0x01 堆空间申请后的双重释放

  • Windows FxsCover 程序存储封面编辑器的信息，封面编辑器是传真服务的一个组件，通过解析特定的传真封面文件（.cov）时，会调用类析构函数对同一内存中的栈空间进行第二次释放，从而导致了双重释放的漏洞，所以本质也是 UAF 漏洞的一种
  • 实验环境：Windows 7 + FxsCover.exe + Poc.cov（提取码：hdnr）

0x02 使用 Windbg + IDA 进行调试分析

  • 打开传真封面编辑器，使用 Windbg 附加进程后拖入 Poc.cov，之后断在了如下位置
  • 之所以断在了 RtlReportCriticalFailure 中，原因是由于临界区发生故障

  • 顺手检查此时的堆栈情况，从调用情况可以看出由 CDrawDoc 类中的 Remove 函数调用了 CDrawRoundRect 类的析构函数，之后由析构函数调用 free 来释放 CDrawRoundRect 类中的资源；由于因为异常断了下来，所以肯定是 free 函数二次释放堆空间的结果

  • 为了看的更明白，直接利用 IDA 载入之后看静态反汇编结果，由于没有开启系统的 ASLR，所以通过地址就可以很容易的找到 Remove 函数的地址，调用 Remove 函数之前传递了一个 struct CDrawObj 的结构体，当中保存着需要释放资源的对象

  • 之后进入 Remove 函数，再如下位置发现析构函数的调用信息，push 1 说明释放的是单个对象，如果是 push 3 就说明释放的是对象数组，ecx 保存着释放对象的地址，由上面的栈信息分析需要出释放资源的对象是 CDrawRoundRect，最后调用了 CDrawRoundRect 类的析构函数进行释放资源的操作

  • 直到了漏洞的原理，下面只需要找到需要释放堆空间信息即可，重新使用 windbg 载入 FxsCover.exe，拖入 Poc 样本后断在了和刚刚一样位置，这时可以不用理会，按 F5 继续运行，直到发生堆栈释放异常为止，如图所以断在触发异常的地方，查询一下 ecx 的地址，发现所在的内存空间已经变为了 MEM_FREE 状态，表示已经是释放过了

0x03 漏洞利用

  • 对于双重释放的漏洞理论上利用起来还是很简单的，通过覆盖将要被二次释放的堆空间的虚表指针，这样就可以控制 call 的地址执行 shellcode 恶意代码；但是通过什么样的方法才能精确的覆盖，这就非常复杂了，需要视具体情况而定
  • 参考资料：0day安全：软件漏洞分析技术 + 漏洞战争

CVE-2010-3974 的分析到此结束，如有错误，欢迎指正

CVE-2010-3974：Windows 传真封面编辑器 FxsCover.exe 双重释放漏洞调试分析的更多相关文章

  1. CVE-2018-0798：Microsoft office 公式编辑器 Matrix record 字段栈溢出漏洞调试分析

    \x01 前言 2018 年 1 月 9 日,Office 公式编辑器再曝出新漏洞,编号为 CVE-2018-0798.提起公式编辑器大家都不陌生,之前的 CVE-2017-11882 和 CVE-2 ...

  2. CVE-2017-11882：Microsoft office 公式编辑器 font name 字段栈溢出通杀漏洞调试分析

    \x01 漏洞简介 在 2017 年 11 月微软的例行系统补丁发布中,修复了一个 Office 远程代码执行漏洞(缓冲区溢出),编号为 CVE-2017-11882,又称为 "噩梦公式&q ...

  3. CVE-2018-0802：Microsoft office 公式编辑器 font name 字段二次溢出漏洞调试分析

    \x01 前言 CVE-2018-0802 是继 CVE-2017-11882 发现的又一个关于 font name 字段的溢出漏洞,又称之为 "第二代噩梦公式",巧合的是两个漏洞 ...

