L A B E L _ 2 5 ;                             / /   R e t u r n   p r e m a t u r e l y     } [ 3 ]     r e s u l t   =   H r G e t P r o p A r r a y F r o m B u f f e r ( w a b _ b u f f e r _ f u l l ,   H I D W O R D ( u B y t e s [ 1 ] ) ,   w a b _ b u f f e r [ 3 ] ,   0 ,   a 7 ) ;         _ _ i n t 6 4   _ _ f a s t c a l l   S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( u n s i g n e d   _ _ i n t 8   * b u f f e r _ p t r ,   u n s i g n e d   i n t   b u f f e r _ l e n g t h ,   i n t   h e a d e r _ d w o r d _ 3 ) { u n s i g n e d   i n t   s e c u r i t y _ c h e c k _ r e s u l t ;   / /   e b x u n s i g n e d   i n t   r e m a i n i n g _ b u f f e r _ b y t e s ;   / /   e d i i n t   l _ h e a d e r _ d w o r d _ 3 ;   / /   e r 1 5 u n s i g n e d   _ _ i n t 8   * p t r _ t o _ b u f f e r ;   / /   r 9 i n t   c u r r e n t _ p r o p e r t y _ t a g ;   / /   e c x             _ _ i n t 6 4   c _ d w o r d _ 2 ;   / /   r 8 u n s i g n e d   i n t   v 9 ;   / /   e d i i n t   V A ;   / /   e c x i n t   V B ;   / /   e c x i n t   V C ;   / /   e c x i n t   V D ;   / /   e c x i n t   V E ;   / /   e c x i n t   V F ;   / /   e c x
i n t   V G ;   / /   e c x i n t   V H ;   / /   e c x s i g n e d   _ _ i n t 6 4   r e s ;   / /   r a x             _ D W O R D   * p t r _ t o _ d w o r d _ 1 ;   / /   r b p u n s i g n e d   _ _ i n t 8   * p t r _ t o _ d w o r d _ 0 ;   / /   r 1 4 u n s i g n e d   i n t   d w o r d _ 2 ;   / /   e a x u n s i g n e d   i n t   v 2 2 ;   / /   e d i i n t   v 2 3 ;   / /   e s i i n t   v 2 4 ;   / /   e c x u n s i g n e d   _ _ i n t 8   * c _ p t r _ t o _ p r o p e r t y _ v a l u e ;   / /   [ r s p + 6 0 h ]   [ r b p + 8 h ] u n s i g n e d   i n t   v 2 7 ;   / /   [ r s p + 6 8 h ]   [ r b p + 1 0 h ] u n s i g n e d   i n t   c o p y _ d w o r d _ 2 ;   / /   [ r s p + 7 0 h ]   [ r b p + 1 8 h ]             s e c u r i t y _ c h e c k _ r e s u l t   =   0 ;             r e m a i n i n g _ b u f f e r _ b y t e s   =   b u f f e r _ l e n g t h ;             l _ h e a d e r _ d w o r d _ 3   =   h e a d e r _ d w o r d _ 3 ;             p t r _ t o _ b u f f e r   =   b u f f e r _ p t r ; i f   (   h e a d e r _ d w o r d _ 3   )                                                         { w h i l e   (   r e m a i n i n g _ b u f f e r _ b y t e s   >   4   )                                 { [ 4 ] i f   (   * ( _ D W O R D   * ) p t r _ t o _ b u f f e r   &   0 x 1 0 0 0   )                         { [ 5 ]                         c u r r e n t _ p r o p e r t y _ t a g   =   * ( u n s i g n e d   _ _ i n t 1 6   * ) p t r _ t o _ b u f f e r ; i f   (   c u r r e n t _ p r o p e r t y _ t a g   = =   0 x 1 1 0 2   | |                                                                           ( u n s i g n e d   i n t ) ( c u r r e n t _ p r o p e r t y _ t a g   -   0 x 1 0 1 E )   < =   1   )                           {                                                   [ 6 ]                             p t r _ t o _ d w o r d _ 1   =   p t r _ t o _ b u f f e r   +   