一次意外的0day之旅
华域联盟
登陆 / 注册 搜索

USERCENTER

SEARCHSITE

搜索

查看: 1619|回复: 29

一次意外的0day之旅

  [复制链接]
发表于 2015-8-2 13:13:34 | 显示全部楼层 |阅读模式

【CHU】
信息来源: 华域联盟(www.cnhackhy.com)

马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

您需要 登录 才可以下载或查看,没有帐号?立即注册 新浪微博登陆

x

先看看原始漏洞的情况:在处理mpeg tx3g tag时,chunk_size是64位uint,与size之和溢出,导致实际分配比size小的内存。而后面的memcpy会导致heap overflow,写入的data应该是来自文件内容可控的。

  如下是代码:

  platform/frameworks/av/+/android-5.1.1_r8/media/libstagefright/MPEG4Extractor.cpp


5 a# |  H6 ?% q+ P! x5 C. q2 d 20150802080408767.png
5 W5 ~& a5 A4 O: \, _4 a

  了解了原理后,我们构造了一个POC,简单地将某个mp4文件中的一个“顺眼的”tag:trak修改为tx3g,于是触发了内存异常。当时还要忙着继续分析就没细看。等到写好文章后发现,这个异常不对啊!怎么还没memcpy就异常了?

  于是打开IDA调试一下,结果发现这里的错误实际是一个空指针错误,异常出现在下面text:00063558处,R0=0,读取[R0,#4]发生异常


6 \- J  H& h# m8 }% L 20150802080408707.png 9 s: d7 r4 Z1 L8 T

  具体在代码层看,在处理tx3g这个tag时,调用mLastTrack->meta->findData时,meta为NULL

3 Q* s/ A% }3 Q. R& e
20150802080408721.png 9 f6 D4 ?. N+ L+ s

  原因是meta初始化发生在trak这个tag处理过程中,所以将trak修改为tx3g,恰好就造成一个这个漏洞

0 K6 {1 M9 H, d6 L  ^
20150802080409200.png # w  p* F3 V$ l) t5 }. E

  Libstagefright的代码质量有待加强啊。分析patch构造的POC也能变成一个新的0day!虽然看上去很难利用,但请参考下面的链接的猥琐思路:

  http://blog.trendmicro.com/trendlabs-security-intelligence/trend-micro-discovers-vulnerability-that-renders-android-devices-silent/

  我们也可以构造类似的网页,引入上述mp4,用户一旦访问下面的网页,锁屏后会发现手机几乎无响应,无法点亮屏幕:


% Z! K" o: \; U  x8 c: ^ 20150802080409260.png
! A- ^+ B" U+ o& q

  而要构造原始的libstagefright的这个漏洞中实际分析的POC,可以按照下面的步骤:

  首先要让size>0,否则不会进入后面的memcpy流程,这可以通过两个tx3g来构造。第一个tx3g得到size,第二个tx3g,就可以修改之前的size为FFFFFF了。

  如下图所示,有个trak,然后是两个tx3g,第一个tx3g前面的size正常,第二个tx3g前面的size为FF FF FF F0,这就造成了溢出


/ {' S$ z: g% N& N 20150802080409325.png ' ~+ c* ]  ?+ @/ g5 J5 R

  最终看到的这个异常如下:dlfree已经探测到heap被破坏。


  l. [( Z: }: C, e) [ 20150802080409116.png
  u, T5 @# z' {) ~

  最后给一个利用这个“0day”的视频,这个演示攻击网页还好,要是一个随着开机启动就启动的APP,想想就很开心了……

视频演示地址:http://player.youku.com/embed/XMTI5NzI2NzM0NA==


; ^3 K( k, [1 |
文章来源:华域联盟

 

                                                  




上一篇:杀毒软件BitDefender被黑,客户数据疑泄露
下一篇:DEFCON 23专门抓捕黑客的人

帖子的最近访客

回复 百度谷歌雅虎搜狗搜搜有道360奇虎 天涯海角搜一下: 百度 谷歌 360 搜狗 搜搜 有道 谷粉 雅虎 必应 即刻

使用道具 举报

发表于 2016-6-27 23:28:35 | 显示全部楼层
真是好人啊~~
. r' M, p2 F1 R; t# [6 k& D  m+ _) {0 f. f

% d7 f' r4 f- W3 h1 X+ ?% t( Z' u2 r* Z, C  W7 a6 e; E' Q

+ F3 M0 ^* J( c8 V3 j' B1 F/ R
: _) ~6 N8 C3 u0 _! @; W! g  c- I# {. l( A! P) b# G' }

8 H' v0 U( [0 }$ P: a; J8 O9 g5 t/ }0 Q2 e. }/ h* I6 O

. I* j! H# k% m3 ~2 m0 U1 U' w$ \  Y& e
1 z& h- D" O( z4 Z) n
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" />% @0 B. l, D- S2 r
                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图

