搜索

[7891] 2014-03-20_软件漏洞分析技巧分享

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-03-20_软件漏洞分析技巧分享 软 件 漏 洞 分 析 技 巧 分 享 腾 讯 安 全 中 心   F r e e B u f   2 0 1 4 - 0 3 - 2 0 作 者 ： r i u s k s k 【 T S R C 】 在 日 常 分 析 软 件 漏 洞 时 ， 经 常 需 要 耗 费 比 较 长 的 分 析 时 间 ， 少 则 几 小 时 ， 多 则 数 天 ， 甚 至 更 久 。 因 此 ， 经 常 总 结 一 在 日 常 分 析 软 件 漏 洞 时 ， 经 常 需 要 耗 费 比 较 长 的 分 析 时 间 ， 少 则 几 小 时 ， 多 则 数 天 ， 甚 至 更 久 。 因 此 ， 经 常 总 结 一 些 分 析 技 巧 是 非 常 有 必 要 的 ， 针 对 不 同 的 漏 洞 类 型 采 取 不 同 的 分 析 思 路 和 技 巧 ， 可 以 有 效 地 提 高 分 析 速 度 。 些 分 析 技 巧 是 非 常 有 必 要 的 ， 针 对 不 同 的 漏 洞 类 型 采 取 不 同 的 分 析 思 路 和 技 巧 ， 可 以 有 效 地 提 高 分 析 速 度 。 对 于 一 些 被 曝 出 来 的 热 门 0 d a y ， 网 上 一 般 都 会 有 分 析 文 章 ， 但 一 般 都 是 “ 结 论 性 分 析 ” ， 也 就 是 直 接 帖 漏 洞 代 码 ， 指 出 哪 里 出 错 ， 而 非 “ 思 路 性 分 析 ” 。 如 果 你 经 常 分 析 漏 洞 的 话 ， 会 发 现 占 用 你 分 析 时 间 的 往 往 不 是 分 析 漏 洞 代 码 ， 而 是 定 位 漏 洞 代 码 。 所 以 说 ， 调 试 分 析 漏 洞 有 时 就 是 看 下 断 点 下 得 准 不 ， 再 加 上 一 些 胡 猜 乱 想 来 推 测 ， 最 后 才 是 分 析 漏 洞 代 码 了 ， 如 果 熟 悉 汇 编 指 令 ， 这 个 就 不 是 问 题 了 。 下 面 是 笔 者 就 以 往 分 析 过 的 若 干 实 例 漏 洞 ， 总 结 出 的 一 些 小 技 巧 。 不 过 ， 技 巧 甚 多 ， 篇 幅 有 限 ， 此 处 仅 列 举 一 些 比 较 个 人 常 用 的 方 法 ， 也 欢 迎 各 位 分 享 自 己 的 一 些 分 析 技 巧 ， 大 家 共 同 学 习 探 讨 。 技 巧 一 ： 快 速 定 位 技 巧 一 ： 快 速 定 位 J S 代 码 调 用 的 代 码 调 用 的 I E 类 成 员 函 数 类 成 员 函 数 C V E - 2 0 1 1 - 0 0 2 7   M i c r o s o f t   D a t a   A c c e s s 组 件 整 数 溢 出 漏 洞 是 P w n 2 O w n   2 0 1 0 黑 客 大 赛 中 被 用 来 攻 破 I E 8 浏 览 器 的 漏 洞 ， 其 中 关 键 的 漏 洞 触 发 代 码 如 下 ： l o c a l x m l i d 1   =   d o c u m e n t . g e t E l e m e n t B y I d ( ' x m l i d 1 ' ) . r e c o r d s e t ;         / /   获 取 x m l 元 素 x m l i d 1 的 r e c o r d s e t ， 即 数 据 库 表 的 记 录 集 l o c a l x m l i d 1 . C a c h e S i z e   =   0 x 4 0 0 0 0 3 5 8 ;         / /   设 置 能 够 被 保 存 的 记 录 条 数 ， 此 值 最 终 造 成 整 数 溢 出 现 在 我 们 就 介 绍 一 种 快 速 定 位 上 述 两 行 代 码 将 对 应 调 用 的 I E 类 成 员 函 数 ， 首 先 用 I D A 加 载 漏 洞 文 件 m s a d o 1 5 . d l l ， 并 允 许 加 载 微 软 符 号 表 ， 然 后 选 中 “ F u n c t i o n   n a m e ” 一 栏 ， 按 “ A l t   +   T ” 快 捷 键 弹 出 搜 索 框 ， 输 入 搜 索 关 键 字 “ c a c h e s i z e ” ： 通 过 按 “ C t r l + T ” 可 继 续 搜 索 下 一 个 ， 最 后 找 到 两 个 相 关 函 数 ：
