搜索

[7739] 2014-01-14_[细节剖析]XWindows中一个22年的漏洞

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2014-01-14_[细节剖析]XWindows中一个22年的漏洞 [ 细 节 剖 析 ] X   W i n d o w s 中 一 个 2 2 年 的 漏 洞 F r e e B u f   2 0 1 4 - 0 1 - 1 4                   X   W i n d o w s 系 统 ， 今 天 作 为 世 界 各 地 的 系 统 ， 今 天 作 为 世 界 各 地 的 L i n u x 桌 面 ， 已 经 存 在 超 过 桌 面 ， 已 经 存 在 超 过 2 0 年 了 ， 仍 然 存 在 年 了 ， 仍 然 存 在 B u g 。 几 天 前 。 几 天 前 S y s a d m i n s 为 为 l i b X f o n t 库 提 供 了 补 丁 ， 来 对 应 新 发 现 的 已 经 在 代 码 中 存 在 了 库 提 供 了 补 丁 ， 来 对 应 新 发 现 的 已 经 在 代 码 中 存 在 了 2 2 年 的 特 权 升 级 漏 洞 ， 补 丁 抢 在 了 让 人 厌 烦 的 年 的 特 权 升 级 漏 洞 ， 补 丁 抢 在 了 让 人 厌 烦 的 e x p l o i t 前 前 发 布 了 。 这 一 漏 洞 可 以 使 得 登 入 到 一 个 存 在 漏 洞 的 机 器 的 人 将 发 布 了 。 这 一 漏 洞 可 以 使 得 登 入 到 一 个 存 在 漏 洞 的 机 器 的 人 将 X 服 务 搞 崩 溃 ， 或 者 执 行 输 入 代 码 后 成 为 超 级 用 户 。 服 务 搞 崩 溃 ， 或 者 执 行 输 入 代 码 后 成 为 超 级 用 户 。                 在 混 沌 通 信 大 会 （ 译 注 ： 始 于 译 注 ： 始 于 1 9 8 4 年 ， 由 欧 洲 最 大 的 黑 客 联 盟 组 织 年 ， 由 欧 洲 最 大 的 黑 客 联 盟 组 织 — — 德 国 混 沌 电 脑 俱 乐 部 主 办 。 该 会 议 主 要 研 德 国 混 沌 电 脑 俱 乐 部 主 办 。 该 会 议 主 要 研 讨 计 算 机 和 网 络 安 全 问 题 ， 旨 在 推 进 计 算 机 和 网 络 安 全 。 开 始 多 是 热 爱 计 算 机 的 黑 客 参 与 ， 其 后 不 断 吸 引 科 学 家 、 讨 计 算 机 和 网 络 安 全 问 题 ， 旨 在 推 进 计 算 机 和 网 络 安 全 。 开 始 多 是 热 爱 计 算 机 的 黑 客 参 与 ， 其 后 不 断 吸 引 科 学 家 、 安 全 专 家 和 计 算 机 爱 好 者 参 加 ， 因 此 也 有 人 称 之 为 欧 州 黑 客 大 会 。 安 全 专 家 和 计 算 机 爱 好 者 参 加 ， 因 此 也 有 人 称 之 为 欧 州 黑 客 大 会 。 ） 的 一 个 展 示 上 ， 发 现 了 数 百 个 漏 洞 （ 在 X . o r g 上 讨 论 的 电 子 邮 件 在 此 ： h t t p : / / l i s t s . x . o r g / a r c h i v e s / x o r g - d e v e l / 2 0 1 3 - D e c e m b e r / 0 3 9 7 7 3 . h t m l ） ， 最 新 发 现 的 漏 洞 是 文 本 的 栈 溢 出 漏 洞 ， 可 以 追 溯 到 1 9 9 1 年 ， 这 个 B u g 至 今 仍 存 在 于 所 有 的 X 1 1 版 本 中 。                                 这 一 漏 洞 很 简 单 ， 并 且 影 响 共 享 的 电 脑 ， 但 是 本 文 只 想 剖 析 这 一 系 列 的 安 全 问 题 是 如 何 发 生 的 。                         来 自 X . o r g 的 公 告 内 容 ： “ 一 个 B D F 字 体 文 件 包 含 了 一 个 超 过 期 望 长 度 的 字 符 串 ， 会 导 致 站 溢 出 。 在 创 建 了 栈 保 护 的 X 服 务 上 进 行 测 试 ， 当 读 取 用 户 提 供 的 巧 妙 设 计 的 字 体 时 ， 会 导 致 服 务 立 即 崩 溃 。 ”   （ 译 注 ： 译 注 ： h t t p : / / l i s t s . x . o r g / a r c h i v e s / x o r g - a n n o u n c e / 2 0 1 4 - J a n u a r y / 0 0 2 3 8 9 . h t m l ） ）                         存 在 问 题 的 地 方 是 如 下 代 码 中 的 b d f R e a d C h a r a c t e r s ( ) 函 数 中 （ 译 注 ： 源 代 码 路 译 注 ： 源 代 码 路 径 径 h t t p : / / c g i t . f r e e d e s k t o p . o r g / x o r g / l i b / l i b X f o n t / t r e e / s r c / b i t m a p / b d f r e a d . c ）               如 果 你 没 有 见 过 这 个 b u g ， 我 会 详 细 解 释 。 屏 幕 上 的 字 体 可 以 保 存 成 G B D 格 式 （ G l y p h   B i t m a p   D i s t r i b u t i o n ） ， 详 情 参 见 此 文 档 （ h t t p : / / p a r t n e r s . a d o b e . c o m / p u b l i c / d e v e l o p e r / e n / f o n t / 5 0 0 5 . B D F _ S p e c . p d f ） ， 保 存 后 的 内 容 格 式 是 以 S T A R T C H A R   2 . 1 + 字 体 内 容 的 格 式 。 （ 译 注 ： 请 参 照 上 图 中 译 注 ： 请 参 照 上 图 中 1 3 0 5 行 的 代 码 行 的 代 码 ）                 如 果 被 加 载 的 字 体 包 含 一 个 短 的 版 本 号 ， 作 为 字 符 串 加 载 的 话 一 切 正 常 ， 例 如 本 文 中 的 版 本 号 “ 2 . 1 ” 。 这 一 信 息 在 代 码
