CVE-2012-0158:Microsoft Office MSCOMCTL.ocx 栈溢出漏洞调试分析
0x01 Lotus Blossom 行动
- 在 2015 年 6 月,国外安全厂商 Palo Alto Networks 的威胁情报团队 Unit42 发现了一起针对东南亚政府的一次间谍行为,试图获取该国家的内部运作信息,此次攻击行动代号为 Lotus Blossom
- 通过恶意构造 Office 文档使目标上钩,从而在对方的计算机中植入木马,诱骗的内容包括电影邀请、明星照片、陆军机密文件、IT 升级计划等等
- 其中就利用了著名的 CVE-2012-0158 Word 栈溢出漏洞(用烂了的),CVE-2012-0158 的成因是 MSCOMCTL 模块中对文档数据读取过滤不严导致堆栈溢出
0x02 构建漏洞分析环境
- 漏洞软件: Microsoft Office Word 2003,版本:11.0.8211(提取码:woi9)
- 调试器: Immunity Debugger、IDA(提取码:v0pt)、OD
- 虚拟机:Windows XP sp3 64 位操作系统(提取码:d3ho,需要先解压)
- 样本: 能够触发异常的 POC 文档(RTF 格式,提取码:by1o)
- Office 格式分析工具: Offvis、oletools
0x03 根据异常定位漏洞函数
- 这一次并没有用到 Windbg,因为异常点并没有想要的信息;利用 Immunity Debugger 附加 Word 进程打开漏洞文档(也可以加载源文件,但是附加进程可以跳过文档启动过程,更方便)
- 这个就是当前的运行程序,选择 WINWORD.EXE 程序
- 让它运行起来
- 打开 POC 文档触发异常
- 此时汇编窗口是黑色的,凭经验判断是返回值错误导致的,离堆栈异常点最近的地方可以看出有一个叫 MSCOMCTL 的模块,地址是 0x275c8a0a
- 载入 OD 运行
- 由堆栈可知,在该函数返回的时候会被覆盖 0x41414141,故在函数开辟堆栈前先断下,重新运行,发现此时函数返回值还未被覆盖
- 经过反复调试,发现执行完这个函数后返回值才被覆盖,所以进入这个函数
- 终于在 0x275c87cb 中看到了可疑的复制指令,经过多次调试发现确实是这一个指令出了问题,指令执行之后,堆栈会被覆盖(edi 和 esi 满足条件后,这里要多执行几次)
- 将有漏洞的模块载入到 IDA 当中,该模块是在 System32 中,并且基址和 0x275c87cb 相对应
- 找到汇编指令漏洞触发点
- 翻译成伪 C 代码,成功定位 memcpy 污点函数
0x04 追根溯源查找样本对应数据
- 从 memcpy 的第三个参数入手,追根溯源;图中 ecx 就是复制的大小,也就是第三个参数,那么就追踪 ecx
- 发现 ebx 传入 eax,而 ebx 的值又是 [ebp + 10h] 的地址,也就是 0x275c876d 函数的参数
- 在 OD 中可以看到这个 0x8282 这个参数
- 之后经过反复调试后,发现第一次调用该函数是获取样本中的 0x8282 这个数据,第二次调用该函数会将 0x8282 大小的数据复制到堆栈上造成溢出,再往下追根溯源就没有意义了
- 这个就是样本中的数据,和覆盖返回值的 0x41414141 都在其中
0x05 利用 Offvis 工具定位样本中的格式字段
- 本实验的 POC 是 RTF 格式,要想被 Offvis 认识,必须提取其中的 Word 格式,也就是图中的 D0CF…之后 ASCII 字符转换成 16 进制即可
- 这里可以编写 python 脚本来实现转换(每两个字符变为一个 16 进制储存即可),这里为了方便利用 oletools 这个工具来转换
- 这个就是转换好的 POC(提取码:8pb5) 文件,以 16 进制 DOCF 开头
- 之后在 Offvis 中打开就可以了
- 这里可以很清楚的看出,在 DirctoryEntries[4] 中的 OLESSDirctoryEntry[3] 中的 data 字段中出的问题
0x06 总结
- 在污点函数方面,也就是出问题的函数 memcpy 并没有出乎我的意料,因为发生栈溢出无非是 memcpy,strcpy 等等函数
- 在分析和对比样本中的数据和调试数据时,用到的方法也基本一致:定位异常触发点、跟踪堆栈找到问题函数、下内存断点进行污点跟踪和参数跟踪、使用工具对样本字段分析等等
- 分析时从攻击者角度出发,理解是如何构造样本数据来挖掘漏洞的
- 分析难点在于逆向理解函数,要清楚 C++ 、汇编和伪 C 代码之间的关系,尤其需要清楚 C++ 的指针和结构体在汇编中的调用,这需要扎实的逆向工程基础
- 参考资料:0day安全:软件漏洞分析技术 + 漏洞战争
本次对于 CVE-2012-0158 堆溢出漏洞的分析到此结束,如有错误,欢迎指证
CVE-2012-0158:Microsoft Office MSCOMCTL.ocx 栈溢出漏洞调试分析的更多相关文章
- CVE-2011-0104:Microsoft Office Excel 中的栈溢出漏洞调试分析
0x01 前言 CVE-2011-0104 是 Microsoft Office 中的 Excel(没有打补丁的情况下)表格程序在处理 TOOLBARDEF 中的 Record 字节时没有对 Len ...