C R e c o r d s e t : : p u t _ C a c h e S i z e ( l o n g   * ) C R o c o r d s e t : : g e t _ C a c h e S i z e ( l o n g ) 我 们 对 C R e c o r d s e t : : p u t _ C a c h e S i z e 下 断 点 验 证 下 前 面 的 猜 测 ， 用 W i n d b g 附 加 I E 进 程 运 行 后 打 开 p o c . h t m l ， 确 实 断 在 p u t _ C a c h e S i z e ， 通 过 查 看 参 数 可 以 看 到 p o c . h t m l 中 设 置 的 C a c h e S i z e 值 0 × 4 0 0 0 0 3 5 8 ， 说 明 C R e c o r d s e t : : p u t _ C a c h e S i z e 确 实 是 设 置 C a c h e S i z e 值 的 函 数 ： 0 : 0 0 5 >   g B r e a k p o i n t   1   h i t e a x = 4 0 0 0 0 3 5 8   e b x = 0 4 b d c f d 8   e c x = 6 e 6 1 d 3 4 0   e d x = 0 0 0 0 0 0 0 0   e s i = 0 1 f b f 1 4 4   e d i = 0 0 0 0 0 0 0 0 e i p = 6 e 6 a c 9 5 7   e s p = 0 1 f b e b 5 8   e b p = 0 1 f b f 0 4 0   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 1 b     s s = 0 0 2 3     d s = 0 0 2 3     e s = 0 0 2 3     f s = 0 0 3 b     g s = 0 0 0 0                           e f l = 0 0 0 0 0 2 4 6 m s a d o 1 5 ! C R e c o r d s e t : : p u t _ C a c h e S i z e : 6 e 6 a c 9 5 7   8 b f f                         m o v           e d i , e d i 0 : 0 0 5 >   d d   e s p 0 1 f b e b 5 8     6 e 6 2 f 3 e c   0 4 b d c f d 8   4 0 0 0 0 3 5 8   0 0 0 0 0 0 0 0 0 1 f b e b 6 8     0 1 f b f 0 7 4   0 4 b d c f d 8   1 1 0 0 0 0 1 1   0 0 0 0 0 0 0 0 0 1 f b e b 7 8     0 3 5 7 0 a e 8   0 0 4 a d 0 7 0   0 0 5 3 8 a 3 0   0 0 0 0 0 0 8 8 0 1 f b e b 8 8     0 0 4 7 0 0 0 0   0 0 0 0 0 0 0 2   0 3 5 7 0 7 6 0   0 1 f b e c 8 4 0 1 f b e b 9 8     7 6 f c 3 1 9 3   0 0 4 7 0 1 3 8   7 6 f c 3 1 6 f   7 6 4 7 3 6 b 8 0 1 f b e b a 8     0 0 0 0 0 0 0 0   0 0 4 7 0 0 0 0   0 3 5 7 0 7 6 8   0 0 5 1 8 a 7 8 0 1 f b e b b 8     0 0 4 7 6 7 b 8   0 0 4 7 6 8 e 4   0 0 5 5 9 2 5 8   0 0 4 7 6 d b 8 0 1 f b e b c 8     7 6 f 8 d 7 4 d   0 0 5 1 d 9 6 8   0 0 4 7 2 a 9 8   0 1 f b e d c 0 我 们 对 C R e c o r d s e t : : p u t _ C a c h e S i z e 下 断 点 验 证 下 前 面 的 猜 测 ， 用 W i n d b g 附 加 I E 进 程 运 行 后 打 开 p o c . h t m l ， 确 实 断 在 p u t _ C a c h e S i z e ， 通 过 查 看 参 数 可 以 看 到 p o c . h t m l 中 设 置 的 C a c h e S i z e 值 0 × 4 0 0 0 0 3 5 8 ， 说 明 C R e c o r d s e t : : p u t _ C a c h e S i z e 确 实 是 设 置 C a c h e S i z e 值 的 函 数 ：
技 巧 二 ： 通 过 页 堆 快 速 定 位 堆 漏 洞 代 码 技 巧 二 ： 通 过 页 堆 快 速 定 位 堆 漏 洞 代 码 页 堆 是 w i n d o w s   2 0 0 0   引 入 的 调 试 支 持 功 能 ， 简 称 D P H （ D e b u g   P a g e   H e a p ） ， 启 用 该 机 制 后 ， 堆 管 理 器 会 在 堆 块 后 增 加 专 门 用 于 检 测 溢 出 的 栅 栏 页 ， 当 数 据 溢 出 触 及 栅 栏 页 便 会 立 刻 触 发 异 常 ， 此 时 往 往 就 是 触 发 漏 洞 的 最 及 时 的 位 置 ， 它 不 仅 适 用 于 堆 溢 出 ， 对 于 其 它 类 型 的 堆 漏 洞 也 是 适 用 的 。 