一次意外的0day之旅
华域联盟
登陆 / 注册 搜索

USERCENTER

SEARCHSITE

搜索

查看: 1442|回复: 29

一次意外的0day之旅

  [复制链接]
发表于 2015-8-2 13:13:34 | 显示全部楼层 |阅读模式

【CHU】
信息来源: 华域联盟(www.cnhackhy.com)

马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

您需要 登录 才可以下载或查看,没有帐号?立即注册 新浪微博登陆

x

先看看原始漏洞的情况:在处理mpeg tx3g tag时,chunk_size是64位uint,与size之和溢出,导致实际分配比size小的内存。而后面的memcpy会导致heap overflow,写入的data应该是来自文件内容可控的。

  如下是代码:

  platform/frameworks/av/+/android-5.1.1_r8/media/libstagefright/MPEG4Extractor.cpp

, f4 D: l  T/ e* ^: L
20150802080408767.png 9 I- \3 d2 d7 |7 R

  了解了原理后,我们构造了一个POC,简单地将某个mp4文件中的一个“顺眼的”tag:trak修改为tx3g,于是触发了内存异常。当时还要忙着继续分析就没细看。等到写好文章后发现,这个异常不对啊!怎么还没memcpy就异常了?

  于是打开IDA调试一下,结果发现这里的错误实际是一个空指针错误,异常出现在下面text:00063558处,R0=0,读取[R0,#4]发生异常

' M2 N% L5 `1 P3 G: X  O( z
20150802080408707.png - H9 o& ]6 J  q- {5 _8 M& ^

  具体在代码层看,在处理tx3g这个tag时,调用mLastTrack->meta->findData时,meta为NULL

6 g* [. @( S( b3 R/ Z
20150802080408721.png ! n# p6 E$ |0 o' c2 x! t

  原因是meta初始化发生在trak这个tag处理过程中,所以将trak修改为tx3g,恰好就造成一个这个漏洞


' }* K, g- ?$ d 20150802080409200.png
: b3 u. [6 A: p/ ?

  Libstagefright的代码质量有待加强啊。分析patch构造的POC也能变成一个新的0day!虽然看上去很难利用,但请参考下面的链接的猥琐思路:

  http://blog.trendmicro.com/trendlabs-security-intelligence/trend-micro-discovers-vulnerability-that-renders-android-devices-silent/

  我们也可以构造类似的网页,引入上述mp4,用户一旦访问下面的网页,锁屏后会发现手机几乎无响应,无法点亮屏幕:

! o$ C- c2 q) [% k- q( G
20150802080409260.png 2 L1 S; K: ~" E$ y) G; Q" r

  而要构造原始的libstagefright的这个漏洞中实际分析的POC,可以按照下面的步骤:

  首先要让size>0,否则不会进入后面的memcpy流程,这可以通过两个tx3g来构造。第一个tx3g得到size,第二个tx3g,就可以修改之前的size为FFFFFF了。

  如下图所示,有个trak,然后是两个tx3g,第一个tx3g前面的size正常,第二个tx3g前面的size为FF FF FF F0,这就造成了溢出

4 R, B+ o/ I2 v+ z( {
20150802080409325.png
6 ^5 x# A# B3 F% K1 U, N5 B

  最终看到的这个异常如下:dlfree已经探测到heap被破坏。


" ^7 T  E- J2 A1 G6 ? 20150802080409116.png 6 V* \2 Q6 i. t  n, `

  最后给一个利用这个“0day”的视频,这个演示攻击网页还好,要是一个随着开机启动就启动的APP,想想就很开心了……

视频演示地址:http://player.youku.com/embed/XMTI5NzI2NzM0NA==

0 L5 K  F0 e( }" F& e
文章来源:华域联盟

 

                                                  




上一篇:杀毒软件BitDefender被黑,客户数据疑泄露
下一篇:DEFCON 23专门抓捕黑客的人

帖子的最近访客

回复 百度谷歌雅虎搜狗搜搜有道360奇虎 天涯海角搜一下: 百度 谷歌 360 搜狗 搜搜 有道 谷粉 雅虎 必应 即刻

使用道具 举报

发表于 2016-6-27 23:28:35 | 显示全部楼层
真是好人啊~~
" g1 v/ \) o( T/ i2 L% ~
8 V8 X* Q( ?  R; g4 a
" w" g: }  N. z7 {/ T6 r+ ]. }$ A! K: R  N' H
7 b( L7 q% }6 Y  W
/ i& p- ^% v! Z( Q4 H

8 J4 y1 ]' I: r) U6 {, V3 F5 \, O
8 e# l2 n/ q; Y4 M3 w4 H
6 m# b1 P; H# {7 q# x. Q8 ?
/ r- Q/ Y' _* g  c4 J/ k4 L$ O& f) z) w/ {  C( F

5 n; X) {. m( `5 N1 ~5 J! @' j
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" /># T# B" w  k' W7 ?2 Q9 ^+ z& ^
                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图

