网络安全漏洞分析小结_漏洞分析_网络安全_

拿到poc时, 分析漏洞成因,关键步骤之一就是要定位到漏洞代码.

栈溢出一般分析方法:

1.基于字符串定位

当存在漏洞的代码片段处引用了字符串时,可以在IDA直接搜索该字符串,再通过交叉引用来到相应代码段处,如果有多处就可以对他们分别下断点,看断在何处.

如cve-2010-2883 ttf字体sing表溢出 漏洞 就是因为代码在处理sing表时不当导致溢出, 而处理sing表时会应用到SING这个字符串,通过该字符串很快就能定位到漏洞代码处.

2.基于栈回溯定位分析方法

如果当对字符串进行复制时溢出并向不可写的地方进行写入而发生异常时,这种方式就很快能定位到漏洞. 通过栈回溯并对返回地址上方进行反汇编,然后在这些call

上下断,就能断在漏洞代码附近.

例如 cve-2010-3333: rtf文件格式解析栈溢出漏洞

通过windbg动态调试确定下来是哪个执行执行异常,然后栈回溯定位该指令所在的模块,然后可以通过ida静态分析指令的函数和周围指令执行情况

发给缓冲区数据过多时,虽然覆盖了返回地址和seh指针,但是也可能复制数据到了不可写的地址处导致异常.

当断在异常处,查看复制数据的寄存器值,如edi,esi ,参数的esp:

明显在mso模块中的字符串复制发生异常, 查看此时esp和esi:

0:000> db esi

11045d5c 32 45 71 33 45 71 34 45-71 35 45 71 36 45 71 37 2Eq3Eq4Eq5Eq6Eq7

11045d6c 45 71 38 45 71 39 45 72-30 45 72 31 45 72 32 45 Eq8Eq9Er0Er1Er2E

11045d7c 72 33 45 72 34 45 72 35-45 72 36 45 72 37 45 72 r3Er4Er5Er6Er7Er

11045d8c 38 45 72 39 45 73 30 45-73 31 45 73 32 45 73 33 8Er9Es0Es1Es2Es3

11045d9c 45 73 34 45 73 35 45 73-36 45 73 37 45 73 38 45 Es4Es5Es6Es7Es8E

11045dac 73 39 45 74 30 45 74 31-45 74 32 45 74 33 45 74 s9Et0Et1Et2Et3Et

11045dbc 34 45 74 35 45 74 36 45-74 37 45 74 38 45 74 39 4Et5Et6Et7Et8Et9

11045dcc 45 75 30 45 75 31 45 75-32 45 75 33 45 75 34 45 Eu0Eu1Eu2Eu3Eu4E

0:000> db esp

0012a288 e4 15 3e 01 78 a4 12 00-fb b5 f0 30 e4 15 3e 01 ..>.x......0..>.

0012a298 b0 a2 12 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

0012a2a8 00 00 00 00 00 00 00 00-41 61 30 41 61 31 41 61 ........Aa0Aa1Aa

0012a2b8 32 41 61 33 41 61 34 41-61 35 41 61 36 41 61 37 2Aa3Aa4Aa5Aa6Aa7

0012a2c8 41 61 38 41 61 39 41 62-30 41 62 31 41 62 32 41 Aa8Aa9Ab0Ab1Ab2A

0012a2d8 62 33 41 62 34 41 62 35-41 62 36 41 62 37 41 62 b3Ab4Ab5Ab6Ab7Ab

0012a2e8 38 41 62 39 41 63 30 41-63 31 41 63 32 41 63 33 8Ab9Ac0Ac1Ac2Ac3

0012a2f8 41 63 34 41 63 35 41 63-36 41 63 37 41 63 38 41 Ac4Ac5Ac6Ac7Ac8A

基于污点追踪的漏洞分析方法

同样是在断在异常处代码时查看操作的寄存器值, 向上追踪它们的值是从哪来的.这种一般是已经在漏洞代码附近了,向上追溯就能分析出漏洞成因.

