CVE-2010-2883 Adobe Reader CoolType.dll栈溢出漏洞

2023年10月5日 1106点热度 0人点赞 0条评论

实验环境

推荐使用的环境	备注
操作系统	Windows XP SP3
虚拟机	Vmware
调试器	OD
反汇编器	IDA Pro
漏洞软件	Adobe Reader	版本号：9.3.4

静态分析

漏洞点来源于该函数，strcat处将uniqueName的数据复制过去，但没有进行长度校验。

fig:

通过PdfStreamDumper工具取出PDF样本中的TTf文件。

官方文档中TTF文件TableEntry的定义：

typedef struct struct_SING{
char tag[4]; // 标签 "SING"
ULONG checkSum; // 校验和
ULONG offset; // 偏移量
ULONG length; // 长度
} TableEntry;

SING表的数据结构：

fig:

从TTF文件偏移0x11C处找到SING表数据，其偏移0x10处找到uniqueName域。即下图中58 E0 8D AD处。

fig:

执行strcat会从此处开始复制，直到遇到NULL字符为止。

动态调试

0x0012DFD4为dst地址，IDA查看的是260字节大小，复制了23Dh字节，栈溢出。

fig:

在0x0803DEAF处，F8会跟丢，所以应该是在此处跳转到了shellcode，F7跟进去。

在此处若F8跟丢，所以在这里执行shellcode，a1为this指针，v7为虚函数表，(*v7)()为虚函数调用。所以是覆盖虚函数进行的攻击。

fig:

动态调试调用的函数是0x0808B116。

fig:

然后调用*v18。

fig:

F7跟进去，显然这里就是ROP链的开端。

fig:

所以覆盖的实际上是虚函数。

到此为止，strcat溢出分析结束。随后分析ROP链。

ROP指令1使得ebp回到了溢出处+0x4处。leave指令相当于mov esp，ebp，pop ebp。

fig:

ROP指令2，将esp设置成了0x0C0C0C0C。通过heap spray技术，此处已经布置好了shellcode。

fig:

随后执行的ROP指令是

pop ecx
mov [ecx],eax ;eax=12E6D0
pop eax ;eax=CreateFileA
jmp [eax]

创建一个名为ios88591的文件。

fig:

之后构造ROP链调用CreateFileMapping函数创建文件内存映射。

fig:

再调用MapViewOfFile，将文件映射对象映射到进程内存空间。

fig:

最后调用memcpy将真正的shellcode放置到之前映射的内存空间，绕过DEP保护。由于构造的ROP指令是不受ASLR保护的icucnv36.dll模块，因此也可用于绕过ASLR保护。

fig:

追根溯源

上述动态调试展示了漏洞样本对该栈溢出的利用，该节分析shellcode的具体功能。

首先call进行了一个跳转。随后类似调用函数对函数栈帧进行了一个分配。函数栈帧空间给的0x248

fig:

随后找到fs获取TEB，TEB偏移0x30获取PEB，PEB偏移0xC获取PEB_LDR_DATA，PEB_LDR_DATA偏移0x1C获取InMemoryOrderModuleList的指针。然后获取第一个module，kernel32的加载地址。

fig:

在解析kernel32的PE格式。先获取0x3C处的e_lfanew得到NT_HEADER偏移，然后偏移0x78处得到IAMGE_DATA_DIRECTORY。然后获取导出表。获取之后从偏移0x18处获取NumberOfNames，0x20处获取AddressOfNames（导出函数名称数组）。

typedef struct _IMAGE_EXPORT_DIRECTORY {
DWORD Characteristics; // 0x0
DWORD TimeDateStamp; // 0x4
WORD MajorVersion; // 0x8
WORD MinorVersion; // 0xA
DWORD Name; // 0xC // 相对于导出表的偏移
DWORD Base; // 0x10
DWORD NumberOfFunctions; // 0x14
DWORD NumberOfNames; // 0x18
DWORD AddressOfFunctions; // 0x1C
DWORD AddressOfNames; // 0x20
DWORD AddressOfNameOrdinals; // 0x24
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

然后倒着找函数，计算hash和传入参数对比。

fig: