Author：**k0Sh1**
### 漏洞复现
Network Scanner是一款扫描工具，其中有一个针对域名扫描的功能，但是这个功能对加载的字符串没有进行严格的控制，比如Textbox长度控制，或者长度校验导致如果不输入域名，而是改输入一个超长字符串，则会导致执行任意代码，下面对此漏洞进行详细分析。
首先生成一个畸形字符串，按照exploit-db上的方法在域名位置加载这个字符串，程序崩溃，直接执行会由于SEH到达eip可控位置。
```
0:002> g
(af4.de8): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=0012f564 ebx=00eeb690 ecx=006e6304 edx=41414141 esi=0012f590 edi=00f11c20
eip=00406e58 esp=0012f370 ebp=0012f568 iopl=0 nv up ei pl nz na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00210206
*** WARNING: Unable to verify checksum for C:\Documents and Settings\Administrator\桌面\8a419b10772d811ce5eea44cb88ae55b-
NetScan\NetScanner.exe
*** ERROR: Module load completed but symbols could not be loaded for C:\Documents and Settings\Administrator\桌面
\8a419b10772d811ce5eea44cb88ae55b-NetScan\NetScanner.exe
NetScanner+0x6e58:
00406e58 8b4af8 mov ecx,dword ptr [edx-8] ds:0023:41414139=????????
0:000> g
(af4.de8): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=00000000 ebx=00000000 ecx=41414141 edx=7c9232bc esi=00000000 edi=00000000
eip=41414141 esp=0012efa0 ebp=0012efc0 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00210246
41414141 ?? ???
```
通过kb回溯堆栈调用
```
0:000> kb
ChildEBP RetAddr Args to Child
WARNING: Stack unwind information not available. Following frames may be wrong.
0012f568 41414141 41414141 41414141 00004141 NetScanner+0x6e4c
0012f598 0044f2a6 014b9050 004ee572 0012f774 0x41414141
0012f70c 004d8865 0012f958 00e846d0 00000000 NetScanner+0x4f2a6
0012f758 0047fb85 00e846d0 0012f958 00e846d0 NetScanner+0xd8865
0012f784 004d89b8 000f0304 0012f9d0 00e5ea60 NetScanner+0x7fb85
0012f8d4 004d8865 0104096f 00e5ea60 00469847 NetScanner+0xd89b8
0012f920 004d7f03 0012f934 004d7f1b 0012f950 NetScanner+0xd8865
0012f950 0044f952 00000111 00000304 000f0304 NetScanner+0xd7f03
```
这个堆栈回溯作用并不是很大，因为只有一个exe，这个exe中很多GUI的MFC的内容以及功能函数都封装在程序里，而回溯中很多函数调用会涉及到在GUI加载调用功能函数，所以会不易命中想要到达的位置。
### 漏洞分析
在分析的过程中，我找到了关于GUI界面中处理域名的关键部分。
```
if ( (unsigned __int8)sub_4B79E8(&v23, L"Example: www.atlas.cz, www.google.com") )
{
sub_5FE3CC(v3, &v22);
if ( v22 )
{
if ( (unsigned __int8)sub_4B79E8(&v22, &off_6CD7BC) )
{
sub_5FDF0C(&v20, 0);
sub_407F04(v4, v20);
v21 = sub_5FE01C(v14, v15, v16, v17);
BYTE3(v21) = 0;
sub_5FE118(v5, &v19);
v6 = *(_DWORD *)(v2 + 1648);
sub_4D26E0(v7, v19);
v21 = sub_5FE01C(v14, v15, v16, v17);
BYTE3(v21) = -2;
sub_5FE118(v8, &v18);
v9 = *(_DWORD *)(v2 + 1652);
sub_4D26E0(v10, v18);
}
}
```
处理部分关键的字符串已经打印出来了，会调用到函数sub_4B79E8，这个函数就是处理GUI窗口中负责传入畸形字符串的部分，接下来如果接收到了域名字符串后，会调用sub_5fdf0c函数。
```
0:002> g
Breakpoint 1 hit
eax=0171b6dc ebx=00eeb690 ecx=00f40c48 edx=0012f590 esi=004ee99c edi=00f11c20
