-
-
[原创]结合一个野外样本构造一个cve-2016-7193弹计算器的利用
-
发表于: 2017-10-14 00:21
-
这篇文章是我在构造完cve-2015-1641 exp的基础上写的，但cve-2015-1641的分析文章比较多，所以这里先发cve-2016-7193的exp构造思路，1641的exp构造有空再补充。
基于样本：
本次构造需要注意以下几点：
构造 bypass_aslr简单，和cve-2015-1641一样即可：
触发漏洞也简单，直接挪过来漏洞触发控制字部分即可：
难点在于构造能布控内存弹出计算器的堆喷射样本，下面进行构造。
原始rtf样本里面涉及到Word.Document.12控制字的有两处，但其实第一处无实际价值，第二处经验证为堆喷射所需的docx
下面开始提取第二个Word.Document.12, rtfobj.py初始提取失败，检查后发现是因为有混淆：
把红框处的内容删除后即可，删除其余冗余部分，只保留堆喷射部分，再次提取如下：
定位到rop部分，可以看到原始样本用了512个pattern来进行内存布控，除了第一个外后面511个pattern完全一样：
看一下该 ActiveX87.bin 的布局：
我们的目的是替换里面的内容，使之弹出一个计算器。
调试的文件版本：
调试发现：
留给我们自己的shellcode的空间比cve-2015-1641小多了(如果读者调过1641的话)，所以我们采用严格遵从原始文档字节分布构造，只替换红框和蓝框圈出的9B9B9B...开始的shellcode部分，这部分的大小为 346字节，如下：
这里要说明的一点是原作者为精确控制堆喷射内存大小为1fffc0，最后一个pattern和前面510个及第一个略有不同，最后一个pattern缺少10个字节，目的是为了按32对齐：
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
我就是按照这篇文章的思路来的，把activeX文件里和引用文件里的clsid都换成不存在的COM控件(例如全为0)后，堆喷效率明显提升了，基本上几秒钟就可以 |
|
|
|
|
|
|
|
|
|
|
|
你把 {\object\objemb\objsetsize\objw1538\objh1113{\*\objclass Word.Document.12}{\*\objdata ...}之间的数据替换掉，就相当于把一个嵌入的ole对象替换掉了，这个时候不可能还会显示之前的图片，除非这张图片嵌入在另一个ole对象中。你可以先新建一个空白rtf文档，然后往里面拖一个doc文档进去，保存后用文本编辑器比对一下多了哪些字节，这个时候你会很清楚插入一个doc文档会在原rtf样本中增加哪些数据。动手做一遍，贵在实践~~ |
|
|
|
|
|
发篇精华就能找到了 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ActiveX1.bin的构造可以参考：9ecK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2S2L8Y4q4#2j5h3&6C8k6g2)9J5k6h3y4G2L8g2)9J5c8Y4m8G2M7%4c8Q4x3V1k6A6k6q4)9J5c8U0R3%4x3e0t1J5i4K6t1$3L8X3u0K6M7q4)9K6b7W2!0q4z5q4!0n7c8W2)9&6z5g2!0q4y4#2!0m8c8W2)9^5y4#2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4g2)9^5z5q4!0m8z5g2!0q4y4#2)9&6y4q4!0m8z5q4!0q4y4W2)9&6c8g2)9^5y4q4!0q4z5g2)9^5x3q4!0m8x3q4!0q4z5g2)9^5x3#2!0m8z5q4!0q4y4g2)9^5z5q4)9^5y4W2!0q4x3#2)9^5x3q4)9^5x3W2!0q4y4g2!0n7x3q4)9^5y4V1q4U0