  4. CVE-2012-0003：Microsoft Windows Media Player winmm.dll MIDI 文件堆溢出漏洞调试分析

    0x01 蜘蛛漏洞攻击包 前言:2012 年 2月,地下黑产中流行着一款国产名为蜘蛛漏洞的攻击包 -- "Zhi-Zhu Exploit Pack",该工具包含 5 个漏洞,都是在 ...

  5. [原创]在Windows平台使用msvc(cl.exe) + vscode编写和调试C/C++代码

    1.在.vscode目录下,新建以下几个配置文件,当然也可以通过vscode命令自动生成,如果你已有这些文件直接修改即可. c_cpp_properties.json(代码提示): { "c ...

  6. Windows平台Atom编辑器的常用快捷键小抄Cheat Sheet

    博客搬到了fresky.github.io - Dawei XU,请各位看官挪步.最新的一篇是:Windows平台Atom编辑器的常用快捷键小抄Cheat Sheet.

  7. Windows 95 输入法编辑器

    Windows 95 输入法编辑器 翻译:戴石麟译自微软的MSDN DDK 关于Windows 95的多语言IME(输入法编辑器) 在Windows 95中,IME以动态连接库(DLL)的形式提供,与 ...

  8. vs 2010创建Windows服务定时timer程序

    vs 2010创建Windows服务定时timer程序: 版权声明:本文为搜集借鉴各类文章的原创文章,转载请注明出处:  http://www.cnblogs.com/2186009311CFF/p/ ...

  9. Failed to execute command: ""C:\Program Files (x86)\Microsoft SDKs\Windows\v7.0A\Bin\ResGen.exe" 的一个解决办法

    最近在做wpf项目,期间下了一些源码参考,但是在build时经常遇到下面这种bug: Error 2 Failed to execute command: ""C:\Program ...

随机推荐

  1. ArrayList源码分析笔记

    ArrayList源码分析笔记 先贴出ArrayList一些属性 public class ArrayList<E> extends AbstractList<E> imple ...

  2. Java 并发编程小册整理好了

    Java 有并发,并发知识之大,一口吃不下 这曾是我不愿意触碰的知识角 多次一头扎进并发,无功而返 为应对面试,临时苦苦记忆,不成体系 这一次我决定从基础开始,攻克它 12,0000 字 68Mb 高 ...

  3. java基础：数据类型拓展

    public static void main(String[] args) { //单行注释 //输出hello,world! //System.out.println("hello,wo ...

  4. SQL练习——LeetCode解题和总结（2）

    602. Friend Requests II: Who Has the Most Friends[M] 一.表信息 In social network like Facebook or Twitte ...

  5. 基于sinc的音频重采样（一）：原理

    我在前面的文章<音频开源代码中重采样算法的评估与选择>中说过sinc方法是较好的音频重采样方法,缺点是运算量大.https://ccrma.stanford.edu/~jos/resamp ...

  6. python-实现顺序栈

    7 class sqstack(object): 8 def __init__(self,maxsize): 9 self.maxsize = maxsize 10 self.stackElem = ...

  7. 攻防世界 reverse 进阶 notsequence

    notsequence  RCTF-2015 关键就是两个check函数 1 signed int __cdecl check1_80486CD(int a1[]) 2 { 3 signed int ...

  8. 文件查找工具 find 详解（附：生产示例）

    1. 文件查找:在文件系统上查找符合条件的文件 命令 解释 which 查看可执行文件的位置,只能寻找执行文件,并在PATH变量里面寻找 whereis 查看文件的位置:只能查二进制文件,说明文档,源 ...

  9. 如何快速在odoo中创建自己的菜单

    上一篇内容:如何快速创建odoo模块,使用脚手架快速创建自己的odoo应用app 前言 在上一个教程中,我们已经实现了对模块的创建,现在我们要对创建的模块添加内容,这个教程将教你如何在odoo菜单中创 ...

  10. Dynamics CRM开发参考资料

    Developer Guide for Dynamics 365 Customer Engagement https://docs.microsoft.com/en-us/dynamics365/cu ...