CVE-2010-2883的一次分析

ketzne · 发表于 2017-3-16 08:25

漏洞编号：CVE-2010-2883
漏洞软件：Adobe Reader,Acrobat
漏洞模块：CoolType.dll
漏洞类型：栈溢出
POC：

msf.7z (43 KB, 下载次数: 98)
软件：AdbeRdr930_en_US

1.漏洞成因

CoolType.dll在解析SING表中的uniqueName时存在栈溢出漏洞。

2.漏洞分析

2.1通过字符串定位确定漏洞位置，如图所示，call strcat 就是漏洞成因所在

1

2.2具体分析首先打开Adobe Reader软件，利用OllyDbg附加到此进程，按下alt+e，进入程序所调用的模块空间，看到CoolType.dll模块

2

双击进入CoolType.dll模块，对照着在IDA中反汇编所看到的漏洞位置为0x803DDAB,在ollydbg中按下ctrl+g，输入0x803DDAB，跳转到漏洞位置，并下断点

3

打开msf.pdf文件，点击运行，程序会自动断到上面的断点位置，此时栈分布如图所示

4

在内存区域中按下ctrl+g，跳转到0x12E4D8,并设置内存访问断点（内存访问断点可以保证之后程序在引用此内存区域数据时停下来）

5

一直按F9运行，往断点位置写数据时会多次在内存断点位置停下来

6

多次ctrl+F9之后程序返回到用户空间，（此处不要太着急，可能要运行很多次，不要按的太快，否则就会直接执行到结束）

7

继续逐步运行程序，这里一直按F8 可能会直接执行结束，我们要在call函数时步入，逐步运行，运行到0x808B308的时候就会看到程序下一步要跳转到0x4A80CB38的位置(即ROP链的位置）

8

最终跳到ROP链中

9

完整的ROP链就不再贴出，其主要功能就是将shellcode写入到一段可执行可读写的内存段，以绕过DEP，构造ROP链的模块icucnv.dll并不受ALSR保护，同时可以绕过ALSR

10

11

12

13

上面就是通过ROP技术绕过DEP以及实现Heap Spary的全部内容，其中0x0C0C0C0C是样本特意构造实现堆喷射的关键地址。3.漏洞修复通过BinDiff可以看到程序中的修复位置

3.源码比较

修补前：

修补后：

A11en4 · 发表于 2018-12-13 22:14

我进行到这个步骤
---->"输入0x803DDAB，跳转到漏洞位置，并下断点"
断点是如何下的，硬断点还是内存断点，我都试了，报告错误，点“不发送”，断不下来，不知道是什么原因。
执行一串
01008842 CC             int3
01008843 CC             int3
01008844 CC             int3
01008845 CC             int3
就退出了，请大佬指导！

SN1t2lO · 发表于 2017-3-17 10:33

看到strcat我就想起当年有个大牛说的话了，大意是那些做软件的大公司，为什么不敢开源，就是因为代码写的实在太烂，程序员水平参差不齐，开源了怕笑话。明明有安全版的库函数strcat_s不用，非得用早就不推荐的早期库函数。需要修补了，还得自己再模拟一个安全函数，真心累！

F10w3rdanc3 · 发表于 2019-9-22 21:03

今晚写一篇博客学习学习

sunson · 发表于 2018-12-22 11:02

学习学习!

KingKongYZD · 发表于 2018-12-10 12:07

学习了。。。。

A11en4 · 发表于 2018-12-10 11:01

学习了。。。

snip3r · 发表于 2017-3-18 18:00

strcat没检查字长这错误很低级啊{:1_903:}果然还是一楼说的大公司不敢开源是因为程序员水平参差不齐，2333

kordi · 发表于 2017-3-16 22:11

学习了。。。。

kindbigbear0 · 发表于 2017-3-16 20:24

近距离学习~~~

帐号		自动登录	找回密码
密码			注册[Register]

[漏洞分析] CVE-2010-2883的一次分析

免费评分