eip=006cd614 esp=0012f570 ebp=0012f598 iopl=0 nv up ei pl nz na po nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200202
NetScanner+0x2cd614:
006cd614 e8b30df3ff call NetScanner+0x1fe3cc (005fe3cc)
```
跟进这个函数，这个函数中处理的是和域名字符串，在这里是畸形字符串的连接。调用了WSA的函数开始处理。
```
int __usercall sub_5FE3CC@<eax>(int a1@<eax>, int *a2@<edx>)
{
v18 = 0;
v19 = 0;
v20 = 0;
v2 = a2;
v23 = a1;
sub_407E98();
v16 = &savedregs;
v15 = &loc_5FE508;
v14 = __readfsdword(0);
__writefsdword(0, (unsigned int)&v14);
sub_407EB0(v3, 0);
sub_4169E0(v4, &v20);
if ( v20 )
{
WSAStartup(0x101u, &WSAData);
sub_408104(0, v23);
sub_418BF4();
v5 = gethostbyname(&name);
if ( v5 )
{
v6 = v5->h_addr_list;
for ( i = 0; v6[i]; ++i )
{
v8 = *v2;
v9 = inet_ntoa(*(struct in_addr *)v6[i]);
sub_40803C(v10, v9);
sub_408478(v11, 3, &dword_5FE524, v18, v8);
}
v17 = *v2;
v12 = v17;
if ( v17 )
v12 = *(_DWORD *)(v17 - 4);
sub_408770(1, v12);
WSACleanup();
}
}
__writefsdword(0, v14);
sub_407EA0(&loc_5FE50F);
sub_406E4C(&v19);
sub_407EA0(v16);
}
```
跟进这个函数，可以看到WSAStartup之后，会调用给一个名为sub_418BF4的函数，在这个函数中，会调用拷贝畸形字符串，而在这个过程没有对畸形字符串进行控制，导致溢出，来看一下这个函数的内容。
```
int __fastcall sub_418BF4(int a1, int a2)
{
v10 = a2;
sub_40759C();
v9 = &savedregs;
v8 = &loc_418C6A;
v7 = __readfsdword(0);
__writefsdword(0, (unsigned int)&v7);
v2 = v10;
if ( v10 && *(_WORD *)(v10 - 10) != 1 )
v2 = sub_407068(0, v10);
v3 = v2;
if ( v2 )
v3 = *(_DWORD *)(v2 - 4);
v4 = sub_4075AC();
v5 = sub_418B84(v3, v4);
```
在函数中会调用到sub_418b84函数，这个函数中会处理畸形字符串，并执行拷贝，来看一下这个函数的内容。
```
_BYTE *__usercall sub_418B84@<eax>(_BYTE *result@<eax>, _BYTE *a2@<edx>, int a3@<ecx>)
{
_BYTE *v3; // edi@1
int v4; // ebx@1
bool v5; // zf@1
unsigned int v6; // ebx@6
char *v7; // edi@6
int v8; // ecx@6
v3 = a2;
v4 = a3;
v5 = a3 == 0;
if ( a3 )
{
do
{
if ( !a3 )
break;
v5 = *v3++ == 0;
--a3;
}
while ( !v5 );
if ( v5 )
++a3;
}
v6 = v4 - a3;
qmemcpy(result, a2, 4 * (v6 >> 2));
v7 = &result[4 * (v6 >> 2)];
v8 = v6 & 3;
qmemcpy(v7, &a2[4 * (v6 >> 2)], v8);
v7[v8] = 0;
return result;
}
```
这个函数中执行了qmemcpy，这个拷贝会造成栈溢出覆盖到关键指针，来跟踪一下覆盖的时候。
```
0:000> g
Breakpoint 1 hit
eax=0012f500 ebx=00000048 ecx=00000001 edx=0012f524 esi=01a0efa0 edi=0012f568
eip=00418ba5 esp=0012f33c ebp=0012f364 iopl=0 nv up ei pl nz na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00210206
NetScanner+0x18ba5:
00418ba5 f3a5 rep movs dword ptr es:[edi],dword ptr [esi] es:0023:0012f568=0012f598 ds:0023:01a0efa0=41414141
0:000> dd 0012f564
0012f564 41414141 0012f598 006cd619 0012f928
```
这里执行了拷贝，可以看到0012f564位置的关键指针被覆盖，随后返回后，回到最外层函数调用，紧接着调用了gethostbyname，这个函数明显是由于域名不能获取信息，导致后面的if语句判断不通过。
```
0:000> p
eax=0012f524 ebx=00eeb690 ecx=00000000 edx=01a0ef5c esi=0012f590 edi=00f11c20
eip=005fe461 esp=0012f368 ebp=0012f568 iopl=0 nv up ei pl nz na po nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200202
