[原创]X浪的缓冲区溢出漏洞-二进制漏洞-看雪安全社区

# 缓冲区溢出
X浪在处理本地图片时存在缓冲区溢出的漏洞，问题出现在Java_com_sina_filter_JpegExifExtractor_nativeExifExtrator函数，具体功能是解析JPEG格式的EXIF的信息。

# 溢出代码段

```
int printf_(char *s, const char *format, ...)
{
  int v4; // [sp+4h] [bp-Ch]
  va_list va; // [sp+18h] [bp+8h] BYREF

va_start(va, format);
  vsprintf(s, format, va);
  if ( s[0x10000] )
    _android_log_write(4, "native-log", s);
  return _stack_chk_guard - v4;
}
```
vsprintf 未做任何的过滤和校验，直接处理了传来的三个参数。

printf_的调用方式

```
{
	ReleaseStringUTFChars(jnienv, a3, v5);
	printf_(s, "error: can not open ' %s ' ", v5);
	v14 = 0;
}
```
s的大小为固定的65536，v5为图片的路径。
```
.data:0005C05C ; char s[65536]
.data:0005C05C s               DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C05C                                         ; DATA XREF: sub_FDE4+4E↑o
.data:0005C05C                                         ; sub_FDE4:loc_FEBA↑o ...
.data:0005C06D                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C07E                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C08F                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C0A0                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C0B1                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C0C2                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C0D3                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C0E4                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C0F5                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C106                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C117                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C128                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C139                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C14A                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
.data:0005C15B                 DCB 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0

```

这个漏洞似乎很好利用，直接设置超过65536大小的路径信息就可以了，但是设置路径时出现了问题，Linux查看文件名的默认的最大长度是255，路径的默认的最大长度是4096，远远没有达到我们需要的65536的长度。

```
getconf NAME_MAX /
255
getconf PATH_MAX /
4096
```