以 C V E - 2 0 1 3 - 0 0 7 7   微 软 D i r e c t S h o w 堆 溢 出 漏 洞 为 例 ， 通 过 以 下 命 令 开 启 页 堆 （ g f l a g s ） ： g f l a g s . e x e   – i   p l a y e r . e x e   + h p a 开 启 页 堆 h p a 后 ， 重 新 附 加 运 行 后 ， 在 复 制 数 据 到 堆 边 界 时 断 下 ： ( 4 b 8 . 3 5 8 ) :   A c c e s s   v i o l a t i o n   -   c o d e   c 0 0 0 0 0 0 5   ( f i r s t   c h a n c e ) F i r s t   c h a n c e   e x c e p t i o n s   a r e   r e p o r t e d   b e f o r e   a n y   e x c e p t i o n   h a n d l i n g . T h i s   e x c e p t i o n   m a y   b e   e x p e c t e d   a n d   h a n d l e d . e a x = 0 0 0 0 0 0 c 3   e b x = 0 0 3 f a c 9 8   e c x = 0 0 0 0 0 0 0 3   e d x = 0 0 0 0 0 0 f 7   e s i = 0 0 1 b b d d 4   e d i = 0 0 3 f b 0 0 0 e i p = 7 d 0 7 0 6 d 0   e s p = 0 2 a 5 f 6 5 0   e b p = 0 2 a 5 f 6 5 8   i o p l = 0                   n v   u p   e i   p l   n z   n a   p o   n c c s = 0 0 1 b     s s = 0 0 2 3     d s = 0 0 2 3     e s = 0 0 2 3     f s = 0 0 3 8     g s = 0 0 0 0                           e f l = 0 0 0 1 0 2 0 2 q u a r t z ! P a r s e S e q u e n c e H e a d e r + 0 x 1 1 4 : 7 d 0 7 0 6 d 0   f 3 a 5                         r e p   m o v s   d w o r d   p t r   e s : [ e d i ] , d w o r d   p t r   [ e s i ] 上 面 就 是 断 在 复 制 数 据 导 致 溢 出 的 指 令 ， 通 过 分 析 其 所 在 函 数 往 往 很 容 易 定 位 漏 洞 代 码 。 如 果 不 开 启 页 堆 ， 直 接 以 默 认 形 式 调 试 的 话 ， 你 会 发 现 是 断 在 以 下 指 令 ： ( 4 c 8 . 6 b c ) :   A c c e s s   v i o l a t i o n   -   c o d e   c 0 0 0 0 0 0 5   ( f i r s t   c h a n c e ) F i r s t   c h a n c e   e x c e p t i o n s   a r e   r e p o r t e d   b e f o r e   a n y   e x c e p t i o n   h a n d l i n g . T h i s   e x c e p t i o n   m a y   b e   e x p e c t e d   a n d   h a n d l e d . e a x = 4 1 4 1 4 1 4 1   e b x = 0 0 3 f 0 0 0 0   e c x = 4 1 4 1 4 1 4 1   e d x = 0 3 1 2 8 e 4 0   e s i = 0 3 1 2 8 e 3 8   e d i = 0 0 0 0 0 0 1 2 e i p = 7 c 9 3 0 e f e   e s p = 0 4 6 5 f 9 9 8   e b p = 0 4 6 5 f b b 8   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 1 b     s s = 0 0 2 3     d s = 0 0 2 3     e s = 0 0 2 3     f s = 0 0 3 b     g s = 0 0 0 0                           e f l = 0 0 0 1 0 2 4 6 n t d l l ! R t l A l l o c a t e H e a p + 0 x 6 5 3 : 7 c 9 3 0 e f e   8 b 3 9                         m o v           e d i , d w o r d   p t r   [ e c x ]     d s : 0 0 2 3 : 4 1 4 1 4 1 4 1 = ? ? ? ? ? ? ? ? 