4 ;                                                                       p t r _ t o _ d w o r d _ 0   =   p t r _ t o _ b u f f e r ; i f   (   r e m a i n i n g _ b u f f e r _ b y t e s   <   0 x C   )                                           r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                                                                               d w o r d _ 2   =   * ( ( _ D W O R D   * ) p t r _ t o _ b u f f e r   +   2 ) ;                             v 2 2   =   r e m a i n i n g _ b u f f e r _ b y t e s   -   0 x C ; i f   (   d w o r d _ 2   >   v 2 2   )                                                                           r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                                                                               p t r _ t o _ b u f f e r   + =   1 2 ;                             c o p y _ d w o r d _ 2   =   d w o r d _ 2 ;                             r e m a i n i n g _ b u f f e r _ b y t e s   =   v 2 2   -   d w o r d _ 2 ;                             c _ p t r _ t o _ p r o p e r t y _ v a l u e   =   p t r _ t o _ b u f f e r ;                                
                            v 2 3   =   0 ;                                                                                                 i f   (   * p t r _ t o _ d w o r d _ 1   >   0 u   )                             { w h i l e   (   ( u n s i g n e d   i n t ) S e c u r i t y C h e c k S i n g l e V a l u e (                                                                                 * ( _ D W O R D   * ) p t r _ t o _ d w o r d _ 0 ,                                                                                 & c _ p t r _ t o _ p r o p e r t y _ v a l u e ,                                                                                 © _ d w o r d _ 2 )   )                                 { i f   (   ( u n s i g n e d   i n t ) + + v 2 3   > =   * p t r _ t o _ d w o r d _ 1   )                                                   {                                                                                                                                               p t r _ t o _ b u f f e r   =   c _ p t r _ t o _ p r o p e r t y _ v a l u e ; g o t o   L A B E L _ 3 3 ;                                     }                                 } r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                             }                         } e l s e                         { [ 7 ] i f   (   r e m a i n i n g _ b u f f e r _ b y t e s   <   0 x C   ) r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                             c _ d w o r d _ 2   =   * ( ( u n s i g n e d   i n t   * ) p t r _ t o _ b u f f e r   +   2 ) ;                                           v 9   =   r e m a i n i n g _ b u f f e r _ b y t e s   -   1 2 ; i f   (   ( u n s i g n e d   i n t ) c _ d w o r d _ 2   >   v 9   )                                           r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                                                                               r