一次意外的0day之旅
华域联盟
登陆 / 注册 搜索

USERCENTER

SEARCHSITE

搜索

查看: 1443|回复: 29

一次意外的0day之旅

  [复制链接]
发表于 2015-8-2 13:13:34 | 显示全部楼层 |阅读模式

【CHU】
信息来源: 华域联盟(www.cnhackhy.com)

马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

您需要 登录 才可以下载或查看,没有帐号?立即注册 新浪微博登陆

x

先看看原始漏洞的情况:在处理mpeg tx3g tag时,chunk_size是64位uint,与size之和溢出,导致实际分配比size小的内存。而后面的memcpy会导致heap overflow,写入的data应该是来自文件内容可控的。

  如下是代码:

  platform/frameworks/av/+/android-5.1.1_r8/media/libstagefright/MPEG4Extractor.cpp

4 a* w; U/ n( ]
20150802080408767.png 9 _/ C+ b9 `9 R+ F0 M. f6 A9 ^+ t

  了解了原理后,我们构造了一个POC,简单地将某个mp4文件中的一个“顺眼的”tag:trak修改为tx3g,于是触发了内存异常。当时还要忙着继续分析就没细看。等到写好文章后发现,这个异常不对啊!怎么还没memcpy就异常了?

  于是打开IDA调试一下,结果发现这里的错误实际是一个空指针错误,异常出现在下面text:00063558处,R0=0,读取[R0,#4]发生异常


/ y) T" M5 s2 Z 20150802080408707.png ) N! a1 J! p7 t+ x

  具体在代码层看,在处理tx3g这个tag时,调用mLastTrack->meta->findData时,meta为NULL

, k# d& K! A, d1 i+ k" C/ p3 X
20150802080408721.png . n: ^' \: M$ s- L& I+ E/ \# E

  原因是meta初始化发生在trak这个tag处理过程中,所以将trak修改为tx3g,恰好就造成一个这个漏洞


' v" H0 x+ I$ v% k: S 20150802080409200.png 9 h, W( \8 P& A' ^$ {/ Y* u1 [8 I

  Libstagefright的代码质量有待加强啊。分析patch构造的POC也能变成一个新的0day!虽然看上去很难利用,但请参考下面的链接的猥琐思路:

  http://blog.trendmicro.com/trendlabs-security-intelligence/trend-micro-discovers-vulnerability-that-renders-android-devices-silent/

  我们也可以构造类似的网页,引入上述mp4,用户一旦访问下面的网页,锁屏后会发现手机几乎无响应,无法点亮屏幕:

# `4 {/ G8 D/ T+ V
20150802080409260.png
- n  H6 N; B0 z

  而要构造原始的libstagefright的这个漏洞中实际分析的POC,可以按照下面的步骤:

  首先要让size>0,否则不会进入后面的memcpy流程,这可以通过两个tx3g来构造。第一个tx3g得到size,第二个tx3g,就可以修改之前的size为FFFFFF了。

  如下图所示,有个trak,然后是两个tx3g,第一个tx3g前面的size正常,第二个tx3g前面的size为FF FF FF F0,这就造成了溢出


  m; _6 f/ }& { 20150802080409325.png * }  x) p# [5 t3 W% t

  最终看到的这个异常如下:dlfree已经探测到heap被破坏。


3 m8 g+ E0 D' ?2 z% ^3 m: p 20150802080409116.png
+ T/ d! `# T5 J/ E: B3 ~3 A! f

  最后给一个利用这个“0day”的视频,这个演示攻击网页还好,要是一个随着开机启动就启动的APP,想想就很开心了……

视频演示地址:http://player.youku.com/embed/XMTI5NzI2NzM0NA==

7 Y# r+ I# @4 P! v6 G1 v7 x. @) g
文章来源:华域联盟

 

                                                  




上一篇:杀毒软件BitDefender被黑,客户数据疑泄露
下一篇:DEFCON 23专门抓捕黑客的人

帖子的最近访客

回复 百度谷歌雅虎搜狗搜搜有道360奇虎 天涯海角搜一下: 百度 谷歌 360 搜狗 搜搜 有道 谷粉 雅虎 必应 即刻

使用道具 举报

发表于 2016-6-27 23:28:35 | 显示全部楼层
真是好人啊~~+ Z  k* y0 j6 }' C* G% i: Z. L

+ r6 y+ C+ ^$ t/ X, i1 Y6 q1 O4 ]1 B; S

8 ]- y! f' G2 }% p: ~& F: q- @6 ?
+ y) @3 h8 B5 r: V
1 X: y0 U$ v6 w  N1 v/ r2 `9 p4 t" w* e, V1 D

+ v5 I9 L' I' t0 h; `# U7 Y8 K* u/ {* B

+ u- e6 N$ P4 y* j8 }9 `3 w% h9 G  c: X9 ~4 C

, W, y) S: K. e4 q0 z  |: i4 {
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" />
! T& k" q3 d2 r4 l                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图
1 ~/ q2 w3 i7 ?7 Y4 g) X