这 已 经 是 堆 溢 出 后 导 致 的 内 存 读 取 异 常 了 ， 不 再 是 触 发 漏 洞 时 最 原 始 的 场 景 了 。 因 此 开 启 页 堆 后 ， 会 更 方 便 你 去 定 位 漏 洞 代 码 。 技 巧 三 ： 基 于 堆 分 配 记 录 定 位 整 数 溢 出 漏 洞 代 码 技 巧 三 ： 基 于 堆 分 配 记 录 定 位 整 数 溢 出 漏 洞 代 码 以 C V E - 2 0 1 1 - 0 0 2 7   M i c r o s o f t   D a t a   A c c e s s 组 件 整 数 溢 出 漏 洞 为 例 ， 这 个 漏 洞 就 是 在 P w n 2 O w n   2 0 1 0 黑 客 大 赛 中 ， 荷 兰 黑 客 P e t e r V r e u g d e n h i l 利 用 它 来 攻 破 W i n 7 上 的 I E 8 浏 览 器 的 。 下 面 是 打 开 p o c . h t m l 后 的 异 常 情 况 ： ( 7 b 8 . 2 7 8 ) :   A c c e s s   v i o l a t i o n   -   c o d e   c 0 0 0 0 0 0 5   ( f i r s t   c h a n c e ) F i r s t   c h a n c e   e x c e p t i o n s   a r e   r e p o r t e d   b e f o r e   a n y   e x c e p t i o n   h a n d l i n g . T h i s   e x c e p t i o n   m a y   b e   e x p e c t e d   a n d   h a n d l e d . e a x = 0 0 0 0 0 3 6 b   e b x = 0 0 0 0 0 3 5 b   e c x = 0 0 0 0 0 0 0 0   e d x = 0 0 0 0 0 0 0 1   e s i = 0 8 8 c 8 0 0 0   e d i = 0 0 0 0 0 0 0 0 e i p = 6 8 8 7 7 4 6 f   e s p = 0 4 4 d e e 8 4   e b p = 0 4 4 d e e 8 8   i o p l = 0                   n v   u p   e i   p l   n z   n a   p o   n c
c s = 0 0 1 b     s s = 0 0 2 3     d s = 0 0 2 3     e s = 0 0 2 3     f s = 0 0 3 b     g s = 0 0 0 0                           e f l = 0 0 0 1 0 2 0 2 m s h t m l ! C I m p I R o w s e t : : H R o w N u m b e r 2 H R O W Q u i e t + 0 x 2 3 : 6 8 8 7 7 4 6 f   8 9 0 6                         m o v           d w o r d   p t r   [ e s i ] , e a x     d s : 0 0 2 3 : 0 8 8 c 8 0 0 0 = ? ? ? ? ? ? ? ? 0 : 0 0 5 >   ! h e a p   - p   - a   0 8 8 c 8 0 0 0         a d d r e s s   0 8 8 c 8 0 0 0   f o u n d   i n         _ D P H _ H E A P _ R O O T   @   8 8 2 1 0 0 0         i n   b u s y   a l l o c a t i o n   (     D P H _ H E A P _ B L O C K :                   U s e r A d d r                   U s e r S i z e   -                   V i r t A d d r                   V i r t S i z e )                                                                   8 8 2 2 7 e c :                     8 8 c 7 2 9 8                           d 6 4 -                     8 8 c 7 0 0 0                           2 0 0 0         7 2 e b 8 e 8 9   v e r i f i e r ! A V r f D e b u g P a g e H e a p A l l o c a t e + 0 x 0 0 