! p0 w' B. v: y: J6 ]+ j
- f' u2 L) u/ b% l" g0 y$ ohttp://www.sanlujt.com/forum.php?mod=viewthread&tid=356754, K6 T$ M( W/ k- q5 z' R
http://py-qmx.com/forum.php?mod=viewthread&tid=1818415: U" i+ C7 _2 `7 A- _
http://scwhcb.gjshengcai.com/forum.php?mod=viewthread&tid=391504
0 l+ {" F& @$ M% `& _http://www.sdzmt.cn/forum.php?mod=viewthread&tid=587880
1 F" T+ }- a- T. G+ T3 shttp://www.0432seo.cn/forum.php?mod=viewthread&tid=67286
1 c5 y( B" e! M6 [- W$ i3 Uhttp://appcdn.tianjinmeishi.com/forum.php?mod=viewthread&tid=10651870 @1 S( S8 o3 f$ E& X
http://zhangyetop.com/forum.php?mod=viewthread&tid=543095: X4 Z. @' f2 ^4 ~  g+ {, y
http://bbs.i8cc.cn/forum.php?mod=viewthread&tid=13187180 J7 q) Q! c, q& z  x
http://www.timi28.com/thread-153244-1-1.html+ y& i4 y$ @" ?2 g4 N
http://www.z001.wang/forum.php?mod=viewthread&tid=8371
$ E4 P6 L# l3 ~/ e- {, z/ khttp://pan.ceeger.com/read.php?tid=10115776&fid=2
9 J- I0 f  I1 S. C; ]http://www.mctyhg.com/forum.php?mod=viewthread&tid=301290( s1 m6 V/ n, w! k0 `
http://sy316.hk234.jyyskl.com/forum.php?mod=viewthread&tid=229832
5 Z* b$ g8 ]& S- Uhttp://www.sxbilon17.com/forum.php?mod=viewthread&tid=2699474 C" c( k. _# p' `4 E5 i0 q
http://zuqiu521.com/forum.php?mod=viewthread&tid=802834
4 C  t( l  ^- J3 t" q5 qhttp://www.wo-qo.com/forum.php?mod=viewthread&tid=310877. f- S! d8 W$ P8 t! w1 N
http://www.xxo123.com/thread-132361-1-1.html
* N4 Z2 |, a$ K# y, `6 |8 }http://www.fad3.net/thread-374759-1-1.html
, B- i! L* U. l8 t' R4 Ahttp://app.tianjinmeishi.com/forum.php?mod=viewthread&tid=1065156
" l/ Y+ }+ G$ t2 r* L: d# `) `http://zylove.cc/forum.php?mod=viewthread&tid=513821
zuantanduita 该用户已被删除
发表于 2016-6-7 06:41:44 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
发表于 2016-6-26 05:06:59 | 显示全部楼层
说的不错!
, y) B2 q  a, S& |2 }4 h; Q# @  k4 d) `
; y0 Y1 U/ z8 P$ f

6 l- ~) k0 u' y5 m7 r: {# O7 o+ N
9 |* C& c0 i. b. `# c' l# o' V
6 X) W6 R2 R; N; H: L9 o: a

; k" u- c9 K, _8 C: n0 r1 _  j' D. w+ Y4 }2 F7 P* C. j
0 O0 L0 i. \& b& q' F6 N
" _8 ]# g: O' j( B( e- [( q6 s
1 t2 p2 {9 P/ Y! w
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" />: h; Z" u( Y) l+ t1 ~
                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图

0 j$ [, G5 M* {  h5 S  m* L" m白癜风的初期症状图+ V* O5 p, k' o2 s+ h. ]
白癜风怎样治疗最快
. Y, n; s1 D# W8 l( z6 [; j! T治疗白癜风医院哪个好
6 L) i" J1 ?" ?( t0 t白癜风那家治疗好2 j( L  b* E0 j1 d" p% O1 h3 x+ m
白癜风怎么查病因
. J+ G7 n7 z2 j! d% Q外伤引起的白癜风2 a, h% E+ G& c5 e# E( q1 @8 x
癫痫病发作症状
3 y0 h. T- C# F铁血女兵
/ ?  ^  g# j- a1 H- r- m2 u: o小儿癫痫的症状
) G: C& f) C1 d, C" V无敌神武8 `: F) ]6 M6 F, i9 \! `5 c$ O3 [( a
羊癫疯发病的症状5 q! e- ^; d: G6 d3 Z3 D
吾家蛇女初养成
" Y) h+ `: Z0 z; g' P% Z$ N癫痫病到哪里治
7 ?3 X- _9 j: q3 n# M% x用伍德灯检查不排除有白癜风
. @* V4 Z- C' h0 @  [& W/ Z" \激光治疗白癜风的优点
) T3 T" Q7 k( c/ `女性白癜风什么偏方
  p, a6 c6 ~* g" F' l红氧治疗白癜风
* D. P1 Y2 I" W( \. \外伤性癫痫能治愈吗
& i0 P  H* O  n* n有什么土方法治疗白癜风
5 b& j7 x+ z9 Q' k羊角风的医院
登洲远 该用户已被删除
发表于 2016-6-26 05:13:54 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
广翠宪 该用户已被删除
发表于 2016-6-26 05:25:48 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:05:39 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
花传贺 该用户已被删除
发表于 2016-6-26 14:12:59 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:14:19 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 14:31:08 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 21:27:32 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽

GMT+8, 2017-11-22 19:07 , Processed in 0.281250 second(s), 51 queries .

© 2020 华域联盟 | 蒙公网安备 15062202000105号 版权删帖举报人口

备案号: 蒙ICP备17000689号-2                                                                                                                                                                    

快速回复 返回列表