CVE-2010-3333漏洞调试、分析(——适合新手入门)

2013-12-23 17:30:10 73 16415 3


这是第二次在tools发帖,为了响应管理猿的号召,也为了爱好应用程序安全新手的需要。在此,我初步研究了一下微软3333漏洞的成因,并试着定位到了样本中的shellcode,现在就对这个入门级的漏洞做个简单的分析:
  首先,我们还是用OD加载word.exe程序,按F9运行。如图:
  

  

图(一)


  接下来,我们要具体分析3333漏洞出现的成因(具体的可以百度)。经过查询,我们知道导致3333漏洞的原因,是因为漏洞产生在MSO.DLL文件中,下文以Microsoft Office2003的MSO.DLL(版本号为:11.0.5606.0)为例。我们将样本拖入运行的word中,如图:
  

  

图(二)


  
  此时,先别急着打开!我们回到OD中,按下ALT+E,看看此时word加载了哪些模块。
  

  

图(三)


  
  我们看到,mso.dll(也就是导致3333漏洞的文件)已经被OD加载进来。我们双击mso.dll,并同时按下ctrl+A,让OD对mso.dll进行分析。等OD分析完成后,如图:
  

  

图(四)


  根据我们百度的结果(链接:http://wenku.baidu.com/link?url=8SkPKM5C5lGsrkjd4-uckMFg4YvuTlWN0kAdQSQKMXRgSRL8FiuxjwZ1aOE92QDwCbt855VWEEsOjGkc9ecQ54daMWivTpjMpcY1kS9rI87)可知,函数在处理pFragments属性的值时,未严格检查属性值所占用的空间大小,导致memcpy函数在复制属性值时溢出堆栈。
     在此,我们选用“mov  bx , 5000000”这句指令,来定位处理pFragments属性值的函数(当然这种定位方式,是在已知漏洞位置的情况下。在调试0day时,因为我们不知道具体的漏洞点,此种方法便显得无能为力。在这种情况下我们可以通过定位WINEXEC函数的来定位shellcode,从而调试、定位出具体漏洞点.........其实分析0day是个很复杂过程,这个话题我们以后在讨论)。如图:
  

  

图(五)


  我们在“mov bx , 5000000”下好断点后,就可以点击刚才word弹出的是否打开对话框(图二中对话框),选择“打开”。如图:
  

  

图(六)


  此时我们看到EIP寄存器断在了“mov bx , 5000000”指令处。通过之前百度到资料,我们知道导致栈溢出的函数位于:30F4CC93处的 call dword ptr ds:[eax+0xlc] 函数,我们单步F7跟进来,如图:
  

  

图(七)


  我们通过对百度结果的分析,可知:当执行完“rep movs dword ptr es:[edi],dword ptr ds:[esi]”栈中的数据就会产生溢出(此时,我还未执行这句指令),现在我们看看未溢出时栈空间的情况:
  

  

图(八)


  接下来,我们执行一下“rep movs dword ptr es:[edi],dword ptr ds:[esi]”这句指令,看看栈中的变化,如图:
  

  

图(九)


  注意:请读者自行比较图(八)与图(九)的区别。
  接下来就是执行shellcode了,至此我们将这个3333漏洞用OD分析完了。如果要想从全局了解3333漏洞的成因,全面的掌握3333漏洞的情况,还得借助IDA分析工具(可谓是反汇编的利器),至于对shellcode的分析和编写在此就不叙述了。
  最后,想跟大家分享一句心得:我们研究漏洞的目的不是为了去搞破坏,而是更好完善网络安全,更好的服务他人。

关于作者

0070074篇文章11篇回复

评论73次

要评论?请先  登录  或  注册