0 0 0 2 2 9         7 7 0 3 4 e a 6   n t d l l ! R t l D e b u g A l l o c a t e H e a p + 0 x 0 0 0 0 0 0 3 0         7 6 f f 7 d 9 6   n t d l l ! R t l p A l l o c a t e H e a p + 0 x 0 0 0 0 0 0 c 4         7 6 f c 3 4 c a   n t d l l ! R t l A l l o c a t e H e a p + 0 x 0 0 0 0 0 2 3 a         7 3 0 d 9 7 5 d   M S D A R T ! M p H e a p A l l o c + 0 x 0 0 0 0 0 0 2 9         6 e 5 4 0 6 e 7   m s a d o 1 5 ! C R e c o r d G r o u p : : A l l o c a t e H R o w R a n g e + 0 x 0 0 0 0 0 0 8 5         6 e 5 4 0 6 5 0   m s a d o 1 5 ! C R e c o r d s e t : : P r e p a r e F o r F e t c h + 0 x 0 0 0 0 0 0 e 2         6 e 5 d 4 4 a e   m s a d o 1 5 ! C R e c o r d s e t : : M o v e A b s o l u t e + 0 x 0 0 0 0 0 3 e 3         6 e 5 6 8 0 a 5   m s a d o 1 5 ! C R e c o r d s e t : : _ M o v e F i r s t + 0 x 0 0 0 0 0 0 7 d         6 e 5 d 7 9 5 7   m s a d o 1 5 ! C R e c o r d s e t : : M o v e F i r s t + 0 x 0 0 0 0 0 2 2 1         6 e 5 4 f d e 6   m s a d o 1 5 ! C R e c o r d s e t : : I n v o k e + 0 x 0 0 0 0 1 5 6 0         7 1 d c d b 3 8   j s c r i p t ! I D i s p a t c h I n v o k e 2 + 0 x 0 0 0 0 0 0 f 0         7 1 d c d a 8 c   j s c r i p t ! I D i s p a t c h I n v o k e + 0 x 0 0 0 0 0 0 6 a         7 1 d c d 9 f f   j s c r i p t ! I n v o k e D i s p a t c h + 0 x 0 0 0 0 0 0 a 9         7 1 d c d b 8 a   j s c r i p t ! V A R : : I n v o k e B y N a m e + 0 x 0 0 0 0 0 0 9 3         7 1 d c d 8 c 8   j s c r i p t ! V A R : : I n v o k e D i s p N a m e + 0 x 0 0 0 0 0 0 7 d         7 1 d c d 9 6 f   j s c r i p t ! V A R : : I n v o k e B y D i s p I D + 0 x 0 0 0 0 0 0 c e         7 1 d c e 3 e 7   j s c r i p t ! C S c r i p t R u n t i m e : : R u n + 0 x 0 0 0 0 2 b 8 0         7 1 d c 5 c 9 d   j s c r i p t ! S c r F n c O b j : : C a l l W i t h F r a m e O n S t a c k + 0 x 0 0 0 0 0 0 c e         7 1 d c 5 b f b   j s c r i p t ! S c r F n c O b j : : C a l l + 0 x 0 0 0 0 0 0 8 d         7 1 d c 5 e 1 1   j s c r i p t ! C S e s s i o n : : E x e c u t e + 0 x 0 0 0 0 0 1 5 f         7 1 d b f 3 e e   j s c r i p t ! N a m e T b l : : I n v o k e D e f + 0 x 0 0 0 0 0 1 b 5         7 1 d b e a 2 e   j s c r i p t ! N a m e T b l : : I n v o k e E x + 0 x 0 0 0 0 0 1 2 c         7 1 d b 9 6 d e   j s c r i