NetScanner+0x1fe461:
005fe461 e80e42f1ff call NetScanner+0x112674 (00512674)
0:000> p
eax=00000000 ebx=00eeb690 ecx=0000b5f7 edx=00290001 esi=0012f590 edi=00f11c20
eip=005fe466 esp=0012f36c ebp=0012f568 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200246
NetScanner+0x1fe466:
005fe466 85c0 test eax,eax
0:000> p
eax=00000000 ebx=00eeb690 ecx=0000b5f7 edx=00290001 esi=0012f590 edi=00f11c20
eip=005fe468 esp=0012f36c ebp=0012f568 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200246
NetScanner+0x1fe468:
005fe468 7467 je NetScanner+0x1fe4d1 (005fe4d1) [br=1]
0:000> p
eax=00000000 ebx=00eeb690 ecx=0000b5f7 edx=00290001 esi=0012f590 edi=00f11c20
eip=005fe4d1 esp=0012f36c ebp=0012f568 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200246
NetScanner+0x1fe4d1:
005fe4d1 33c0 xor eax,eax
```
这里je是if跳转不通过，进入到后面的WSACleanup处理，退出，随后会调用到另一个函数。
```
0:000> p
eax=0012f390 ebx=00eeb690 ecx=006e62e4 edx=01716c70 esi=0012f590 edi=00f11c20
eip=005fe4ff esp=0012f374 ebp=0012f568 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200246
NetScanner+0x1fe4ff:
005fe4ff 8d45fc lea eax,[ebp-4]
0:000> p
eax=0012f564 ebx=00eeb690 ecx=006e62e4 edx=01716c70 esi=0012f590 edi=00f11c20
eip=005fe502 esp=0012f374 ebp=0012f568 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200246
NetScanner+0x1fe502:
005fe502 e89999e0ff call NetScanner+0x7ea0 (00407ea0)
0:000> dc eax
0012f564 41414141 41414141 006cd600 0012f928 AAAAAAAA..l.(...
```
此时eax作为一个指针已经被覆盖了，随后会由于指针引用，导致异常触发，SEH异常处理，通过覆盖SEH指针，达到代码执行。
```
0:000> p
eax=0012f564 ebx=00eeb690 ecx=006e6304 edx=41414141 esi=0012f590 edi=00f11c20
eip=00406e4e esp=0012f370 ebp=0012f568 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200246
NetScanner+0x6e4e:
00406e4e 85d2 test edx,edx
0:000> p
eax=0012f564 ebx=00eeb690 ecx=006e6304 edx=41414141 esi=0012f590 edi=00f11c20
eip=00406e50 esp=0012f370 ebp=0012f568 iopl=0 nv up ei pl nz na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200206
NetScanner+0x6e50:
00406e50 741c je NetScanner+0x6e6e (00406e6e) [br=0]
0:000> p
eax=0012f564 ebx=00eeb690 ecx=006e6304 edx=41414141 esi=0012f590 edi=00f11c20
eip=00406e52 esp=0012f370 ebp=0012f568 iopl=0 nv up ei pl nz na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200206
NetScanner+0x6e52:
00406e52 c70000000000 mov dword ptr [eax],0 ds:0023:0012f564=41414141
0:000> p
eax=0012f564 ebx=00eeb690 ecx=006e6304 edx=41414141 esi=0012f590 edi=00f11c20
eip=00406e58 esp=0012f370 ebp=0012f568 iopl=0 nv up ei pl nz na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00200206
NetScanner+0x6e58:
00406e58 8b4af8 mov ecx,dword ptr [edx-8] ds:0023:41414139=????????
```
京公网安备 11010502034610号
暂无评论