豬豬 發表於 2012-5-11 10:37:10

CVE公共漏洞和暴露分析报告2012-0774

一.漏洞描述<br />Adobe Reader在阅读PDF文件时使用一些公共格式载入字体说明，比如TrueTypeFont (TTF).&lt;TTF是Apple公司和Microsoft公司共同推出的字体文件格式&gt;<br />TTF中有几个片段负责格式化存储字体字形的描述，其中一个片段是字节码语言，它由TTF渲染器中的一个解释器执行。这个解释器是一个基于堆栈的虚拟机，因此它使用的大部分指令都以某种方式修改指令。MINDEX指令可以从栈中弹出一个值，并利用这个值作为一个索引进入栈区。该索引上的值被移到栈顶，栈中原有的值依次向下移动以填补移动索引值产生的空间。<br />MINDEX 指令的伪码：<br />&nbsp;&nbsp;&nbsp;&nbsp; index = stack.pop()<br />&nbsp;&nbsp;&nbsp;&nbsp; new_top = stack<br />&nbsp;&nbsp;&nbsp;&nbsp; for (i = 1; i&lt;= index; i++)<br />&nbsp;&nbsp;&nbsp;&nbsp; stack = stack<br />&nbsp;&nbsp;&nbsp;&nbsp; stack = new_top<br />由于所有的栈操作都以4byte为单位，故而该索引值为了找到用于移动的位偏移值，会在Adobe Reader的解释器里进行乘以4的运算。但却没有对这个乘法运算进行整数溢出的检测。这个&ldquo;索引&rdquo;的原始值作为一个数字元素复制到一个循环中，如果这个&ldquo;索引&rdquo;足够大的（在进行乘4运算时能溢出一个小数值的）数值时，会导致缓冲区溢出。<br />1.补充<br />在解析文件时，首先查看&ldquo;PDF key /FontFile2&rdquo;可能会获得TTF数据。<br />&nbsp;&nbsp;&nbsp; 找到TTF数据段后，需要对其进行解析，并检查&ldquo;glyf&rdquo;表，每个字形条目都可以包含0个或多个TTF字节码格式的指令，需要对他们进行解码和模拟，一次来发现MINDEX指令。<br />&nbsp;&nbsp;&nbsp; 找到MINDEX指令后，需要检查位于栈顶的值（将被用做索引），如果这个值位于下列范围：0x40000001 &lt;= index &lt;= 0x7fffffff ，那么这个PDF文件应标记为恶意的PDF文件。<br />二、&nbsp;&nbsp; 调试环境与工具<br />环境：Windows XP3 +&nbsp;&nbsp;&nbsp; AdobeReader9.4.0.195<br />工具：OllbDBG + IDA Pro + 010 Editer<br />三、&nbsp;&nbsp; 调试记录<br />载入POC后程序出现内存访问异常:<br />080079CE&nbsp; MOV DWORD PTR DS:,EBX&nbsp;&nbsp; ;ECX=0823F000,EBX=0<br />&nbsp;<br />&nbsp;<br /><img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510113814678.jpg" /><br /><br /><br /><br />ALT+M查看内存窗口，发现程序尝试是向CoolType.dll的.rscr段写入数据，而.rscr段内存一般都只读的，在执行MOV DWORD PTR DS:,EBX发生了内存访问异常。<br />&nbsp;<img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510113815671.jpg" /><br />按MAPP的描述，发生异常的位置在MINDEX 指令处，载入IDA看看这段代码:<br />回头再看看图1中的EDX，EDX是一个很大的值，而字节码解释器的堆栈位于CoolType.dll的.dada内存中。MINDEX 指令处在取栈最上面的索引值后，跟据索引值计算出偏移量去取值后，堆中的元素向下移动去填补取出值的位置(堆的增长方向是向高地址与windows程序中的堆栈不同)，即高地址的4个字节复制到相邻的低地址的4个字节，如果这个栈中的索引没有验证大小，MINDEX 指令在移动数据直到索引值为0才停下，如果在移动过程中覆盖到重要的数据，此漏洞可变为可利用的漏洞。<br />&nbsp;<br />.text:0800798B MINDEX&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; proc near&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; CODE XREF: sub_800690E+49p<br />.text:0800798B&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; sub_806C605+48p<br />.text:0800798B&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; DATA XREF: .data:0821BF68o<br />.text:0800798B<br />.text:0800798B arg_0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; = dwordptr&nbsp; 4<br />.text:0800798B<br />.text:0800798B&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; moveax, StackTop<br />.text:08007990&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movecx, Var<br />.text:08007996&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp; ebx<br />.text:08007997&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp; esi<br />.text:08007998&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movesi, &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; stack.base<br />.text:0800799A&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; lea&nbsp;&nbsp;&nbsp;&nbsp; edx, <br />.text:0800799D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmpedx, esi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; 弹出一个值后的堆栈地址是否大于或栈基<br />.text:0800799F&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push&nbsp;&nbsp;&nbsp; edi<br />.text:080079A0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jb&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; short FailRet<br />.text:080079A0<br />.text:080079A2&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movedi, ; Stack.Limit?