p t ! N a m e T b l : : I n v o k e + 0 x 0 0 0 0 0 0 7 0         6 8 5 a a a 7 b   m s h t m l ! C W i n d o w : : E x e c u t e T i m e o u t S c r i p t + 0 x 0 0 0 0 0 0 8 7         6 8 5 a a b 6 6   m s h t m l ! C W i n d o w : : F i r e T i m e O u t + 0 x 0 0 0 0 0 0 b 6         6 8 5 d 6 a f 7   m s h t m l ! C S t a c k P t r A r y < u n s i g n e d   l o n g , 1 2 > : : G e t S t a c k S i z e + 0 x 0 0 0 0 0 0 b 6         6 8 5 d 1 e 5 7   m s h t m l ! G l o b a l W n d P r o c + 0 x 0 0 0 0 0 1 8 3         7 7 0 e 8 6 e f   U S E R 3 2 ! I n t e r n a l C a l l W i n P r o c + 0 x 0 0 0 0 0 0 2 3         7 7 0 e 8 8 7 6   U S E R 3 2 ! U s e r C a l l W i n P r o c C h e c k W o w + 0 x 0 0 0 0 0 1 4 b         7 7 0 e 8 9 b 5   U S E R 3 2 ! D i s p a t c h M e s s a g e W o r k e r + 0 x 0 0 0 0 0 3 5 e         7 7 0 e 8 e 9 c   U S E R 3 2 ! D i s p a t c h M e s s a g e W + 0 x 0 0 0 0 0 0 0 f 根 据 上 面 异 常 的 信 息 ， 可 以 知 道 程 序 是 在 向 地 址 为 0 x 8 8 c 7 2 9 8 ， 大 小 0 x d 6 4 的 堆 块 写 入 数 据 时 造 成 堆 溢 出 了 。 再 根 据 ! h e a p 命 令 中 返 回 的 栈 回 溯 信 息 可 以 知 道 ， 被 溢 出 的 堆 块 是 在 C R e c o r d s e t : : M o v e F i r s t 函 数 中 调 用 M p H e a p A l l o c 函 数 分 配 的 ， 调 用 该 分 配 函 数 的 上 层 函 数 是 C R e c o r d G r o u p : : A l l o c a t e H R o w R a n g e ， 对 此 函 数 下 断 ， 跟 进 后 ：       ( 代 码 请 点 击 “ 阅 读 原 文 查 看 ” ， 微 信 字 数 限 制 。 。 。 ) 该 漏 洞 主 要 是 由 于 对 C a c h e S i z e 整 数 值 未 作 有 效 判 断 ， 导 致 经 C a c h e S i z e * 4 + 4 造 成 整 数 溢 出 ， 当 以 C a c h e S i z e * 4 + 4 结 果 作 为 分 配 堆 块 的 大 小 时 ， 由 于 分 配 过 小 堆 块 就 会 造 成 堆 溢 出 。 技 巧 四 ： 基 于 条 件 记 录 断 点 的 漏 洞 分 析 技 巧 技 巧 四 ： 基 于 条 件 记 录 断 点 的 漏 洞 分 析 技 巧
以 C V E - 2 0 1 2 - 0 7 7 4   A d o b e   R e a d e r   T r u e T y p e 字 体 整 数 溢 出 漏 洞 为 例 ， 该 漏 洞 主 要 是 在 解 析 T T F 字 体 中 的 虚 拟 指 令 导 致 的 溢 出 ， 为 了 确 定 导 致 溢 出 的 是 哪 条 虚 拟 指 令 ， 就 可 以 通 过 设 置 条 件 记 录 断 点 来 实 现 。 打 开 p o c 触 发 崩 溃 后 ， 通 过 栈 回 溯 定 位 漏 洞 函 数 ， 此 处 标 记 为 V u l F u n c t i o n ， 它 就 是 用 于 索 引 虚 拟 指 令 处 理 函 数 的 。 通 过 快 捷 键 S h i f t   +   F 4 对 V u l F u n c t i o n 下 条 件 记 录 断 点 ， 记 录 每 次 调 用 V u l F u n c t i o n 时 对 应 的 虚 拟 指 令 索 引 号 设 置 好 后 重 新 加 载 A c r o R d 3 2 . e x e 运 行 （ 不 要 关 闭 调 试 器 否 则 前 面 设 置 的 断 点 可 能 失 效 ） ， 打 开 p o c . p d f 运 行 后 查 看 日 志 窗 口 ：