e m a i n i n g _ b u f f e r _ b y t e s   =   v 9   -   c _ d w o r d _ 2 ;                             V A   =   c u r r e n t _ p r o p e r t y _ t a g   -   0 x 1 0 0 2 ;                                           i f   (   V A   )                             {                                 V B   =   V A   -   1 ; i f   (   V B   & &   ( V C   =   V B   -   1 )   ! =   0   )                                 {                                     V D   =   V C   -   1 ; i f   (   V D   & &   ( V E   =   V D   -   1 )   ! =   0   & &   ( V F   =   V E   -   1 )   ! =   0   & &   ( V G   =   V F   -   1 3 )   ! =   0   & &   ( V H   =   V G   -   4 4 )   ! =   0   )                                         r e s   =   V H   = =   8   ?   1 6 i 6 4   :   0 i 6 4 ; e l s e                                         r e s   =   8 i 6 4 ;                                 } e l s e                                 {                                     r e s   =   4 i 6 4 ;                                 }                             }
在   [ 4 ]   处 检 查 正 在 处 理 的 属 性 的 标 记 。 执 行 的 检 查 取 决 于 在 每 次 迭 代 中 处 理 的 属 性 是 简 单 属 性 还 是 复 合 属 性 。 对 于 简 单 的 属 性 （ 即 标 签 低 于   0 x 1 0 0 0   的 属 性 ） ， 在   [ 8 ]   处 继 续 执 行 。 对 简 单 属 性 执 行 以 下 检 查 ： 1 .   如 果 缓 冲 区 中 的 剩 余 字 节 数 少 于   4 ， 则 函 数 返 回 错 误 。 2 .   获 得 指 向 属 性 值 的 指 针 ， 并 调 用 S e c u r i t y C h e c k S i n g l e V a l u e ( ) 对 简 单 属 性 及 其 值 执 行 安 全 检 查 。 S e c u r i t y C h e c k S i n g l e V a l u e ( ) 执 行 安 全 检 查 并 递 增 指 针 以 指 向 缓 冲 区 中 的 下 一 个 属 性 ， 以 便 S e c u r i t y C h e c k P r o p A r r a y B u f f e r ( ) 可 以 在 下 一 次 迭 代 中 检 查 下 一 个 属 性 。 3 .   属 性 总 数 递 减 并 与 零 进 行 比 较 。 如 果 等 于 零 ， 则 该 函 数 成 功 返 回 。 如 果 不 同 ， 循 环 的 下 一 次 迭 代 将 检 查 下 一 个 属 性 。 类 似 地 ， 对 于 复 合 属 性 （ 即 标 签 等 于 或 高 于   0 x 1 0 0 0   的 属 性 ） 在   [ 5 ]   处 继 续 执 行 ， 并 完 成 以 下 操 作 。 对 于 变 长 复 合 属 性 （ 如 果 属 性 标 签 等 于   0 x 1 1 0 2   (   P t y p M u l t i p l e B i n a r y   )   或 等 于 或 小 于   0 x 1 0 1 f   (   P t y p M u l t i p l e S t r i n g   ) ） ， [ 6 ]   处 的 代 码 执 行 以 下 操 作 ： 1 .   将 缓 冲 区 中 剩 余 要 读 取 的 字 节 数 与   0 x C   进 行 比 较 ， 以 避 免 溢 出 缓 冲 区 。 e l s e                             {                                 r e s   =   2 i 6 4 ;                             } i f   (   ( u n s i g n e d   i n t ) c _ d w o r d _ 2   /   * ( ( _ D W O R D   * ) p t r _ t o _ b u f f e r   +   1 )   ! =   r e s   )   r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                                                                                                             p t r _ t o _ b u f f e r   + =   c _ d w o r d _ 2   +   1 2 ;                         }                     } e l s e                     {                                                                                 [ 8 ] i f   (   r e m a i n i n g _ b u f f e r _ b y t e s   <   4   )               r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                         v 2 4   =   * ( _ D W O R D   * ) p t r _ t o _ b u f f e r ;                                           c _ p t r _ t o _ p r o p e r t y _ v a l u e   =   p t r _ t o _ b u f f e r   +   4 ; / /   n e w   e x e :   v 1 3   =   b u f f e r _ p t r   +   4 ;                         v 2 7   =   r e m a i n i n g _ b u f f e r _ b y t e s   -   4 ;               i f   (   ! ( u n s i g n e d   i n t ) S e c u r i t y C h e c k S i n g l e V a l u e ( v 2 4 ,   & c _ p t r _ t o _ p r o p e r t y _ v a l u e ,   & v 2 7 )   ) r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;                         r e m a i n i n g _ b u f f e r _ b y t e s   =   v 2 7 ;                         p t r _ t o _ b u f f e r   =   c _ p t r _ t o _ p r o p e r t y _ v a l u e ;                     }         L A B E L _ 3 3 : i f   (   ! - - l _ h e a d e r _ d w o r d _ 3   ) b r e a k ;                 }             } i f   (   ! l _ h e a d e r _ d w o r d _ 3   )                 s e c u r i t y _ c h e c k _ r e s u l t   =   1 ; r e t u r n   s e c u r i t y _ c h e c k _ r e s u l t ;         }
2 .   将 该 属 性 的 S i z e 字 段 与 剩 余 缓 冲 区 长 度 进 行 比 较 ， 以 避 免 溢 出 缓 冲 区 。 3 .   对 于 每 个 嵌 套 属 性 ， 调 用 函 数   S e c u r i t y C h e c k S i n g l e V a l u e ( ) 。 它 ： 4 .   对 嵌 套 属 性 执 行 安 全 检 查 。 5 .   将 指 针 前 进 到 调 用 者 持 有 的 缓 冲 区 ， 以 指 向 下 一 个 嵌 套 属 性 。 6 .   循 环 运 行 直 到 接 触 中 的 总 属 性 数 （ 在 每 次 迭 代 中 递 减 ） 为 零 。 对 于 固 定 长 度 的 复 合 属 性 （ 如 果 所 讨 论 的 属 性 标 记 不 同 于   0 x 1 1 0 2   ( P t y p M u l t i p l e B i n a r y )   且 大 于   0 x 1 0 1 f   ( P t y p M u l t i p l e S t r i n g ) ） ， 则 从   [ 7 ]   开 始 发 生 以 下 情 况 ： 1 .   将 缓 冲 区 中 剩 余 要 读 取 的 字 节 数 与   0 x C   进 行 比 较 ， 以 避 免 溢 出 缓 冲 区 。 2 .   将 大 小 与 剩 余 缓 冲 区 长 度 进 行 比 较 ， 以 避 免 溢 出 缓 冲 区 。 3 .   每 个 嵌 套 属 性 的 大 小 ， 仅 取 决 于 属 性 标 签 ， 是 从 父 属 性 标 签 计 算 的 。 4 .   的 尺 寸 是 由 N e s t e d P r o p C o u n t 分 频 以 获 得 每 个 嵌 套 属 性 的 大 小 。 5 .   如 果 计 算 的 子 属 性 大 小 与 从 父 属 性 标 记 推 导 出 的 属 性 大 小 不 同 ， 则 该 函 数 返 回 错 误 。 6 .   缓 冲 区 指 针 按 父 属 性 值 的 大 小 递 增 以 指 向 下 一 个 属 性 。 7 .   未 知 或 不 可 处 理 的 属 性 类 型 被 分 配 嵌 套 的 属 性 大 小   0 x 0 。 据 观 察 ， 如 果 计 算 出 的 属 性 大 小 为 零 ， 则 缓 冲 区 指 针 前 移 属 性 值 的 大 小 ， 如 标 题 所 述 。 无 论 属 性 大 小 如 何 ， 缓 冲 区 都 会 提 前 ， 通 过 提 前 缓 冲 区 ， 安 全 检 查 允 许 父 属 性 （ 可 能 包 括 子 属 性 ） 的 值 保 持 未 检 查 状 态 。 要 使 安 全 检 查 通 过 在 步 骤   4   中 对 固 定 长 度 复 合 属 性 执 行 的 除 法 结 果 必 须 为 零 。 因 此 ， 要 使 未 知 或 不 可 处 理 的 属 性 通 过 安 全 检 查 ， N e s t e d P r o p C o u n t 必 须 大 于 S i z e 。 请 注 意 ， 由 于 任 何 属 性 的 大 小 （ 以 字 节 为 单 位 ） 至 少 为   2 ， 因 此 N e s t e d P r o p C o u n t 必 须 始 终 不 大 于 S i z e   的 一 半 ， 因 此 ， 上 述 除 法 在 良 性 情 况 下 绝 不 能 为 零 。 检 查 结 束 后 ， 该 函 数 返 回 零 表 示 检 查 失 败 ， 返 回 一 表 示 检 查 通 过 。 随 后 ， 函 数 H r G e t P r o p A r r a y F r o m F i l e R e c o r d ( ) 调 用 H r G e t P r o p A r r a y F r o m B u f f e r ( ) ， 其 目 的 是 将 属 性 收 集 到 _ S P r o p V a l u e 结 构 数 组 中 ， 并 将 其 返 回 给 调 用 者 。 该 _ S P r o p V a l u e 阵 列 具 有 长 度 等 于 属 性 的 数 量 （ 由 接 触 头 所 给 出 ） ， 并 且 通 过 一 个 呼 叫 在 堆 中 被 分 配 给 L o c a l A l l o c （ ）   。 属 性 的 数 量 乘 以 s i z e o f ( _ S P r o p V a l u e ) 以 产 生 总 缓 冲 区 大 小 。 