一次意外的0day之旅
华域联盟
登陆 / 注册 搜索

USERCENTER

SEARCHSITE

搜索

查看: 1617|回复: 29

一次意外的0day之旅

  [复制链接]
发表于 2015-8-2 13:13:34 | 显示全部楼层 |阅读模式

【CHU】
信息来源: 华域联盟(www.cnhackhy.com)

马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

您需要 登录 才可以下载或查看,没有帐号?立即注册 新浪微博登陆

x

先看看原始漏洞的情况:在处理mpeg tx3g tag时,chunk_size是64位uint,与size之和溢出,导致实际分配比size小的内存。而后面的memcpy会导致heap overflow,写入的data应该是来自文件内容可控的。

  如下是代码:

  platform/frameworks/av/+/android-5.1.1_r8/media/libstagefright/MPEG4Extractor.cpp

( y+ {* |& e/ B
20150802080408767.png
1 O: {8 s3 t. Z2 A

  了解了原理后,我们构造了一个POC,简单地将某个mp4文件中的一个“顺眼的”tag:trak修改为tx3g,于是触发了内存异常。当时还要忙着继续分析就没细看。等到写好文章后发现,这个异常不对啊!怎么还没memcpy就异常了?

  于是打开IDA调试一下,结果发现这里的错误实际是一个空指针错误,异常出现在下面text:00063558处,R0=0,读取[R0,#4]发生异常

' j' q' ]' i+ Z: q9 d. u
20150802080408707.png
& v! q9 ]! z* r2 M8 C1 \

  具体在代码层看,在处理tx3g这个tag时,调用mLastTrack->meta->findData时,meta为NULL

3 e2 v: _* |! u0 ]' g( }, ^3 l
20150802080408721.png
4 A# A5 s2 D/ E( F" x; e

  原因是meta初始化发生在trak这个tag处理过程中,所以将trak修改为tx3g,恰好就造成一个这个漏洞

  j8 Y# M2 k; u4 W4 b
20150802080409200.png 9 ~( ?& q8 L7 X, T6 r! y7 L

  Libstagefright的代码质量有待加强啊。分析patch构造的POC也能变成一个新的0day!虽然看上去很难利用,但请参考下面的链接的猥琐思路:

  http://blog.trendmicro.com/trendlabs-security-intelligence/trend-micro-discovers-vulnerability-that-renders-android-devices-silent/

  我们也可以构造类似的网页,引入上述mp4,用户一旦访问下面的网页,锁屏后会发现手机几乎无响应,无法点亮屏幕:

9 C/ ?  `% q4 l* F
20150802080409260.png * t! O& h( K4 J8 f: }

  而要构造原始的libstagefright的这个漏洞中实际分析的POC,可以按照下面的步骤:

  首先要让size>0,否则不会进入后面的memcpy流程,这可以通过两个tx3g来构造。第一个tx3g得到size,第二个tx3g,就可以修改之前的size为FFFFFF了。

  如下图所示,有个trak,然后是两个tx3g,第一个tx3g前面的size正常,第二个tx3g前面的size为FF FF FF F0,这就造成了溢出

0 J( k  O  ~  [8 B3 m- N5 b1 S$ f
20150802080409325.png
" t8 V- [9 b* r7 [: g% A4 m

  最终看到的这个异常如下:dlfree已经探测到heap被破坏。

1 K6 H/ N! ^- ^! I1 R
20150802080409116.png 6 a  f- x+ D, k4 W

  最后给一个利用这个“0day”的视频,这个演示攻击网页还好,要是一个随着开机启动就启动的APP,想想就很开心了……

视频演示地址:http://player.youku.com/embed/XMTI5NzI2NzM0NA==


  i) q# k( ]# V& c# H
文章来源:华域联盟

 

                                                  




上一篇:杀毒软件BitDefender被黑,客户数据疑泄露
下一篇:DEFCON 23专门抓捕黑客的人

帖子的最近访客

回复 百度谷歌雅虎搜狗搜搜有道360奇虎 天涯海角搜一下: 百度 谷歌 360 搜狗 搜搜 有道 谷粉 雅虎 必应 即刻

使用道具 举报

发表于 2016-6-27 23:28:35 | 显示全部楼层
真是好人啊~~
+ ~4 ]! [& ~3 {  v
( B' B0 J* u/ [& a. T- c: O7 q' e1 ]* L1 G9 @$ N
9 N1 t. \, O( c! L+ l1 y1 _  \+ O: d
7 l/ y) ?$ o: j$ ]4 B3 M

# ]' g1 W- R' d! V3 ^5 \* l
4 V% v2 Q# s( w1 T  p
2 c" ^9 ~; |% Q" b# f# G/ ?4 i' S7 y) [2 M6 ~& i
; {1 n: m! j) K1 t* c, P1 r

  S6 \) q% H8 x# L7 P. C
6 L: T* l6 S0 I. K6 z- P1 c5 J
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" />
5 b5 N4 ^# U+ b  F7 s- |8 X                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图
- w, c3 ~8 {, T, H