- CVE-2018-0798:Microsoft office 公式编辑器 Matrix record 字段栈溢出漏洞调试分析
\x01 前言 2018 年 1 月 9 日,Office 公式编辑器再曝出新漏洞,编号为 CVE-2018-0798.提起公式编辑器大家都不陌生,之前的 CVE-2017-11882 和 CVE-2 ...
- CVE-2010-3333:Microsoft RTF 栈溢出漏洞调试分析
0x01 前言 CVE-2010-3333 漏洞是一个栈溢出漏洞,该漏洞是由于 Microsoft文档在处理 RTF 数据的对数据解析处理错误,在进行内存操作时没有对操作的数据进行长度限制,导致存在内 ...
- CVE-2017-11882:Microsoft office 公式编辑器 font name 字段栈溢出通杀漏洞调试分析
\x01 漏洞简介 在 2017 年 11 月微软的例行系统补丁发布中,修复了一个 Office 远程代码执行漏洞(缓冲区溢出),编号为 CVE-2017-11882,又称为 "噩梦公式&q ...
- CVE-2011-0104:Microsoft Office Excel 栈溢出漏洞修复分析
0x01 前言 上一篇讲到了 CVE-2011-0104 漏洞的成因和分析的方法,并没有对修复后的程序做分析.之后在一次偶然的情况下,想看一看是怎么修复的,结果却发现了一些问题 环境:修复后的 EXC ...
- CVE-2018-0802:Microsoft office 公式编辑器 font name 字段二次溢出漏洞调试分析
\x01 前言 CVE-2018-0802 是继 CVE-2017-11882 发现的又一个关于 font name 字段的溢出漏洞,又称之为 "第二代噩梦公式",巧合的是两个漏洞 ...
- CVE-2011-0104 Microsoft Office Excel缓冲区溢出漏洞 分析
漏洞简述 Microsoft Excel是Microsoft Office组件之一,是流行的电子表格处理软件. Microsoft Excel中存在缓冲区溢出漏洞,远程攻击者可利用此 ...
- CVE-2012-0003:Microsoft Windows Media Player winmm.dll MIDI 文件堆溢出漏洞调试分析
0x01 蜘蛛漏洞攻击包 前言:2012 年 2月,地下黑产中流行着一款国产名为蜘蛛漏洞的攻击包 -- "Zhi-Zhu Exploit Pack",该工具包含 5 个漏洞,都是在 ...
- CVE-2010-2553:Microsoft Cinepak Codec CVDecompress 函数堆溢出漏洞调试分析
0x01 前言 微软提供一个叫 Cinepak 的视频解码器,通过调用 iccvid.dll 这个动态链接库文件可以使用这个解码器:微软自带的 Windows Media Player(视频音频软件) ...
随机推荐
- JMeter扩展Java请求实现WebRTC本地音视频推流压测脚本
WebRTC是Web Real-Time Communication缩写,指网页即时通讯,是一个支持Web浏览器进行实时语音或视频对话的API,实现了基于网页的视频会议,比如声网的Agora Web ...
- 面试现场:说说char 和 varchar的区别你了解多少?
Hi,大家好!我是白日梦!本文是MySQL专题的第 26 篇. 下文还是白日梦以自导自演的方式,围绕"说说char 和 varchar的区别你了解多少?"展开本话题.看看你能抗到第 ...
- Android Studio 之 RadioButton
•任务 如何通过 RadioButton 实现如图所示的界面? •基本用法 RadioButton 单选按钮,就是只能够选中一个,所以我们需要把 RadioButton 放到 RadioGroup 按 ...
- 使用sysbench测试mysql及postgresql(完整版)
使用sysbench测试mysql及postgresql(完整版) 转载请注明出处https://www.cnblogs.com/funnyzpc/p/14592166.html 前言 使用sysbe ...
- PAT (Advanced Level) Practice 1006 Sign In and Sign Out (25 分) 凌宸1642
PAT (Advanced Level) Practice 1006 Sign In and Sign Out (25 分) 凌宸1642 题目描述: At the beginning of ever ...
- TypeError: 'str' object does not support item assignment Python常见错误
1.string是一种不可变的数据类型 2.尝试使用 range()创建整数列 有时你想要得到一个有序的整数列表,所以 range() 看上去是生成此列表的不错方式. 需要记住 range() 返回的 ...
- [状压DP]子矩阵
子 矩 阵 子矩阵 子矩阵 题目描述 给出如下定义: 子矩阵:从一个矩阵当中选取某些行和某些列交叉位置所组成的新矩阵(保持行与列的相对顺序)被称为原矩阵的一个子矩阵 如,下面左图中选取第 2 . 4 ...
- [.net] 关于Exception的几点思考和在项目中的使用(一)
本文链接 https://www.cnblogs.com/hubaijia/p/about-exceptions-1.html 关于exception的基本语法和作用,这里不再赘述,下面记录一下我在项 ...
- Spring Boot 轻量替代框架 Solon 1.3.20 发布
Solon 是一个微型的Java开发框架.项目2018年启动,参考过大量前人作品:内核0.1m的身材,超高的跑分,以及良好的使用体验.支持:RPC.REST API.MVC.WebSocket.Soc ...
- 【C/C++】malloc和new的区别
malloc和new的区别 malloc是C语言的内存申请函数.new是C++语言的运算符.所以在.c文件中无法使用new. malloc申请空间时,传递的是size.new申请空间时,传递的是typ ...