# EXIF格式

EXIF格式解析的地方，也大量调用了printf_函数。

```

printf_(s, "Java_com_sina_filter_JpegExifExtractor_nativeExifExtrator: parse start");
v15 = TinyEXIF::EXIFInfo::parseFrom((TinyEXIF::EXIFInfo *)&v61, (const unsigned __int8 *)p, v115[0]);
if ( v15 )
{
  printf_(s, "EXIF parse failed err code: %d", v15);
  printf_(s, "ProjectionType %d", HIWORD(v87));
}
else
{
  printf_(s, "EXIF parse success");
  if ( v61 )
	printf_(s, "ImageResolution %d x %d", (_DWORD)v61, HIDWORD(v61));
  if ( v62 )
	printf_(s, "RelatedImageResolution %d x %d ", (_DWORD)v62, HIDWORD(v62));
  if ( *((_DWORD *)v63 - 3) )
	printf_(s, "Description %s", v63);
  if ( *((_DWORD *)v64 - 3) || *((_DWORD *)v65 - 3) )
	printf_(s, "CameraModel make: %s, model: %s", v64, v65);
  printf_(s, "Orientation %d", v66);
  printf_(s, "Resolution %lf x %lf", v67, v68);
  printf_(s, "ResolutionUnit %d", (unsigned __int16)v69);
  printf_(s, "BitsPerSample %d", HIWORD(v69));
  if ( *((_DWORD *)v70 - 3) )
	printf_(s, "Software %s", v70);
  if ( *((_DWORD *)v71 - 3) )
	printf_(s, "DateTime %s", v71);
  if ( *((_DWORD *)v72 - 3) )
	printf_(s, "DateTimeOriginal %s", v72);
  if ( *((_DWORD *)v73 - 3) )
	printf_(s, "DateTimeDigitized %s", v73);
  if ( *((_DWORD *)v74 - 3) )
	printf_(s, "SubSecTimeOriginal %s", v74);
  if ( *((_DWORD *)v75 - 3) )
	printf_(s, "Copyright %s", v75);
  printf_(s, "ExposureTime %0.10lf s", v76);
  printf_(s, "FNumber %lf", v77);
  printf_(s, "ExposureProgram %d", v78);
  printf_(s, "ISOSpeed %d", v79);
  printf_(s, "ShutterSpeedValue %0.10lf", v80);
  printf_(s, "ApertureValue %0.10lf", v81);
  printf_(s, "BrightnessValue %0.10lf", v82);
  printf_(s, "ExposureBiasValue %lf", v83);
  printf_(s, "SubjectDistance %lf", v84);
  printf_(s, "FocalLength %lf mm", v85);
  printf_(s, "Flash %d", (unsigned __int16)v86);
  if ( i_3 != i_1 )
  {
	printf_(s, "SubjectArea: ");
	i_2 = i_3;
	for ( i = i_1; i != i_2; ++i_2 )
	  printf_(s, "%d", *i_2);
  }
  printf_(s, "MeteringMode %d", HIWORD(v86));
  printf_(s, "LightSource %d", (unsigned __int16)v87);
  printf_(s, "ProjectionType %d", HIWORD(v87));
  printf_(s, "LensInfo.FStopMin %lf", v91);
  printf_(s, "LensInfo.FStopMax %lf", v92);
  printf_(s, "LensInfo.FocalLengthMin %lf mm", v93);
  printf_(s, "LensInfo.FocalLengthMax %lf mm", v94);
  printf_(s, "LensInfo.DigitalZoomRatio %lf ", v95);
  printf_(s, "LensInfo.FocalLengthIn35mm %lf ", v96);
  printf_(s, "LensInfo.FocalPlaneXResolution %0.10lf", v97);
  printf_(s, "LensInfo.FocalPlaneYResolution %0.10lf ", v98);
  printf_(s, "LensInfo.FocalPlaneResolutionUnit %d", v99);
  if ( *((_DWORD *)v100 - 3) || *((_DWORD *)v101 - 3) )
	printf_(s, "LensInfo.Model %s - %s", v100, v101);
  if ( TinyEXIF::EXIFInfo::Geolocation_t::hasLatLon((TinyEXIF::EXIFInfo::Geolocation_t *)&v102) == 1 )
  {
	printf_(s, "GeoLocation.Latitude %0.10lf", v102);
	printf_(s, "GeoLocation.Longitude %0.10lf", v103);
  }
  if ( TinyEXIF::EXIFInfo::Geolocation_t::hasAltitude((TinyEXIF::EXIFInfo::Geolocation_t *)&v102) == 1 )
  {
	printf_(s, "GeoLocation.Altitude %lf m", v104);
	printf_(s, "GeoLocation.AltitudeRef %d", v105);
  }
  if ( TinyEXIF::EXIFInfo::Geolocation_t::hasRelativeAltitude((TinyEXIF::EXIFInfo::Geolocation_t *)&v102) == 1 )
	printf_(s, "GeoLocation.RelativeAltitude %lf", v106);
  if ( TinyEXIF::EXIFInfo::Geolocation_t::hasOrientation((TinyEXIF::EXIFInfo::Geolocation_t *)&v102) == 1 )
  {
	printf_(s, "GeoLocation.RollDegree %lf", v107);
	printf_(s, "GeoLocation.PitchDegree %lf", v108);
	printf_(s, "GeoLocation.YawDegree %lf", v109);
  }
  printf_(s, "GeoLocation.GPSDOP %lf", v110);
  printf_(s, "GeoLocation.GPSDifferential %d", v111);
  if ( *((_DWORD *)v112 - 3) )
	printf_(s, "GeoLocation.GPSMapDatum %s", v112);
  if ( *((_DWORD *)v113 - 3) )
	printf_(s, "GeoLocation.GPSTimeStamp %s", v113);
  if ( *((_DWORD *)v114 - 3) )
	printf_(s, "GeoLocation.GPSDateStamp %s", v114);
}
if ( p )
  operator delete(p);
printf_(s, "Java_com_sina_filter_JpegExifExtractor_nativeExifExtrator exif obj setup start");

```

调用printf_的地方非常的多，随便找一个字段的值，将其设置为超过65536的长度就可以了。以Description的字段信息为例，使用Python生成包含EXIF信息的图片,发现EXIF头的最大大小是0xFFFF,正好位于s字段的最大长度限制内。