5 o3 W1 x9 P* w# }http://www.sanlujt.com/forum.php?mod=viewthread&tid=356754; w0 \7 @, t+ x* c' Z; b
http://py-qmx.com/forum.php?mod=viewthread&tid=1818415( k7 W& k6 }& u% n  o8 _
http://scwhcb.gjshengcai.com/forum.php?mod=viewthread&tid=391504
  c; X- }$ [% v4 Q" d3 K" Hhttp://www.sdzmt.cn/forum.php?mod=viewthread&tid=587880, H1 h2 T7 n7 d' j
http://www.0432seo.cn/forum.php?mod=viewthread&tid=67286
# V& D% y6 s" m- J$ A; j0 rhttp://appcdn.tianjinmeishi.com/forum.php?mod=viewthread&tid=1065187% N. ]7 `1 I2 f  o- ]
http://zhangyetop.com/forum.php?mod=viewthread&tid=543095" X7 K4 x0 R9 L
http://bbs.i8cc.cn/forum.php?mod=viewthread&tid=1318718
9 [9 i4 o) O  E, G  J. I& |( d# Mhttp://www.timi28.com/thread-153244-1-1.html
& A7 ]5 _( N8 t4 f* X1 ~) vhttp://www.z001.wang/forum.php?mod=viewthread&tid=8371$ E$ ~# e4 w! z1 m% t- ~
http://pan.ceeger.com/read.php?tid=10115776&fid=2
+ _$ W( h: P* o4 m9 C/ Phttp://www.mctyhg.com/forum.php?mod=viewthread&tid=3012906 \' A% _2 L5 m3 O
http://sy316.hk234.jyyskl.com/forum.php?mod=viewthread&tid=229832: v, s2 y' n( y' Y: a2 w
http://www.sxbilon17.com/forum.php?mod=viewthread&tid=269947
$ M; z2 x# S3 ?& V( `2 Whttp://zuqiu521.com/forum.php?mod=viewthread&tid=802834
; _( }/ N4 s7 S! a& Jhttp://www.wo-qo.com/forum.php?mod=viewthread&tid=310877) m" z2 g2 J* z8 m: h9 N% X
http://www.xxo123.com/thread-132361-1-1.html
! w: r8 R4 d3 {0 Shttp://www.fad3.net/thread-374759-1-1.html
/ U2 A- v( X8 v. ?& I  Ehttp://app.tianjinmeishi.com/forum.php?mod=viewthread&tid=1065156
& e5 [5 ^% T) F; W# d) ~http://zylove.cc/forum.php?mod=viewthread&tid=513821
zuantanduita 该用户已被删除
发表于 2016-6-7 06:41:44 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
发表于 2016-6-26 05:06:59 | 显示全部楼层
说的不错!/ L! y* i" i3 [0 F4 K8 a9 E  l( e

, e0 j9 C, a: x, ^* v. x* T6 F
5 l! ?( X: @, p, c( S& x6 d2 U! j: ~% T. w

/ E1 y2 o& E% l& G; \( u
: f8 d; J+ L% j. Q4 w  A" @6 R$ `+ o7 O$ _' s
! x& z! j) \; t8 G- g/ J# e8 A

" j+ x1 g" h0 W5 _: R) d' }8 I& q+ a4 j2 r& n: Z1 a
% t4 F3 K0 d- K7 m+ }

  i! ?' Y' _( S+ \% C0 f4 G# s( i' d
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" />
) \/ z/ V) R7 Y0 D* _) T                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图
/ [/ P: [5 }5 |7 `4 V
白癜风的初期症状图) {6 u9 ~/ K9 R8 z8 e
白癜风怎样治疗最快' X( E6 |9 e- I& s' d! b+ h1 u
治疗白癜风医院哪个好5 _' ^, P% y) s3 H: e* P
白癜风那家治疗好
" y- g! }: u) V( Q) _1 `% R1 @白癜风怎么查病因0 o. C  }% `: `- r
外伤引起的白癜风2 S4 @. u; y# {# {9 }
癫痫病发作症状
0 j4 U9 D- ^4 a4 Q% ^# l) L0 E铁血女兵
4 i5 v1 L5 A( ]1 s1 o小儿癫痫的症状5 F  ^3 |. A2 w2 {2 k
无敌神武
4 }3 e( s2 C# T8 ~# ^' t% V( K羊癫疯发病的症状
0 Z& A5 Z* N$ \吾家蛇女初养成, x- Y8 v2 ]' ?  U& |' g
癫痫病到哪里治- ?+ j# I$ P. {; P) r
用伍德灯检查不排除有白癜风  ^2 T# k2 X4 Y8 [! t& c9 D
激光治疗白癜风的优点' f$ t$ u* [: l# v# E: B$ X
女性白癜风什么偏方
9 `! l4 p' B* l红氧治疗白癜风$ J* E5 C+ v- [6 U% ?& q4 ~
外伤性癫痫能治愈吗
/ S# _6 m8 D* G1 Z0 \# P8 v0 s9 I+ L* d有什么土方法治疗白癜风
4 v$ Y" t# [9 W6 Z# S% Z& \# q! c) Y羊角风的医院
登洲远 该用户已被删除
发表于 2016-6-26 05:13:54 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
广翠宪 该用户已被删除
发表于 2016-6-26 05:25:48 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:05:39 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
花传贺 该用户已被删除
发表于 2016-6-26 14:12:59 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:14:19 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 14:31:08 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 21:27:32 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽

GMT+8, 2017-11-22 01:22 , Processed in 0.281250 second(s), 51 queries .

© 2020 华域联盟 | 蒙公网安备 15062202000105号 版权删帖举报人口

备案号: 蒙ICP备17000689号-2                                                                                                                                                                    

快速回复 返回列表