N6r3W2$3k6g2R3I4i4K6u0W2j5X3W2F1i4@1f1$3i4K6R3&6i4K6V1K6i4@1f1#2i4K6S2o6i4K6R3#2i4@1f1#2i4K6W2n7i4K6W2q4i4@1f1#2i4K6S2q4i4@1u0n7i4@1f1#2i4K6S2r3i4@1q4r3i4@1f1@1i4@1u0n7i4@1p5#2i4@1f1%4i4K6V1@1i4@1p5^5y4%4A6Q4c8e0N6Q4b7f1c8Q4z5o6W2Q4c8e0g2Q4z5p5g2Q4z5p5u0Q4c8e0N6Q4b7V1y4Q4b7e0W2Q4c8e0S2Q4b7V1c8Q4b7f1k6Q4c8e0c8Q4b7V1u0Q4b7U0k6Q4c8f1k6Q4b7V1y4Q4z5p5y4s2g2f1W2Q4c8e0N6Q4z5e0g2Q4z5p5y4Q4c8e0W2Q4z5f1c8Q4b7e0u0Q4c8e0k6Q4z5o6W2Q4z5e0y4Q4c8e0g2Q4b7V1y4Q4z5o6m8Q4c8e0g2Q4z5e0m8Q4z5p5g2Q4c8e0N6Q4z5f1u0Q4b7U0c8Q4c8e0k6Q4z5p5g2Q4b7e0g2Q4c8e0k6Q4z5f1u0Q4b7V1k6Q4c8e0k6Q4z5p5c8Q4b7e0u0Q4c8e0g2Q4b7f1k6Q4b7U0W2Q4c8e0g2Q4b7V1q4Q4z5e0c8Q4c8e0k6Q4z5e0k6Q4z5o6N6Q4c8e0c8Q4b7V1u0Q4b7U0k6Q4c8e0g2Q4b7U0m8Q4b7U0q4Q4c8e0S2Q4b7e0q4Q4z5p5y4Q4c8e0y4Q4z5o6m8Q4z5o6u0Q4c8e0k6Q4b7f1c8Q4b7e0c8Q4c8e0g2Q4b7e0c8Q4z5e0k6Q4c8f1k6Q4b7V1y4Q4z5p5y4Q4c8e0S2Q4b7V1k6Q4z5e0W2Q4c8e0W2Q4z5o6y4Q4b7e0S2Q4c8e0g2Q4z5o6S2Q4z5o6k6Q4c8e0S2Q4b7V1k6Q4z5e0S2Q4c8e0g2Q4z5p5k6Q4b7f1k6Q4c8e0c8Q4b7V1u0Q4b7e0g2Q4c8e0g2Q4z5p5k6Q4z5o6u0Q4c8e0S2Q4z5o6m8Q4z5o6y4t1j5h3y4C8K9h3&6Y4g2r3g2S2L8g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4q4!0n7z5q4)9^5x3q4!0q4y4q4!0n7b7g2)9&6b7W2!0q4x3W2)9^5x3q4)9&6b7#2!0q4y4g2!0n7b7#2)9^5x3q4!0q4y4W2!0n7b7g2)9&6x3q4!0q4y4q4!0n7b7W2!0m8x3#2!0q4y4#2!0m8x3q4)9^5x3g2!0q4x3W2)9^5x3q4)9&6c8q4!0q4c8W2!0n7b7#2)9&6b7h3S2@1N6s2m8K6i4K6y4m8i4K6u0r3i4K6u0r3k6$3W2@1K9s2g2T1i4K6u0W2j5$3!0E0i4K6u0r3K9r3q4U0K9$3g2V1N6r3g2S2L8g2)9J5c8Y4k6W2j5%4c8G2M7W2)9J5k6r3g2^5M7r3I4G2K9i4c8Q4x3V1k6@1M7X3g2W2i4K6u0r3L8h3q4K6N6r3g2J5i4K6u0r3K9s2c8Q4x3X3b7J5x3o6p5K6i4K6u0V1x3o6l9J5i4K6u0V1g2$3!0J5k6l9`.`. |
|
|
|
|
|
请问为什么我用压缩软件打开.docx文件，然后再压缩回去用Word打开就会崩溃了呢？ |
|
|
1.你用压缩软件打开之前这个docx就会导致崩溃 2.你的操作意外地导致了了当前版本另一个word异常 |
|
|
|
|
|
|
|
|
7z |
|
|
Windows 7 sp1 x86 + office 2007, MSVCR71模块 |
|
|
|
苏啊树