如cve-2011-0104 excel 文件格式漏洞

1. 附加后加载断下:

(f70.c90): Access violation - code c0000005 (first chance)

First chance exceptions are reported before any exception handling.

This exception may be expected and handled.

eax=51455047 ebx=0013f6dc ecx=00000006 edx=31622f28 esi=00000000 edi=00000400

eip=300e06f7 esp=0013d698 ebp=0013d704 iopl=0 nv up ei pl nz na pe nc

cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00010206

EXCEL!Ordinal41+0xe06f7:

300e06f7 8908 mov dword ptr [eax],ecx ds:0023:51455047=???????? ;该处只是发生异常地址,并不是复制字符串.

2.查看栈:

0:000> kb

ChildEBP RetAddr Args to Child

WARNING: Stack unwind information not available. Following frames may be wrong.

0013d704 584b4c4b 30435451 50453043 55514b4c EXCEL!Ordinal41+0xe06f7

0013d708 30435451 50453043 55514b4c 4b4c4c47 0x584b4c4b

0013d70c 50453043 55514b4c 4b4c4c47 35434c43 EXCEL!Ordinal41+0x435451

0013d710 55514b4c 4b4c4c47 35434c43 51453844 0x50453043

0013d714 4b4c4c47 35434c43 51453844 4b4c4f4a 0x55514b4c

在ida中找到崩溃函数:

.text:300E05AD push ebp

然后用od 加载对崩溃函数下断加载执行断下. 然后在该函数中的栈中多设置几个内存写入断点.执行后来到复制字符串处.

这里假设复制字符串导致溢出的代码在该函数中,如果不在,可以考虑栈帧中下一个函数对栈设置内存写入断点.

300DE82D 8BD1 MOV EDX,ECX

300DE82F C1E9 02 SHR ECX,2

300DE832 8BFD MOV EDI,EBP

300DE834 F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>//溢出地方,此时ecx=bf,反向计算的复制大小为0x300 大于该函数的栈空间0x60

300DE836 8BCA MOV ECX,EDX

300DE838 83E1 03 AND ECX,3

300DE83B F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>

300DE83D 8B15 442C8930 MOV EDX,DWORD PTR DS:[30892C44]

300DE843 2BD8 SUB EBX,EAX

300DE845 03D0 ADD EDX,EAX

污点追踪法:因为ecx作为复制的字节数, 逆向跟踪ecx. 根据od的调用堆栈查看调用来源:

3070DF0A 83F8 3C CMP EAX,3C

3070DF0D 8945 68 MOV DWORD PTR SS:[EBP+68],EAX

3070DF10 0F85 C80A0000 JNZ EXCEL.3070E9DE

3070DF16 E8 AA089DFF CALL EXCEL.300DE7C5

3070DF1B 8B7D 34 MOV EDI,DWORD PTR SS:[EBP+34]

3070DF1E 0FAF7D 70 IMUL EDI,DWORD PTR SS:[EBP+70]

3070DF22 8945 7C MOV DWORD PTR SS:[EBP+7C],EAX

3070DF25 8B45 6C MOV EAX,DWORD PTR SS:[EBP+6C]

3070DF28 8D7407 03 LEA ESI,DWORD PTR DS:[EDI+EAX+3]

3070DF2C E8 735B9BFF CALL EXCEL.300C3AA4

3070DF31 6A FD PUSH -3

3070DF33 59 POP ECX

3070DF34 2BCF SUB ECX,EDI

3070DF36 03C1 ADD EAX,ECX

3070DF38 50 PUSH EAX

3070DF39 FF75 7C PUSH DWORD PTR SS:[EBP+7C] ; ecx==300

3070DF3C 56 PUSH ESI

3070DF3D E8 AA089DFF CALL EXCEL.300DE7EC

找到传染源后对附近的代码进行逆向分析即可.

针对activeX控件的分析方法

activeX控件注册到系统中后,在html中通过