环境: win7 32 sp3, office2010

工具: winDbg, IDA

- 样本来源《漏洞战争》

环境搭建好后开始分析:

0x01 寻找漏洞函数

• 1.打开world, 用winDbg附加world
  
• 2.输入'g'运行,然后用world打开poc
  
• 3.触发了崩溃
  
  从崩溃点我们可以看到漏洞模块的信息和触发异常的地址，关于漏洞模块可以使用猜测和验证去确定哪个是漏洞模块
• 4.接下来查看一下函数的堆栈调用情况，发现堆栈地址已经被破坏掉了
  
• 5.用dd ESP-100 L60查看前面的堆栈
  
  又看到了41414141这个地址，往上找一下找到了漏洞模块的返回地址（还记得刚开始我们看到的MSCOMCTL模块的加载地址吗）
• 6.用IDA加载漏洞模块，按‘g’在IDA里面搜索模块函数的返回地址
  

  0x02验证漏洞函数

• 然后我们需要来验证一下这个函数是不是漏洞函数
  1.重新打开office - 附加 - 下模块断点 - ‘g’
  
  2.断下来之后再下bp断点
  
  3.断下来之后，需要分析一下堆栈里面的内容
  
  发现了MSCOMCTL模块内的一个地址，用IDA查看一下是不是外层函数的返回地址
  3.1.往上找一下，找到这整个函数的起始再找这个函数的调用函数
  
  
  发现这个地址确实是外层函数的返回地址
  4.‘F10’单步走一下，再查看ESP
  
  发现这个返回地址已经被修改了，验证了这个就是漏洞函数

  0x03 缩小漏洞范围

1. 用IDA静态看一下这个函数内部，同过猜测加验证得出这个memcpy是漏洞函数
   
   1.1.鼠标选中memcpy按‘tab’键，到这个函数的汇编代码处
   
   发现这个函数的汇编代码不是很多，可以通过单步走碰到赋值的地方就查看一下堆栈信息来确定修改返回地址的位置

   - 0x04

• 重新打开office - 附加 - 下模块断点 - ‘g’

1. 断下来之后，在memcpy函数处下bp断点
   
2. 运行到memcpy处，‘F10’单步走，遇到有赋值的地方就查看一下函数返回地址，确定是在什么地方发生了溢出
   
   在这行275d6c3a这行汇编代码执行完成后发生了溢出
3. 我们来分析一下这块汇编指令
   
   这样我们就确定了溢出点
   感悟：对栈的结构要有一个清晰的认识，才会知道该去什么地方找什么内容

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课