<br />.text:080079A8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmpedx, edi&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; 栈顶是否大于stack.limit<br />.text:080079AA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jnb&nbsp;&nbsp;&nbsp;&nbsp; short FailRet<br />.text:080079AA<br />.text:080079AC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; add&nbsp;&nbsp;&nbsp;&nbsp; eax, 0FFFFFFFCh ; -4<br />.text:080079AF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movedx, &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; 取索引<br />.text:080079B1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movebx, edx<br />.text:080079B3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; shlebx, 2&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; 计算出偏移量,偏移量=索引*4<br />.text:080079B6&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movecx, eax<br />.text:080079B8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; sub&nbsp;&nbsp;&nbsp;&nbsp; ecx, ebx&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;ebx=偏移量<br />.text:080079BA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmpecx, esi<br />.text:080079BC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jb&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; short FailRet<br />.text:080079BC<br />.text:080079BE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmpecx, edi<br />.text:080079C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jnb&nbsp;&nbsp;&nbsp;&nbsp; short FailRet<br />.text:080079C0<br />.text:080079C2&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; test&nbsp;&nbsp;&nbsp; edx, edx<br />.text:080079C4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movedi, &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; 保存取出的值。<br />.text:080079C6&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jle&nbsp;&nbsp;&nbsp;&nbsp; short loc_80079D7<br />.text:080079C6<br />.text:080079C8<br />.text:080079C8 Moving:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; CODE XREF: MINDEX+47j<br />.text:080079C8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; decedx<br />.text:080079C9&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; lea&nbsp;&nbsp;&nbsp;&nbsp; esi, <br />.text:080079CC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movebx, <br />.text:080079CE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp; , ebx<br />.text:080079D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movecx, esi<br />.text:080079D2&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jnz&nbsp;&nbsp;&nbsp;&nbsp; short Moving<br />.text:080079D2<br />.text:080079D4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; sub&nbsp;&nbsp;&nbsp;&nbsp; eax, 4<br />.text:080079D4<br />.text:080079D7<br />.text:080079D7 loc_80079D7:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; CODE XREF: MINDEX+3Bj<br />.text:080079D7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp; , edi<br />.text:080079D9&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; add&nbsp;&nbsp;&nbsp;&nbsp; eax, 4<br />.text:080079DC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; movStackTop, eax<br />.text:080079E1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; moveax, <br />.text:080079E5&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jmp&nbsp;&nbsp;&nbsp;&nbsp; short loc_80079F6<br />.text:080079E5<br />.text:080079E7 ; ---------------------------------------------------------------------------<br />.text:080079E7<br />.text:080079E7 FailRet:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; CODE XREF: MINDEX+15j<br />.text:080079E7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; MINDEX+1Fj MINDEX+31j<br />.text:080079E7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; MINDEX+35j<br />.text:080079E7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; moveax, dwEIP<br />.text:080079EC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov&nbsp;&nbsp;&nbsp;&nbsp; dword_8232434, 1110h<br />.text:080079EC<br />.text:080079F6<br />.text:080079F6 loc_80079F6:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;; CODE XREF: MINDEX+5Aj<br />.text:080079F6&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop&nbsp;&nbsp;&nbsp;&nbsp; edi<br />.text:080079F7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop&nbsp;&nbsp;&nbsp;&nbsp; esi<br />.text:080079F8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop&nbsp;&nbsp;&nbsp;&nbsp; ebx<br />.text:080079F9&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; retn<br />.text:080079F9<br />.text:080079F9 MINDEX&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; endp<br />&nbsp;<br />四、字节码相关分析<br />通过日志断点打印字节码信息，发现此索引是跟据glyf中的字节码数据计算出来的。<br />1.&nbsp;&nbsp;&nbsp; 打PCode长度信息:<br />&nbsp;<img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510113816727.jpg" /><br />2.