传说中的TXT溢出

编辑: 来源: 日期:2008-03-02 我要投稿 家园

传说中的TXT溢出

六年前发现的洞,这个EXP现在估计没啥伤杀力,放出来主要是满足小白们的好奇心.基本上也可以证明
Nothing Is Impossible.

CVE: CAN-2004-0901
MST: MS04-041

受影响组件:mswrd632.wpc/mswrd6.wpc
受影响系统:windowsXP sp0-sp1严重
windows2K sp0-sp4严重
windowsXP sp2/windows 2003影响较小

背景:WORDPAD是WIN系统自带的写字板,用于在没有安装MS OFFICE的情况下打开.DOC文档.
在安装有MS OFFICE的情况下,可以双击打开.WRI后缀的文档.mswrd632.wpc或mswrd6.wpc模块
用于在wordpad中解析word 95/6.0文档格式.

细节:
wordpad.exe加载的mswrd632.wpc模块,对超长字体名参数缺乏必要的验证(字体名长度超过80h),
攻击者可以构造恶意后缀名为.doc/.rtf/.wri的文档,如果用户双击将触发一个基于栈的溢出.
该漏洞成功率非常高.

关于补丁:这个洞在04年底被MS补上了,同时MS对注册表EnableLegacyConverters键值进行了设置造成,补丁后的写字板默认情况下不能打开word 95/6.0的文档,会提示"不能加载word for windows 6.0".另外XP SP2和2003下的写字板默认是调用mswrd6.wpc(位于C:\Program Files\Windows NT\Accessories),这个模块也有问题,但是在出错函数返回前有STACK COOKIE所以利用较难.这个EXP主要是几年前打那些没装OFFICE,且喜欢用WIN 2K的系统管理员,还是取得了不错的战果.

出错代码:这是XP SP2上的mswrd6.wpc(版本是10.0.803.1,打了补丁后版本应该是10.0.803.2)
0008:010D8A39 8BFF MOV EDI,EDI
0008:010D8A3B 55 PUSH EBP
0008:010D8A3C 8BEC MOV EBP,ESP
0008:010D8A3E 81EC84000000 SUB ESP,00000084 ;空间分配太小
0008:010D8A44 A11C8A0E01 MOV EAX,[010E8A1C]
0008:010D8A49 57 PUSH EDI
0008:010D8A4A 8D7E06 LEA EDI,[ESI+06]
0008:010D8A4D 57 PUSH EDI
0008:010D8A4E 8945FC MOV [EBP-04],EAX
0008:010D8A51 FF1544100C01 CALL [KERNEL32!lstrlen]
0008:010D8A57 40 INC EAX
0008:010D8A58 50 PUSH EAX
0008:010D8A59 8D857CFFFFFF LEA EAX,[EBP-0084]
0008:010D8A5F 57 PUSH EDI
0008:010D8A60 50 PUSH EAX
0008:010D8A61 FF1550110C01 CALL [msvcrt!memmove] ;覆盖RET
0008:010D8A67 83C40C ADD ESP,0C
0008:010D8A6A 8D857CFFFFFF LEA EAX,[EBP-0084]
0008:010D8A70 50 PUSH EAX
0008:010D8A71 E8D5D50000 CALL 010E604B
0008:010D8A76 6A7B PUSH 7B
................中间省略了.................
0008:010D8B01 6A7D PUSH 7D
0008:010D8B03 E8CD70FFFF CALL 010CFBD5
0008:010D8B08 8B4DFC MOV ECX,[EBP-04] ;STACK COOKIE
0008:010D8B0B E893DF0000 CALL 010E6AA3
0008:010D8B10 C9 LEAVE
0008:010D8B11 C20400 RET 0004

如何构造:自已动动脑子吧,很容易的.

关于标题:其实有些老版本的NOTEPAD在打开大于64KB的TXT文件时会自动调用WORDPAD.EXE,而WORDPAD又是只认格式不认后缀.所以在N年前这招还是很管用的.

最后:用BINDIFF2比较了一下见下图,现在的小白们真是幸福有这么好的工具可以用.EN,每年的2月29日,俺都会有料暴的今年就这样吧:)但愿没让各位看官失望.

上一篇：关于高级扫描技术ICMP、TCP、UDP原理的介绍
下一篇：BBSXP绕过过滤继续注入

关键字：

【文章评论】【收藏本文】【推荐好友】【打印本文】【论坛讨论】

PERL铸造多线程+支持中文破解SQL自动注入猜解机

看黑客怎样汇编创建简单的窗口

破解数据库下载漏洞

文章评论:(0条)

请留名：匿名评论点击查看所有评论

责任编辑:IT学院声明：刊登此文章是为了传递更多信息,文章内容仅供参考,转载请注明出处。

关于我们 - 联系我们 - 网站留言 - 友情链接 - 免责声明 - 网站地图 - RSS订阅 - 返回顶部

国内专业的IT学院，河北亿唐科技提供带宽。

传说中的TXT溢出

编辑: 来源: 日期:2008-03-02 我要投稿 家园

编辑: 来源: 日期:2008-03-02 我要投稿家园