9 g8 o; f5 y2 n, c$ lhttp://www.sanlujt.com/forum.php?mod=viewthread&tid=356754
; }$ D$ e$ P# w0 H7 w: L/ Whttp://py-qmx.com/forum.php?mod=viewthread&tid=1818415
$ v6 b  n6 y; ]9 D; d2 _, bhttp://scwhcb.gjshengcai.com/forum.php?mod=viewthread&tid=391504
% B! }9 u3 ]2 ~8 P3 `http://www.sdzmt.cn/forum.php?mod=viewthread&tid=587880
. r: ]# A% K+ Z$ N" hhttp://www.0432seo.cn/forum.php?mod=viewthread&tid=67286: a* F  p* y! c+ c
http://appcdn.tianjinmeishi.com/forum.php?mod=viewthread&tid=1065187
% A) [2 d+ L3 k9 Y! K5 L3 R# C; yhttp://zhangyetop.com/forum.php?mod=viewthread&tid=5430959 C  e- @3 |- n
http://bbs.i8cc.cn/forum.php?mod=viewthread&tid=1318718
+ j; H0 ]1 ^6 h. j1 l2 T( rhttp://www.timi28.com/thread-153244-1-1.html
( a; e. c8 D5 |3 `; z4 w$ [http://www.z001.wang/forum.php?mod=viewthread&tid=8371
3 m: `1 P3 V  U0 y4 w3 O$ D0 M; ^http://pan.ceeger.com/read.php?tid=10115776&fid=2& _' z# Z# O4 V/ w. D, _8 R
http://www.mctyhg.com/forum.php?mod=viewthread&tid=301290
9 z" X/ ^+ j$ I" }- vhttp://sy316.hk234.jyyskl.com/forum.php?mod=viewthread&tid=229832
. X9 D5 @8 p# z* Q" x9 }1 L5 Rhttp://www.sxbilon17.com/forum.php?mod=viewthread&tid=269947  ]1 }) H/ Q3 k9 v
http://zuqiu521.com/forum.php?mod=viewthread&tid=802834
& |! @( z+ d# q) Ehttp://www.wo-qo.com/forum.php?mod=viewthread&tid=310877
, Q. J' l. f' whttp://www.xxo123.com/thread-132361-1-1.html
' a9 P4 Z! n1 @4 qhttp://www.fad3.net/thread-374759-1-1.html
0 t& S5 c8 v5 T$ x9 g4 b3 thttp://app.tianjinmeishi.com/forum.php?mod=viewthread&tid=1065156
" [$ E, K# M+ T6 H9 ahttp://zylove.cc/forum.php?mod=viewthread&tid=513821
zuantanduita 该用户已被删除
发表于 2016-6-7 06:41:44 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
发表于 2016-6-26 05:06:59 | 显示全部楼层
说的不错!, H7 _& U0 v5 \, [! v( Z3 @
& m0 w  Q2 [! @1 k

7 e  \- `1 s  s. P: X! j& {- {5 n3 T
4 j: ~% @; i3 I( p3 \
) _; Y4 K$ G+ X  t+ h7 D+ T! h+ H# E
0 ?% B# M% [5 I

2 d6 H: W' x$ j2 `9 L' `6 c9 _$ Q, |. }+ Y. ^
, d/ S. f5 o5 s5 A/ `4 p( \

3 Y2 o. y- j* z" |% b
. r; z4 L! {& u( O* f; e+ Y" D
php?mod=logging&action=login'+'&referer='+encodeURIComponent(location))" src="static/image/common/sigline.gif" border="0" alt="" />
/ t  H% B  H9 H  _                               
php?mod=logging&action=login" onclick="showWindow('login', this.href+'&referer='+encodeURIComponent(location));">登录/注册后可看大图
9 i$ A/ g0 o' o4 a7 d% }
白癜风的初期症状图, b- s4 D; j  c/ H& \5 V1 W# C
白癜风怎样治疗最快% j  z/ z- _+ m# z& @* m
治疗白癜风医院哪个好! l/ Y; q8 d' U, l8 m$ b
白癜风那家治疗好
6 g$ c( r9 W# |5 i. k6 d) `, p白癜风怎么查病因
/ ]2 I8 D" Q* |! D$ E& n" Q9 V外伤引起的白癜风/ C% c/ G" v7 \
癫痫病发作症状8 O/ N5 ^" s- D0 X( O
铁血女兵7 B6 R3 O: Z5 p6 r
小儿癫痫的症状
! |- p4 `  @1 k无敌神武; h( E0 a& m0 Q* a4 M
羊癫疯发病的症状
+ H  z; F8 S7 v" ?( T8 y% P) p  C吾家蛇女初养成
+ R" Z7 y) d& l+ w$ P' F癫痫病到哪里治. }/ s4 w" M: Z
用伍德灯检查不排除有白癜风
0 w$ y) h: [  P9 \2 H) W5 ?) S3 L激光治疗白癜风的优点
" m& Y, D7 v& H女性白癜风什么偏方7 u, e/ O1 w$ C/ z: m6 i
红氧治疗白癜风
. s3 Q$ _& F" m+ f外伤性癫痫能治愈吗0 f# }3 X# y; A" ]2 l: R4 T
有什么土方法治疗白癜风$ U0 o, |9 R# X1 k
羊角风的医院
登洲远 该用户已被删除
发表于 2016-6-26 05:13:54 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
广翠宪 该用户已被删除
发表于 2016-6-26 05:25:48 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:05:39 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
花传贺 该用户已被删除
发表于 2016-6-26 14:12:59 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
二洋璜 该用户已被删除
发表于 2016-6-26 14:14:19 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 14:31:08 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
珍妨莲 该用户已被删除
发表于 2016-6-26 21:27:32 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽

GMT+8, 2017-9-22 21:39 , Processed in 0.234375 second(s), 52 queries .

© 2020 华域联盟 | 蒙公网安备 15062202000105号 版权删帖举报人口

备案号: 蒙ICP备17000689号-2                                                                                                                                                                    

快速回复 返回列表