导 致 漏 洞 的 虚 拟 指 令 索 引 号 为 0 × 2 6 ， 通 过 苹 果 官 方 提 供 的 指 令 集 h t t p s : / / d e v e l o p e r . a p p l e . c o m / f o n t s / t t r e f m a n / R M 0 5 / C h a p 5 . h t m l ， 可 以 查 到 字 节 码 0 × 2 6 对 应 的 虚 拟 指 令 为 M I N D E X ， 正 是 该 条 指 令 导 致 的 溢 出 。 技 巧 五 ： 基 于 技 巧 五 ： 基 于 J S 日 志 的 漏 洞 分 析 技 巧 日 志 的 漏 洞 分 析 技 巧 有 时 在 调 试 I E 漏 洞 时 ， 我 们 需 要 样 本 中 的 J S 代 码 的 执 行 先 后 情 况 ， 通 过 添 加 一 些 数 学 函 数 ， 比 如 m a t h . a t a n 2 、 m a t h . a s i n 等 ， 还 可 以 使 用 其 它 函 数 ， 然 后 通 过 对 j s c r i p t ! J s : : M a t h : : A t a n （ 或 者 其 它 函 数 ） 下 断 点 来 输 出 l o g ， 以 方 便 分 析 者 观 察 执 行 情 况 。 比 如 p o c 中 有 如 下 j s ， 其 中 的 m a t h . a t a n 2 是 我 们 添 加 的 ： M a t h . a t a n 2 ( 0 x b a b e ,   " [ * ]   C r e a t i n g   o b j e c t   b u t t o n . . . " ) ;         v a r   o b j   =   d o c u m e n t . c r e a t e E l e m e n t ( " b u t t o n " ) ;         M a t h . a t a n 2 ( 0 x b a b e ,   " [ * ]   A s s i g n i n g   d a t a   t o   t i t l e . . . " ) ;         o b j . t i t l e   =   d a t a . s u b s t r i n g ( 0 , 0 x 4 0 0 0 0 - 0 x 5 8 ) ;           M a t h . a t a n 2 ( 0 x b a b e ,   " [ * ]   L e t ' s   A p p e n d C h i l d " ) ;         d i v _ c o n t a i n e r . a p p e n d C h i l d ( o b j ) ; 通 过 设 置 以 下 断 点 ： b u   j s c r i p t ! J s A t a n 2   " . p r i n t f   " % m u " ,   p o i ( p o i ( p o i ( e s p + 1 4 ) + 8 ) + 8 ) ; . e c h o ; g "
运 行 后 在 w i n d b g 上 的 输 出 窗 口 就 会 看 到 ： [ * ]   C r e a t i n g   o b j e c t   b u t t o n . . . [ * ]   A s s i g n i n g   d a t a   t o   t i t l e . . . [ * ]   L e t & # 0 3 9 ; s   A p p e n d C h i l d 技 巧 六 ： 通 过 虚 拟 机 快 照 来 固 定 堆 地 址 技 巧 六 ： 通 过 虚 拟 机 快 照 来 固 定 堆 地 址 最 早 听 到 这 个 方 法 ， 是 i n s t r u d e r 在 Q Q 群 里 面 提 到 的 。 由 于 在 分 析 漏 洞 时 ， 尤 其 是 堆 漏 洞 时 ， 每 个 重 新 加 载 运 行 时 ， 分 配 的 堆 地 址 都 是 固 定 ， 无 论 是 分 析 还 是 写 文 档 ， 都 不 太 利 用 于 我 们 分 析 和 描 述 。 因 此 我 们 可 以 先 将 程 序 调 试 已 经 完 成 堆 分 配 的 某 个 地 址 ， 然 后 将 其 保 存 为 虚 拟 机 快 照 ， 等 我 们 需 要 再 重 新 开 始 调 试 时 ， 可 通 过 恢 复 先 前 保 存 的 快 照 来 重 新 调 试 ， 那 么 此 时 的 堆 地 址 跟 之 前 分 析 的 地 址 都 是 固 定 的 。 技 巧 七 ： 监 控 堆 分 配 释 放 动 作 来 分 析 技 巧 七 ： 监 控 堆 分 配 释 放 动 作 来 分 析 U A F 、 、 d o u b l e   f r e e 漏 洞 漏 洞 以 之 前 分 配 l i b p n g 某 个 d o u b l e   f r e e 漏 洞 的 分 析 为 例 ， 主 要 是 通 过 对 释 放 函 数 f r e e 进 行 监 控 并 输 出 记 录 来 分 析 的 。 