![](upload/attach/202510/920134_KH4Z823A98C9BK4.webp)

因为szSection只占2个字节，所以最大长度是0xFFFF,ImageDescription的长度可以设置为64993，但是仍然小于s[65536]的长度。

这里也解释了为什么要设置s的最大长度为65536，这个正是EXIF信息的最大长度。

# 漏洞代码

继续分析发现了真正出现漏洞的地方是如下的代码：

```
printf_(s, "CameraModel make: %s, model: %s", v64, v65);
```

将Make (271) 和 Model (272) 的字段值进行了合并，正常的逻辑是EXIF内容的所有值加起来的最大长度是0xFFFF，似乎make加model的最大长度也不会超过0xFFFF。

![](upload/attach/202510/920134_5RAVYP2KBUUT72Y.webp)

Make的值可以设置为64995(0xFDE3)，这时Model值的正常长度是13(0xD)，合并后的长度是65008(0xFDF0)，显然是在0xFFFF的长度范围内。

如果将Model的偏移地址和长度设置为与Make的偏移地址和长度一致，就可以突破0xFFFF的限制，长度可达129990(0x1FBC6)，同时可以控制Model的长度，来设置溢出的范围。

同时s的地址是0x0005C05C,程序的最大地址是0x00072268,差值是0x1620C,可以向程序外溢出0x99BA。

# 漏洞利用

查看程序的segment表，可以向下溢出到bss段。

![](upload/attach/202510/920134_FV622ZE8PS7FF65.webp)

查看程序的防护，防护全开。
```
    Arch:       arm-32-little
    RELRO:      Full RELRO
    Stack:      Canary found
    NX:         NX enabled
    PIE:        PIE enabled
```

首先覆盖的是位于其下方的DATA段的导出函数：EXPORT _ZN10__cxxabiv119__terminate_handlerE

![](upload/attach/202510/920134_R5UCTQ34FC8UZEX.webp)

与s值的结束地址相差0x8D，对内存破坏的影响最小，但是这是一个被动调用的函数，只有程序出现异常才有可能触发，另外即使触发也需要处理传递参数的问题。

继续向下溢出到bss段，JNI调用出现了异常。

出现异常的是以下的代码：

```
int __fastcall NewObject(int jnienv)
{
  return (*(int (__fastcall **)(int, int, int))(*(_DWORD *)jnienv + 112))(jnienv, dword_6C184, dword_6C188);
}
```

dword_6C184和dword_6C188对应的参数是jclass和jmethodID:

```
    jobject     (*NewObject)(JNIEnv*, jclass, jmethodID, ...);
```

调用代码是：

```
v14 = NewObject((int)jnienv);
```

原始的逻辑是调用ExifInfo的构造函数创建Object对象，理论上可以替换jclass和jmethodID来构造指定的对象。
```
JNIEnv->NewObject(class com/sina/filter/ExifInfo, <init>()
```