设置打印PCode地址信息日志断点:<br />&nbsp;<br />&nbsp;<img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510113816123.jpg" /><br />&nbsp;<br />3.打印虚拟机&rdquo;指令&rdquo;信息:<br />&nbsp;<br /><br /><img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510113813368.jpg" /><br />4.虚拟机指令执行前的当前堆栈数据:<br />&nbsp;<img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510114000471.jpg" /><br />&nbsp;<br />5.指令结束后的当前虚拟机堆栈的数据:<br />&nbsp;<img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510114001588.jpg" /><br />6.指令分隔符号信息，便于查看信息:<br />&nbsp;<br /><br /><img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510114001329.jpg" /><br /><br /><br /><br /><br /><br /><br />OllyDBG重新载入AdobeReade.exe，在MINDEX 指令的首地址下普通断点后，打开poc文件后开始打印日志,程序停下来之后查看最后的记录：<br />08006927&nbsp; 条件: PCode = 02DD6B33<br />08006928&nbsp; 条件: Instruction = 0026<br />08006956&nbsp; 条件: 执行前堆栈 = 40000001<br />0800798B&nbsp; 断点位于&lt;CoolType.MINDEX&gt;<br />从打印的信息来看MINDEX 指令是0x26,当前堆栈为 = 0x40000001.<br />0x40000001正好当前栈的索引值。Eax值指向当前PCode的地址。<br />&nbsp;<img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510114002357.jpg" /><br />从分析日志来看:<br />索引的值是7fff + 7fff + 3FFF0003<br />08006927&nbsp; 条件: PCode = 02DD6B2A<br />08006928&nbsp; 条件: Instruction = 0078//跳转指令<br />08006956&nbsp; 条件: 执行前堆栈 = 00000000<br />0800695E&nbsp; 条件: 执行后 = 3FFF0003<br />08006962&nbsp; 条件: **********************************************************************<br />08006927&nbsp; 条件: PCode = 02DD6B2B<br />08006928&nbsp; 条件: Instruction = 0041Push_Imm16，将7fff,7fff压入堆栈再相加<br />08006956&nbsp; 条件: 执行前堆栈 = 3FFF0003<br />0800695E&nbsp; 条件: 执行后 = 00007FFF<br />08006962&nbsp; 条件: **********************************************************************<br />08006927&nbsp; 条件: PCode = 02DD6B31<br />08006928&nbsp; 条件: Instruction = 0060&nbsp; ADD ,<br />08006956&nbsp; 条件: 执行前堆栈 = 00007FFF<br />0800695E&nbsp; 条件: 执行后 = 0000FFFE7fff + 7fff = fffe<br />08006962&nbsp; 条件: **********************************************************************<br />08006927&nbsp; 条件: PCode = 02DD6B32<br />08006928&nbsp; 条件: Instruction = 0060ADD ,<br />08006956&nbsp; 条件: 执行前堆栈 = 0000FFFE&nbsp;<br />0800695E&nbsp; 条件: 执行后 = 40000001 3FFF0003 + fffe = 40000001<br />08006962&nbsp; 条件: **********************************************************************<br />08006927&nbsp; 条件: PCode = 02DD6B33<br />08006928&nbsp; 条件: Instruction = 0026 MINDEX 指令<br />08006956&nbsp; 条件: 执行前堆栈 = 40000001<br />0800798B&nbsp; 断点位于&lt;CoolType.MINDEX&gt;&nbsp;&nbsp;<br />&nbsp;<br />再往上查看日志3FFF0003是从哪来的:<br />分析日志得知:00FFFC00 + 3EFF0403 = 3FFF0003<br />08006962&nbsp; 条件: **********************************************************************<br />08006927&nbsp; 条件: PCode = 02DED7D2<br />08006928&nbsp; 条件: Instruction = 0041<br />08006955&nbsp; 条件: 执行前VM_ESP地址= 08236230<br />08006956&nbsp; 条件: 执行前堆栈 = 3EFF0403<br />0800695E&nbsp; 条件: 执行后 = 00007FFF<br />0800695F&nbsp; 条件: 执行后VM_ESP地址= 08236238<br />08006962&nbsp; 条件: **********************************************************************<br />08006927&nbsp; 条件: PCode = 02DED7D8<br />08006928&nbsp; 条件: Instruction = 0063<br />08006955&nbsp; 条件: 执行前VM_ESP地址= 08236238<br />08006956&nbsp; 条件: 执行前堆栈 = 00007FFF<br />0800695E&nbsp; 条件: 执行后 = 00FFFC00<br />0800695F&nbsp; 条件: 执行后VM_ESP地址= 08236234<br />08006962&nbsp; 条件: **********************************************************************<br />08006927&nbsp; 条件: PCode = 02DED7D9<br />08006928&nbsp; 条件: Instruction = 0060ADD ,<br />08006955&nbsp; 条件: 执行前VM_ESP地址= 0823623408236234的值是7FFF而08236234-4的值是3EFF0403<br />08006956&nbsp; 条件: 执行前堆栈 = 00FFFC00<br />0800695E&nbsp; 条件: 执行后 = 3FFF0003&nbsp;&nbsp; 00FFFC00 + 3EFF0403 = 3FFF0003<br />0800695F&nbsp; 条件: 执行后VM_ESP地址= 08236230<br />08006962&nbsp; 条件: **********************************************************************<br />&nbsp;<br />日志最开始的地方显示PCode的长度为0x79:<br />08006917&nbsp; 条件: Pcode长度= 00000079<br />&nbsp;<br />一直通过追述到源头到发现此值是在一个循环中逐步增加计算索引的一个过程。<br />复制内存中的PCode在010 Editer中查看:<br /><img alt="" src="https://img.jbzj.com/file_images/article/201205/20120510114003591.jpg" /><br />&nbsp;<br />最后此漏洞分析到此完成了，还有很多东西不相关的分析没有贴上来，对于文件格式不明白，所以还有很多东西搞不清楚
頁: [1]
查看完整版本: CVE公共漏洞和暴露分析报告2012-0774