9 x* V: M6 ~* K
! d+ C4 H( T" Q0 M- X6 ~. Whttp://www.sanlujt.com/forum.php?mod=viewthread&tid=356754$ J( A/ b; e5 P5 G  b2 r0 S- }3 e
http://py-qmx.com/forum.php?mod=viewthread&tid=1818415
& P6 ~% r6 S& l5 E- j1 h2 ahttp://scwhcb.gjshengcai.com/forum.php?mod=viewthread&tid=391504% {* W: G! J( f2 W, u+ m+ }
http://www.sdzmt.cn/forum.php?mod=viewthread&tid=587880
5 }( e' R: Z; ]4 \3 ?$ nhttp://www.0432seo.cn/forum.php?mod=viewthread&tid=67286
- m: m1 }6 i: xhttp://appcdn.tianjinmeishi.com/forum.php?mod=viewthread&tid=10651879 t! v& l( D  |+ x
http://zhangyetop.com/forum.php?mod=viewthread&tid=543095
) U0 g5 d& O) f* B6 L4 lhttp://bbs.i8cc.cn/forum.php?mod=viewthread&tid=1318718
% n7 n% Y4 `8 s* D( x" ]http://www.timi28.com/thread-153244-1-1.html
* {$ c" C1 j0 z/ a, N5 ~http://www.z001.wang/forum.php?mod=viewthread&tid=8371  Q) v1 ~% R' D
http://pan.ceeger.com/read.php?tid=10115776&fid=27 e$ r4 |' g& H; V2 S- ?, N
http://www.mctyhg.com/forum.php?mod=viewthread&tid=3012908 f" o& A6 c* n. Z" `
http://sy316.hk234.jyyskl.com/forum.php?mod=viewthread&tid=229832
! \: K' a2 a7 j. a5 Dhttp://www.sxbilon17.com/forum.php?mod=viewthread&tid=2699477 o1 V/ M( \& t1 Q& d
http://zuqiu521.com/forum.php?mod=viewthread&tid=802834, {6 @6 g; G) b! e! {( |) B1 s
http://www.wo-qo.com/forum.php?mod=viewthread&tid=310877
$ d) P$ V5 j2 J1 [http://www.xxo123.com/thread-132361-1-1.html
$ @1 E: v2 Q, g, {3 @http://www.fad3.net/thread-374759-1-1.html
! x2 g& J) y. w. _& `5 v  ^; I1 Nhttp://app.tianjinmeishi.com/forum.php?mod=viewthread&tid=1065156
! K' h0 i7 j& A) C+ I6 \http://zylove.cc/forum.php?mod=viewthread&tid=513821
zuantanduita 该用户已被删除
发表于 2016-6-7 06:41:44 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
发表于 2016-6-26 05:06:59 | 显示全部楼层
说的不错!
+ u8 `* F% y, |- N% z# E2 L" D4 |( h# [: X! T
. |* Z2 Z4 I! U. `, s
8 p7 g! h0 f. H# `# K! r1 T
0 Q0 N0 L# h% ]! N. {8 z
7 K; ^. p7 D' a+ N

6 f0 G: t) M+ }4 `4 V/ `2 s0 M, ~- H. g+ H; Q( D/ \* S! r

. T6 e# D- W( A6 ]9 t+ y1 y& K% R1 o5 D$ l2 I& q  @9 u5 g
" i% D) c) l: E8 R. v. J

( T$ ~$ N1 {6 }; _, l' X
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" />; E+ T8 ?2 h/ b, h
                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图
) X; T+ f6 d' i$ V
白癜风的初期症状图9 Y; o6 o6 S8 P) }# P
白癜风怎样治疗最快2 I9 L- I9 u9 Z
治疗白癜风医院哪个好2 C- J4 l" E) G! I
白癜风那家治疗好
6 j! t; W+ Q. v白癜风怎么查病因8 F$ R" P% D. G, Z  H  O! H
外伤引起的白癜风$ |5 h& K: L$ t  P8 S
癫痫病发作症状3 Y& c$ A2 {, c% H
铁血女兵( L, M' Q* g2 T$ |- P% O* I4 J
小儿癫痫的症状
  P) g9 s& h% [$ d  U* M无敌神武- }2 l3 q4 F: g) O6 n' u# j# ]* ^
羊癫疯发病的症状
% B1 J' Z( D& O2 p吾家蛇女初养成( a3 @7 z" k' C. j4 g( Q
癫痫病到哪里治
6 ?" y* I# p/ c4 |$ A* }用伍德灯检查不排除有白癜风; ^) m1 J7 [$ a
激光治疗白癜风的优点) N# R2 W  t  o: l
女性白癜风什么偏方' t8 ]: u% x" W
红氧治疗白癜风
. y5 E, R! E( ]. Y外伤性癫痫能治愈吗5 c  x  I8 o( p, w
有什么土方法治疗白癜风6 G: G; S3 L/ v0 T, n0 P1 |
羊角风的医院
登洲远 该用户已被删除
发表于 2016-6-26 05:13:54 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
广翠宪 该用户已被删除
发表于 2016-6-26 05:25:48 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:05:39 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
花传贺 该用户已被删除
发表于 2016-6-26 14:12:59 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:14:19 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 14:31:08 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 21:27:32 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽

GMT+8, 2017-9-22 21:30 , Processed in 0.281250 second(s), 52 queries .

© 2020 华域联盟 | 蒙公网安备 15062202000105号 版权删帖举报人口

备案号: 蒙ICP备17000689号-2                                                                                                                                                                    

快速回复 返回列表