然后是三个CallVoidMethod进行了对象函数的调用:

```
int __fastcall CallVoidMethod(
        int jnienv,
        int a2,
        int a3,
        int a4,
        int a5,
        int a6,
        int a7,
        int a8,
        int a9,
        int a10,
        double a11,
        double a12,
        int a13,
        int a14,
        int a15,
        int a16,
        int a17,
        int a18,
        int a19,
        double a20,
        double a21,
        int a22,
        double a23,
        double a24,
        double a25,
        double a26,
        double a27,
        double a28,
        __int64 a29,
        int a30,
        int a31)
{
  return (*(int (__fastcall **)(int, int, int, int, int, int, int, int, int, int, int))(*(_DWORD *)jnienv + 244))(
           jnienv,
           a2,
           dword_6C18C,
           a3,
           a4,
           a5,
           a6,
           a7,
           a8,
           a9,
           a10);
}
```

```
int __fastcall CallVoidMethod1(
        int jnienv,
        int a2,
        int a3,
        int a4,
        double a5,
        double a6,
        double a7,
        double a8,
        double a9,
        double a10,
        double a11,
        int a12,
        int a13,
        int a14)
{
  return (*(int (__fastcall **)(int, int, int, int, int, int, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, _DWORD, int, int, int))(*(_DWORD *)jnienv + 244))(
           jnienv,
           a2,
           dword_6C190,
           a4,
           a3,
           a4,
           LODWORD(a5),
           HIDWORD(a5),
           LODWORD(a6),
           HIDWORD(a6),
           LODWORD(a7),
           HIDWORD(a7),
           LODWORD(a8),
           HIDWORD(a8),
           LODWORD(a9),
           HIDWORD(a9),
           LODWORD(a10),
           HIDWORD(a10),
           LODWORD(a11),
           HIDWORD(a11),
           a12,
           a13,
           a14);
}
```

```
int __fastcall CallVoidMethod2(
        int jnienv,
        int a2,
        int a3,
        int a4,
        double a5,
        double a6,
        int a7,
        double a8,
        double a9,
        double a10,
        double a11,
        double a12,
        int a13,
        int a14,
        int a15,
        int a16)
{
  return (*(int (__fastcall **)(int, int, int, int, int, int, _DWORD, _DWORD, _DWORD, _DWORD, int))(*(_DWORD *)jnienv
                                                                                                  + 244))(
           jnienv,
           a2,
           dword_6C194,
           a4,
           a3,
           a4,
           LODWORD(a5),
           HIDWORD(a5),
           LODWORD(a6),
           HIDWORD(a6),
           a7);
}
```

CallVoidMethod函数的原始类型是:

```
void        (*CallVoidMethod)(JNIEnv*, jobject, jmethodID, ...);
```
dword_6C18C dword_6C190 dword_6C194 对应的参数是jmethodID。

对应的函数逻辑是:

```
JNIEnv->CallVoidMethod(com.sina.filter.ExifInfo@14899482, SetExifCommon(0x0, 0x0, 0x0, 0x0, "image description", "A", "A", 0x1, 72.0D, 72.0D, 0x2, 0x0, "Python EXIF Generator", "2024:01:01 12:00:00", "2024:01:01 12:00:00", "2024:01:01 12:00:00", "000", "Copyright 2024", 0.001D, 2.8D, 0x2, 0x64, 9.970821540109308E-4D, 2.6390158215457884D, 0.0D, 0.0D, 2.0D, 50.0D, 0x0, 0x2, 0x1, 0x0))

JNIEnv->CallVoidMethod(com.sina.filter.ExifInfo@14899482, setLensInfo(0.0D, 0.0D, 0.0D, 0.0D, 0.0D, 0.0D, 0.0D, 0.0D, 0x0, null, null))

JNIEnv->CallVoidMethod(com.sina.filter.ExifInfo@14899482, setGeolocation(1.7976931348623157E308D, 1.7976931348623157E308D, 1.7976931348623157E308D, 0x0, 1.7976931348623157E308D, 1.7976931348623157E308D, 1.7976931348623157E308D, 1.7976931348623157E308D, 0.0D, 0x0, null, null, null))
```

对应的JAVA代码是:

```
public void SetExifCommon(int i, int i2, int i3, int i4, String str, String str2, String str3, int i5, double d, double d2, int i6, int i7, String str4, String str5, String str6, String str7, String str8, String str9, double d3, double d4, int i8, int i9, double d5, double d6, double d7, double d8, double d9, double d10, int i10, int i11, int i12, int i13)

public void setLensInfo(double d, double d2, double d3, double d4, double d5, double d6, double d7, double d8, int i, String str, String str2)

public void setGeolocation(double d, double d2, double d3, int i, double d4, double d5, double d6, double d7, double d8, int i2, String str, String str2, String str3)
```

至此，已经可以控制的参数是dword_6C184 dword_6C188，对应的是NewObject的jclass和jmethodID参数；
dword_6C18C dword_6C190 dword_6C194 对应的是三个CallVoidMethod的jmethodID参数。

