分析与利用.PDFVIP

2008 年第4 期 适合读者：入侵爱好者、溢出爱好者 前置知识：汇编语言、缓冲区溢出基本原理 MS08-011 Office WPS 文件转换栈溢出漏洞 分析与利用 文/ 图 张东辉[shineast] 又见文件格式漏洞！分析这种漏洞，首先得从文件格式入手。看到WPS 大家是否想到 了金山WPS （ Word Process System ）Office 软件，其实WPS 是Microsoft 早期文字处理方面 的一种文件格式，现在已经基本被淘汰了，取而代之的是大家熟知的DOC 文件。尽管如此， 这种WPS 文件格式规范却是私有的，没有被公布。我们能知道的只是这种文件的头9 个字 节是“D0 CF 11 E0 A1 B1 1A E1 00”，作为该文件格式的识别码，其他字节的含义就很难猜 测了！ 虽然这种文件格式是被淘汰的，但是Microsoft Office 系列软件依然能够适当地兼容它， 例如用Word 打开一个WPS 文件的时候，Word 会自动通过转换器来转换WPS 文件为RTF 文件。事实上，本文提到的漏洞就是Word 在转换WPS 文件时出现的栈溢出漏洞。2008 年 线 2 月13 号，微软公布该漏洞公告的当天，chujwamwdupe 就在milw0rm 上爆出了exploit，真 是火速啊！不知道是不是通过补丁比较 （bindiff ）后发现的，反正通过微软的漏洞描述是很 防 处 难构造利用该漏洞的exploit 的！ 出 客 漏洞分析 由于WPS 文件格式没有被公布，本人也知之甚少，因此本次漏洞分析主要从POC 源码 黑 明 分析和对 exploit 的跟踪调试这两方面入手，目标还是找到漏洞发生点和漏洞的根本原因。 另外需要声明的是，受本漏洞影响的有Microsoft Office 2003 SP3/SP2、Microsoft Works Suite 注 2005 和Microsoft Works 8.0 。这里我们选择Microsoft Office 2003 SP3 来做测试，分析这个 漏洞。 请 该漏洞的POC 源码如下，其中要生成的WPS 文件头内容很长，我略去了一部分，需要 仔细研究的朋友可以查阅随文提供的POC 源码。 载 #include stdio.h #include windows.h 转 /* WPS Header */ unsigned char uszWpsHeader[] = \xd0\xcf\x11\xe0\xa1\xb1\x1a\xe1\x00\x00\x00\x00\x00\x00\x00\x00 \x00\x00\x00\x00\x00\x00\x00\x00\x3e\x00\x03\x00\xfe\xff\x09\x00 \x06\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00 \x01\x00\x00\x00\x00\x00\x00\x00\x00\x10\x00\x00\x02\x00\x00\x00 \x01\x00\x00\x00\xfe\xff\xff\xff\x00\x00\x00\x00\x00\x00\x00\x00 \xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff ……略…… \xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff\xff