以 下 片 段 显 示 了 发 生 的 分 配 ： i f   (   ! p r o p e r t y _ a r r a y _ r   )         {                 r e t   =   - 2 1 4 7 0 2 4 8 0 9 ; g o t o   L A B E L _ 7 1 ;         }         * p r o p e r t y _ a r r a y _ r   =   0 i 6 4 ;         h e a d e r _ d w o r d _ 3 _ 1   =   s e t _ t o _ z e r o   +   h e a d e r _ d w o r d _ 3 ; [ 9 ] i f   (   ( u n s i g n e d   i n t ) h e a d e r _ d w o r d _ 3 _ 1   <   h e a d e r _ d w o r d _ 3                           | |   ( u n s i g n e d   i n t ) h e a d e r _ d w o r d _ 3 _ 1   >   0 x A A A A A A A             | |   ( v 1 0   =   ( u n s i g n e d   i n t ) h e a d e r _ d w o r d _ 3 _ 1 ,                                                                                   p r o p e r t y _ a r r a y   =   ( s t r u c t   _ S P r o p V a l u e   * ) L o c a l A l l o c ( 0 x 4 0 u , 0 x 1 8   *   h e a d e r _ d w o r d _ 3 _ 1 ) , / /   s i z e o f ( _ S P r o p V a l u e )   *   n _ p r o p e r t i e s _ i n _ b i n a r y                 ( * p r o p e r t y _ a r r a y _ r   =   p r o p e r t y _ a r r a y )   = =   0 i 6 4 )   )         {                 E R R O R _ I N S U F I C I E N T _ M E M O R Y :
可 以 在   [ 9 ]   中 观 察 到 s i z e o f ( _ S P r o p V a l u e )   *   n _ p r o p e r t i e s _ i n _ b i n a r y 的 分 配 。 紧 接 着 ， 每 个 属 性 结 构 都 被 初 始 化 ， 并 且 它 们 的 属 性 标 记 成 员 被 设 置 为   1 。 初 始 化 后 ， 已 经 对 其 执 行 安 全 检 查 的 缓 冲 区 被 逐 个 属 性 处 理 ， 将 属 性 推 进 到 下 一 个 属 性 的 指 针 使 用 相 关 属 性 提 供 的 属 性 标 题 和 值 大 小 。 如 果 特 定 循 环 迭 代 处 理 的 属 性 是 简 单 属 性 ， 则 执 行 如 下 代 码 ：                   E R R O R _ I N S U F I C I E N T _ M E M O R Y :                 r e t   =   0 x 8 0 0 7 0 0 0 E ; g o t o   L A B E L _ 7 1 ;         } i f   (   ! _ b i t t e s t ( ( c o n s t   s i g n e d   i n t   * ) ¤ t _ p r o p e r t y _ t a g ,   0 x C u )   ) { i f   (   v 1 6   <   4   ) b r e a k ; d w o r d _ 1   =   w a b _ u l o n g _ b u f f e r _ f u l l [ 1 ] ; p t r _ t o _ d w o r d _ 2   =   ( c h a r   * ) ( w a b _ u l o n g _ b u f f e r _ f u l l   +   2 ) ; v 3 8   =   v 1 6   -   4 ; i f   (   ( u n s i g n e d   i n t ) d w o r d _ 1   >   v 3 8   ) b r e a k ; c u r r e n t _ p r o p e r t y _ t a g   =   ( u n s i g n e d   _ _ i n t 1 6 ) c u r r e n t _ p r o p e r t y _ t a g ; i f   (   ( u n s i g n e d   _ _ i n t 1 6 ) c u r r e n t _ p r o p e r t y _ t a g   >   0 x B u   ) { [ 1 0 ] v 3 9   =   c u r r e n t _ p r o p e r t y _ t a g   -   0 x 1 E ; i f   (   ! v 3 9   ) g o t o   L A B E L _ 7 9 ; v 4 0   =   v 3 9   -   1 ; i f   (   ! v 4 0   ) g o t o   L A B E L _ 7 9 ; v 4 1   =   v 4 0   -   0 x 2 1 ; i f   (   ! v 4 1   ) g o t o   L A B E L _ 5 6 ; v 4 2   =   v 4 1   -   8 ; i f   (   v 4 2   ) { i f   (   v 4 2   ! =   0 x B A   ) g o t o   L A B E L _ 5 6 ; v 4 3   =   d w o r d _ 1 ; ( * p r o p e r t y _ a r r a y _ r ) [ p _ i d x ] . V a l u e . b i n . l p b   =   ( L P B Y T E ) L o c a l A l l o c ( 0 x 4 0 u ,   d w o r d _ 1 ) ; i f   (   ! ( * p r o p e r t y _ a r r a y _ r ) [ p _ i d x ] . V a l u e . b i n . l p b   ) g o t o   E R R O R _ I N S U F I C I E N T _ M E M O R Y ; ( * p r o p e r t y _ a r r a y _ r ) [ p _ i d x ] . V a l u e . l   =   d w o r d _ 1 ; v 4 4   =   * ( & ( * p r o p e r t y _ a r r a y _ r ) [ p _ i d x ] . V a l u e . a t   +   1 ) ; }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理