可以支持调用函数的参数类型为:

```
()
(int i)
(int i, int i2)
(int i, int i2, int i3)
(int i, int i2, int i3, int i4)
(int i, int i2, int i3, int i4, String str)
...
(int i, int i2, int i3, int i4, String str, String str2, String str3, int i5, double d, double d2, int i6, int i7, String str4, String str5, String str6, String str7, String str8, String str9, double d3, double d4, int i8, int i9, double d5, double d6, double d7, double d8, double d9, double d10, int i10, int i11, int i12, int i13) 
```

仅在Unidbg的调试环境测试，与真机和系统版本有差异。

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2025-10-11 16:11 被易之生生编辑，原因：

#缓冲区溢出 #Linux #Andorid

最新回复 (32) 1 2 ▶
wx_插曲雪币： 411 活跃值： (986) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 2 楼大佬牛逼 2025-10-11 13:38 0
mb_uvyukvot 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 144 粉丝 1 关注私信	mb_uvyukvot 3 楼 666 2025-10-16 18:48 0
mb_lghhumnu 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	mb_lghhumnu 4 楼谢谢分享 2025-10-17 15:38 0
chenai2019 雪币： 43 活跃值： (979) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 16 粉丝 0 关注私信	chenai2019 5 楼最后于 2025-10-17 17:12 被chenai2019编辑，原因： 2025-10-17 17:10 0
mb_hziqyrum 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 44 粉丝 0 关注私信	mb_hziqyrum 6 楼 66666 2025-10-19 11:30 0
ygqyb 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	ygqyb 7 楼 123456 2025-10-19 11:35 0
丶咖啡猫丶雪币： 2769 活跃值： (3986) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 178 粉丝 4 关注私信	丶咖啡猫丶 8 楼 666 2025-10-20 09:16 0
Bonquer 雪币： 33 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 71 粉丝 1 关注私信	Bonquer 9 楼看看 2025-10-20 14:48 0
mb_pgemecpo 雪币： 1779 活跃值： (1666) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	mb_pgemecpo 10 楼又是不检验长度哎 2025-10-21 00:07 0
Evangeliner 雪币： 656 活跃值： (670) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	Evangeliner 11 楼学习一下 2025-10-25 10:54 0
zylyy 雪币： 144 活跃值： (2738) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 12 楼 66666 2025-10-25 11:20 0
G0t1T 雪币： 2351 活跃值： (1392) 能力值： ( LV7，RANK：110 ) 在线值：发帖 8 回帖 3 粉丝 4 关注私信	G0t1T 1 13 楼 666 2025-11-6 10:20 0
mb_xjdhrmck 雪币： 78 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 154 粉丝 0 关注私信	mb_xjdhrmck 14 楼 666 2025-11-6 10:28 0
1wc 雪币： 111 活跃值： (881) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 1 关注私信	1wc 15 楼可以的 2025-11-6 14:59 0
wx_kx91792 雪币： 4 活跃值： (40) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	wx_kx91792 16 楼 6666 2025-11-11 16:58 0
h01mes 雪币： 1488 活跃值： (616) 能力值： ( LV4，RANK：40 ) 在线值：发帖 3 回帖 4 粉丝 2 关注私信	h01mes 1 17 楼好强 2025-12-4 18:11 0
wx_qiisttzi 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	wx_qiisttzi 18 楼 1 2026-1-6 23:41 0
JLkt45 雪币： 220 活跃值： (666) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	JLkt45 19 楼学习一下 2026-1-9 16:45 0
wx_向阳. 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	wx_向阳. 20 楼 6666 2026-1-12 16:16 0
Cw@l 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	Cw@l 21 楼学习一下 2026-1-16 10:48 0
阿玛农雪币： 22 能力值： ( LV1，RANK：0 ) 在线值：发帖 10 回帖 27 粉丝 0 关注私信	阿玛农 22 楼 nb 2026-2-3 18:22 0
dogfood 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	dogfood 23 楼 nb 2026-2-27 12:30 0
MI_XI___ 雪币： 19 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	MI_XI___ 24 楼大佬牛逼 2026-3-3 19:41 0
mb_jhohnbzu 雪币： 28 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 83 粉丝 0 关注私信	mb_jhohnbzu 25 楼 666 2026-4-17 15:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复