針對CVE-2015-2545漏洞研究分析（上篇）

3.5 調試分析-野指針產生過程[第二個方向]

3.5.1 簡易例子解釋UAF

此過程比較復雜，需要了解“PostScript”語法，可以下載<<PLRM2.pdf>>來學習；大家還要了解下關于`UAF`的簡單的知識，何為`UAF`？就是字面意思“釋放后重新使用“，例子如下：

#include<stdio.h>

    #include<stdlib.h>

    #include<malloc.h>

    void *pfunc1()

    {

        printf("testn");

    }

    typedef struct Object1_struct{

        int flag;

        void (*pfunc1)();

        char message[4];

    }OBJECT1;

    typedef struct Object2_struct{

        int flag;

        int flag2;

        char *welcome;

    }OBJECT2;

    int main()

    {

        int i;

        OBJECT1 *pObject1;

        OBJECT2 *pObject2;

        pObject1 = (OBJECT1 *)malloc(sizeof(OBJECT1));//init struct

        pObject1->flag = 1;

        //pObject1->pfunc1();

        //pObject1->message = "this is first create!";

        free(pObject1);

        /*forget pObject1 = NULL*/

        for(i=0;i<1000;i++)

        {

            pObject2 = (OBJECT2 *)malloc(sizeof(OBJECT2));//heap spray

            pObject2->flag=2;

            pObject2->flag2=4;

            pObject2->welcome = "AAAA";

        }

        /*fill pointer*/

        if(pObject1 != NULL)

            pObject1->pfunc1();

        return 0;

    }

3.5.2 優化PostScript

了解上面的知識之后我們需要定位漏洞出現的位置，我們知道此漏洞出現的位置是在forall操作里面發生的，這個時候可以看下word文件中鑲嵌的iamge1.eps文件，從文件可以看出代碼都被擠壓成一起了，很不方便觀看這些代碼，只能手動對關鍵代碼更改`[圖2]`所示

圖1

圖2

3.5.3 定位EPS樣本文件關鍵位置

從代碼上我們直觀發現的是`<00000000ff030000030000000000000000000000444444440005000000000000000000>`這一串東西，具體是什么我們現在先不需要考慮，然后我們可以看到forall操作{}里好多其他代碼，其中就包含了copy的操作，這個位置就是導致漏洞產生的地方，那我們怎么去定位呢？動態調試，?；厮莸姆绞竭@個有點坑，大概你跟一天也跟不到吧，因為里面操作特別多，要知道這里面每個操作都是一個函數，所以回溯的方法不太可取，這個時候就需要用到IDA，直接使用IDA打開漏洞模塊，打開之后我們應該想到，既然是操作，那么應該跟函數一樣有帶字符串的名字，那么我們是不是可以通過IDA–>shitf+f12【字符串窗口】–>查找forall這個函數呢？我們用`alt+t`查找下，果然，有了我們想要的東西`圖1`,我們跟進去，發現有個地方在引用`圖2`，我們繼續跟進去，直接定位到了`forall函數“圖3`，同理可得，我們可以定位到`copy`的函數與其他關鍵函數，然后動態調試跟蹤即可。

圖1

圖2

圖3

3.5.4 關鍵函數斷點位置

首先我們在關鍵幾個位置下斷點，通過IDA得到偏移地址，直接Windbg or OD 定位相應位置即可，這里我用的是Windbg下斷點，下面列出的斷點是我調試了很多次所記錄下的斷點，大部分的斷點我都給下了主要為了了解下代碼流程方便觀看，其實剛剛開始調試只需要在forall一處下斷點即可，先了解其結構在觀察其做法，我們先斷第一個`forall`的位置

<`EPSIMP32!RegisterPercentCallback+0x4526`>

     0 e 6822bcc6     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x4664 ".printf "forall_value_key_pNext""     1 e 6823cbe4     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x15582 ".printf "dict1_dict2_Copy""     2 e 6823a4f0     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x12e8e ".printf "dict1_dict2_copy_2""     3 e 6821a0e8     0001 (0001)  0:**** EPSIMP32+0x1a0e8 ".printf "_copy_delete ""     4 e 6823cd89     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x15727 ".printf"copy_memcpy ""     5 e 6823ca58     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x153f6 ".printf"_exch_fun_""     6 e 6823d592     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x15f30 ".printf"_put_fun_""     7 e 6823d73c     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x160da ".printf"_PutInterVal_fun_""     8 e 68230313     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x8cb1 ".printf"_BytesavailabelFun_""     9 e 6823d8f5     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x16293 ".printf"_StringFun_""    10 e 682312e6     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x9c84 ".printf"_ShowFun_""    11 e 6823d830     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x161ce ".printf"memcpy_putinterval_""    12 e 6820cff5     0001 (0001)  0:**** EPSIMP32+0xcff5 ".printf"memcpy_put_bitshift_and_add_""

3.5.5 關于forall操作函數

我們通過ida可以觀察forall是個`條件分支的語句`，通過查詢《PLRM2.PDF》得到關于forall的解釋，大約有4種情況，不過可以看出“array proc”與“packedarray proc”是一樣的類型都是數組類型，其它兩種類型分別是字典類型與字符串類型，驗證方式直接在image.eps文件中添加實驗代碼即可驗證。

圖1

圖2