针对CVE-2015-2545漏洞研究分析（上篇）

3.5 调试分析-野指针产生过程[第二个方向]

3.5.1 简易例子解释UAF

此过程比较复杂，需要了解“PostScript”语法，可以下载<<PLRM2.pdf>>来学习；大家还要了解下关于`UAF`的简单的知识，何为`UAF`？就是字面意思“释放后重新使用“，例子如下：

#include<stdio.h>

    #include<stdlib.h>

    #include<malloc.h>

    void *pfunc1()

    {

        printf("testn");

    }

    typedef struct Object1_struct{

        int flag;

        void (*pfunc1)();

        char message[4];

    }OBJECT1;

    typedef struct Object2_struct{

        int flag;

        int flag2;

        char *welcome;

    }OBJECT2;

    int main()

    {

        int i;

        OBJECT1 *pObject1;

        OBJECT2 *pObject2;

        pObject1 = (OBJECT1 *)malloc(sizeof(OBJECT1));//init struct

        pObject1->flag = 1;

        //pObject1->pfunc1();

        //pObject1->message = "this is first create!";

        free(pObject1);

        /*forget pObject1 = NULL*/

        for(i=0;i<1000;i++)

        {

            pObject2 = (OBJECT2 *)malloc(sizeof(OBJECT2));//heap spray

            pObject2->flag=2;

            pObject2->flag2=4;

            pObject2->welcome = "AAAA";

        }

        /*fill pointer*/

        if(pObject1 != NULL)

            pObject1->pfunc1();

        return 0;

    }

3.5.2 优化PostScript

了解上面的知识之后我们需要定位漏洞出现的位置，我们知道此漏洞出现的位置是在forall操作里面发生的，这个时候可以看下word文件中镶嵌的iamge1.eps文件，从文件可以看出代码都被挤压成一起了，很不方便观看这些代码，只能手动对关键代码更改`[图2]`所示

图1

图2

3.5.3 定位EPS样本文件关键位置

从代码上我们直观发现的是`<00000000ff030000030000000000000000000000444444440005000000000000000000>`这一串东西，具体是什么我们现在先不需要考虑，然后我们可以看到forall操作{}里好多其他代码，其中就包含了copy的操作，这个位置就是导致漏洞产生的地方，那我们怎么去定位呢？动态调试，栈回溯的方式这个有点坑，大概你跟一天也跟不到吧，因为里面操作特别多，要知道这里面每个操作都是一个函数，所以回溯的方法不太可取，这个时候就需要用到IDA，直接使用IDA打开漏洞模块，打开之后我们应该想到，既然是操作，那么应该跟函数一样有带字符串的名字，那么我们是不是可以通过IDA–>shitf+f12【字符串窗口】–>查找forall这个函数呢？我们用`alt+t`查找下，果然，有了我们想要的东西`图1`,我们跟进去，发现有个地方在引用`图2`，我们继续跟进去，直接定位到了`forall函数“图3`，同理可得，我们可以定位到`copy`的函数与其他关键函数，然后动态调试跟踪即可。

图1

图2

图3

3.5.4 关键函数断点位置

首先我们在关键几个位置下断点，通过IDA得到偏移地址，直接Windbg or OD 定位相应位置即可，这里我用的是Windbg下断点，下面列出的断点是我调试了很多次所记录下的断点，大部分的断点我都给下了主要为了了解下代码流程方便观看，其实刚刚开始调试只需要在forall一处下断点即可，先了解其结构在观察其做法，我们先断第一个`forall`的位置

<`EPSIMP32!RegisterPercentCallback+0x4526`>

     0 e 6822bcc6     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x4664 ".printf "forall_value_key_pNext""     1 e 6823cbe4     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x15582 ".printf "dict1_dict2_Copy""     2 e 6823a4f0     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x12e8e ".printf "dict1_dict2_copy_2""     3 e 6821a0e8     0001 (0001)  0:**** EPSIMP32+0x1a0e8 ".printf "_copy_delete ""     4 e 6823cd89     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x15727 ".printf"copy_memcpy ""     5 e 6823ca58     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x153f6 ".printf"_exch_fun_""     6 e 6823d592     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x15f30 ".printf"_put_fun_""     7 e 6823d73c     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x160da ".printf"_PutInterVal_fun_""     8 e 68230313     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x8cb1 ".printf"_BytesavailabelFun_""     9 e 6823d8f5     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x16293 ".printf"_StringFun_""    10 e 682312e6     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x9c84 ".printf"_ShowFun_""    11 e 6823d830     0001 (0001)  0:**** EPSIMP32!RegisterPercentCallback+0x161ce ".printf"memcpy_putinterval_""    12 e 6820cff5     0001 (0001)  0:**** EPSIMP32+0xcff5 ".printf"memcpy_put_bitshift_and_add_""

3.5.5 关于forall操作函数

我们通过ida可以观察forall是个`条件分支的语句`，通过查询《PLRM2.PDF》得到关于forall的解释，大约有4种情况，不过可以看出“array proc”与“packedarray proc”是一样的类型都是数组类型，其它两种类型分别是字典类型与字符串类型，验证方式直接在image.eps文件中添加实验代码即可验证。

图1

图2