中 通 过 文 件 d b f r e a d . c 中 的 函 数 调 用 函 数 s s c a n f 将 信 息 拷 贝 到 c h a r N a m e 字 符 数 组 当 中 。 （ 译 注 ： 参 照 上 述 图 中 的 译 注 ： 参 照 上 述 图 中 的 1 3 0 2 - 1 3 0 8 行 行 代 码 代 码 ） 。 问 题 是 s s c a n f 函 数 没 有 限 定 读 取 版 本 号 码 的 字 符 串 长 度 ， 该 函 数 会 一 致 拷 贝 文 件 中 的 数 据 ， 直 到 遇 到 了 一 个 空 格 符 ， 才 终 止 。 （ 译 注 ： 译 注 ： h t t p : / / w w w . c p l u s p l u s . c o m / r e f e r e n c e / c s t d i o / s s c a n f / h t t p : / / w w w . c p l u s p l u s . c o m / r e f e r e n c e / c c t y p e / i s s p a c e / ）                         字 符 数 组 c h a r N a m e 被 定 义 为 长 度 只 有 1 0 0 个 字 节 ， 因 此 当 一 个 B D F 字 体 包 含 一 个 “ S T A R T C H A R ” 开 始 的 字 符 串 并 且 其 版 本 号 的 长 度 超 过 字 符 数 组 长 度 将 会 导 致 超 过 数 组 范 围 ， 将 数 据 放 在 栈 中 的 其 他 数 据 区 上 。 这 意 味 着 攻 击 者 可 以 覆 盖 内 存 从 而 控 制 处 理 器 的 命 令 指 针 离 开 b d f R e a d C h a r a c t e r s 函 数 ， 从 而 有 效 的 劫 持 程 序 。                         因 为 X 服 务 通 常 是 以 超 级 用 户 权 限 运 行 的 ， 如 果 攻 击 成 功 ， 普 通 用 户 权 限 的 用 户 可 以 通 过 执 行 代 码 来 得 到 机 器 的 控 制 权 。 关 于 在 现 今 系 统 中 存 在 保 护 机 制 情 况 下 ， 如 何 触 发 栈 溢 出 的 更 深 层 次 的 文 章 可 以 参 考 如 下 两 篇 文 章                 h t t p : / / w w w . e x p l o i t - d b . c o m / p a p e r s / 2 4 0 8 5 /                 h t t p : / / c r y p t o . s t a n f o r d . e d u / ~ b l y n n / r o p /                         修 补 漏 洞 很 简 单 ， 如 下 图 所 示 ， 明 确 指 定 数 据 长 度 为 9 9 个 字 节 ， 第 1 0 0 个 字 节 用 来 保 存 N U L L 。 来 自 X . o r g 的 声 明 ： 在 由 X . o r g   发 布 的 所 有 的 X 服 务 中 ， l i b X f o n t 被 用 来 读 取 用 户 指 定 的 字 体 文 件 ， 包 含 X o r g 服 务 ， 它 通 常 是 以 r o o t 权 限 来 运 行 的 ， 或 者 是 以 s e t u i d - r o o t 的 权 限 来 运 行 以 方 便 访 问 硬 件 ， 这 一 漏 洞 可 能 导 致 在 某 些 系 统 中 ， 一 个 普 通 用 户 拿 到 r o o t 权 限 。                         在 1 2 月 份 的 混 沌 通 信 大 会 上 ， I l j a   v a n   S p r u n d e l   说 他 要 在 两 个 月 内 ， 挖 到 1 2 0 个 漏 洞 。 V a n   S p r u n d e l 说 ： “ 现 在 我 还 没 有 挖
到 那 么 多 ” ， V a n   S p r u n d e 在 2 0 1 3 年 5 月 份 导 致 了 X . o r g 的 大 量 安 全 更 新 ， 包 含 数 十 个 需 要 修 正 的 漏 洞 ， 因 为 客 户 端 程 序 库 相 信 服 务 器 发 送 的 数 据 时 有 效 的 ， 没 有 进 行 完 整 性 测 试 。 （ 译 注 ： 译 注 ： h t t p : / / l i s t s . x . o r g / a r c h i v e s / x o r g - d e v e l / 2 0 1 3 - M a y / 0 3 6 2 7 6 . h t m l ） 最 新 的 漏 洞 是 通 过 c p p c h e c k 静 态 分 析 工 具 发 现 的 ， 命 名 为 C V E - 2 0 1 3 - 6 4 6 2 ， 安 全 更 新 应 该 在 所 有 的 包 管 理 中 有 效 。 （ 译 译 注 ： 有 关 注 ： 有 关 c p p c h e c k ， 请 参 照 ， 请 参 照 h t t p : / / c p p c h e c k . s o u r c e f o r g e . n e t / ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理