程 序 崩 溃 时 的 栈 回 溯 如 下 ： 重 新 用 w i n d b g 加 载 ， 通 过 监 控 堆 块 的 释 放 过 程 ， 可 以 发 现 它 在 对 其 中 某 堆 块 进 行 了 双 重 释 放 ， 先 下 断 ： b u   3 4 4 0 D 2 7 9   " . i f ( 1 ) { . e c h o   E n t e r V u l n F u n c ; g c } " b u   6 e 2 6 4 b 6 c   " . i f ( 1 ) { . e c h o   F r e e   h e a p   b l o c k ;   d d   e s p   l 4 ; g c } " 输 出 结 果 ： E n t e r V u l n F u n c F r e e   h e a p   b l o c k 0 0 1 1 b c 5 c     3 4 4 1 e 2 a 2   1 3 8 f 0 0 2 0   3 b 9 0 6 3 1 3   1 0 0 2 7 b 6 4 F r e e   h e a p   b l o c k 0 0 1 1 b c 5 c     3 4 4 1 d c 6 c   1 3 8 f 0 0 2 0   3 b 9 0 6 3 1 3   1 0 0 2 7 b 6 4 ( 1 5 0 8 . e 8 4 ) :   A c c e s s   v i o l a t i o n   -   c o d e   c 0 0 0 0 0 0 5   ( f i r s t   c h a n c e ) F i r s t   c h a n c e   e x c e p t i o n s   a r e   r e p o r t e d   b e f o r e   a n y   e x c e p t i o n   h a n d l i n g . T h i s   e x c e p t i o n   m a y   b e   e x p e c t e d   a n d   h a n d l e d . e a x = 1 3 8 f 0 0 1 8   e b x = 1 3 8 f 0 0 2 0   e c x = 6 e 2 8 7 a 7 e   e d x = 1 0 0 2 8 a 7 0   e s i = 0 0 8 a 0 0 0 0   e d i = 0 0 0 0 0 0 0 0 e i p = 7 7 6 9 1 f 8 8   e s p = 0 0 1 1 b b e 8   e b p = 0 0 1 1 b b f 8   i o p l = 0                   n v   u p   e i   p l   z r   n a   p e   n c c s = 0 0 1 b     s s = 0 0 2 3     d s = 0 0 2 3     e s = 0 0 2 3     f s = 0 0 3 b     g s = 0 0 0 0                           e f l = 0 0 0 1 0 2 4 6 n t d l l ! R t l F r e e H e a p + 0 x 3 a : 7 7 6 9 1 f 8 8   8 0 7 8 0 7 0 5                 c m p           b y t e   p t r   [ e a x + 7 ] , 5                   d s : 0 0 2 3 : 1 3 8 f 0 0 1 f = ? ? 可 以 看 到 它 对 同 一 个 堆 块 进 行 多 次 释 放 。 在 I E 漏 洞 分 析 中 最 常 见 的 还 是 U A F ， 如 果 想 快 速 定 造 成 U A F 的 I E 对 象 ， 就 需 要 对 对 象 的 分 配 的 释 放 进 行 释 放 ， 这 个 可 通 过 调 试 器 脚 本 来 实 现 ， 或 者 像 之 前 h 4 c k m p 同 学 基 于 W i n d b g 接 口 写 的 E X E 工 具 ， 可 以 快 速 分 析 出 导 致 U A F 漏 洞 的 对 象 ， 如 下 图 所 示 。
技 巧 八 ： 基 于 污 点 追 踪 的 分 析 方 法 技 巧 八 ： 基 于 污 点 追 踪 的 分 析 方 法 污 点 追 踪 理 论 挺 好 的 ， 但 成 品 往 往 不 容 乐 观 。 污 点 追 踪 犹 如 “ 七 伤 拳 ” 一 般 ， “ 先 伤 己 ， 再 伤 人 ” ， 开 发 污 点 追 踪 工 具 ， 不 仅 费 时 费 力 ， 而 且 开 发 完 成 后 ， 运 行 比 较 大 的 工 具 往 往 需 要 运 行 很 长 时 间 ， 比 如 I E 、 A d o b e 等 软 件 ， 有 时 甚 至 需 要 整 整 一 天 的 时 间 ， 这 种 一 般 是 在 调 试 分 析 不 方 便 的 时 候 才 使 用 的 ， 主 要 针 对 文 件 格 式 漏 洞 。 另 外 ， 你 也 可 利 用 p i n 等 动 态 插 桩 框 架 开 发 出 动 态 分 析 工 具 ， 针 对 特 定 函 数 挂 钩 ， 比 如 堆 分 配 与 释 放 函 数 ， 也 可 以 用 它 来 实 现 快 速 分 析 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理