xiaoeryu

Easy RM to MP3 漏洞调试0X00 前言分析这个漏洞主要是为了学习怎么通过调试并编写溢出类型漏洞的EXP 0X01 分析环境 调试环境 版本 系统版本 XP_sp3 Easy RM to MP3 2.7.3.700 windbg 6.12 0X02 漏洞描述这个漏洞是一个典型的溢出类型漏洞，在处理字符的时候没有对长度做限制，在读取到第25000~30000个字符的时候会导致返回地址被覆盖导致溢出 0X03 漏洞分析编写perl脚本生成漏洞验证文件 my $file= "crash25000.m3u"; my $junk = "\x41" x 25000; my $junk2 = "\x42" x 5000; open($FILE,">$file"); print $FILE $junk.$junk2; close($FILE); print "m3u File Created successfully\n"; 打开cmd输入命令windbg.exe -I，将windbg设置为默认调试器。 用 Easy RM to MP3...

0x00：分析环境 使用的环境 备注 操作系统 Windows XP SP3 Vmware 16 Adobe Reader版本 9.0中文版 动态调试 OllyDbg v2.01 用的原版的OD其它的OD可能会断不下来 静态调试 IDA7.0 0x01​ 首先用OD打开Adobe Reader 按F5使其正常运行（调试器需要设置步过int3中断和内存异常访问） 然后运行 poc.pdf ，OD会中断在0x00130000处产生内存写入异常。产生异常的原因是0x00130000这个地址已经超出了程序的内存空间范围，出现这种异常一般是复制了超长字符串导致的。 ​ 可以通过查看模块(alt+E),查看模块属性发现0x130000为只读属性 0x2​ 接下来我们开始分析异常产生的具体原因，先观察一下堆栈情况，可以看到程序在0x2210fe27中调用了strncpy，问题有可能就在这个函数里面，我们可以在汇编窗口中观察一下这个函数。 ​ 进入0x2210fe27之后我们可以看到0x2210FE25处 CALL EDI 调用了...

堆结构堆与栈的区别： 栈空间是在程序设计时已经规定好怎么使用，使用多少内存空间的。 堆是一种在程序运行时动态分配的内存。 堆是需要程序员自己通过malloc、new等函数自己申请的，根据程序的运行环境和申请的大小也有可能申请失败。 一般我们通过一个堆指针来使用所申请到的堆内存，进行读、写、释放等操作。 使用完成后需要把堆指针传给释放函数（free、delete）来回收这片内存，否则会造成内存泄漏。 堆的数据结构与管理策略 堆块：堆区的内存按大小不同组织成堆块，以堆块为单位进行标识。一个堆块包括两个部分：块首和块身。块首是一个堆块头部的几个字节，用来标识这个堆块自身的信息，例如：大小、是否空闲；块身紧跟在块首后面，是分配给用户使用的数据区。 堆管理系统所返回的指针一般指向块身的起始位置 堆表：堆表一般位于堆区的起始位置，用于索引堆区中所有堆块的重要信息，堆表的数据结构决定了整个堆区的组织方式，是快速检索空闲块、保证堆分配效率的关键。现代操作系统的堆表往往不止一种数据结构。 堆的内存组织...

0x00 样本信息 文件名称：mm.exe MD5：37eec1a29d316ed1e5e766b599dc32a1 SHA-1：75f098d6b3f217aba4c068b12896c332216fc6b3 Authentihash：1b17d4d13c65fed36321aec54f2dc9b214308bbc82821659f83e445b93d1962e Imphash：9e932de2e1e9ccfc4eacc3a16a8c9ab4 文件类型：Win32 EXE 文件大小：63.08 KB 哈勃扫描结果：https://habo.qq.com/file/showdetail?pk=ADIGYV1qB2IIOls1 0x01 主要行为： 劫持系统进程msiexec.exe创建远程线程（将url读入缓冲区修复为一个可以使用的PE文件） 修复改文件夹属性 将自身复制到系统目录下，自删除 设置注册表启动项 0x02...

0x1：漏洞描述​ CVE-2010-2883是Adobe Reader和Acrobat中的CoolType.dll库在解析字体文件SING表中的uniqueName项时存在的栈溢出漏洞，用户受骗打开了特制的PDF文件就有可能导致执行任意代码。 0x2：分析环境 推荐使用的环境 备注 操作系统 Windows XP SP3 简体中文版 虚拟机 VMware 调试器 OD 反汇编器 IDA Pro 6.8 漏洞软件 Adobe Reader 9.3.4 0x3：基于字符串定位的漏洞分析方法​ 用IDA反汇编CoolType.dll库，查看字符串可发现”SING”字体，因为该字符串是漏洞解析出错的地方，直接定位进去即可查看该库对string表格的解析方式，==主要是strcat造成的溢出漏洞==： .text:0803DCF9 .text:0803DCF9 ; =============== S U B R O U T I N E...

一、漏洞信息1. 漏洞简述 漏洞编号：CVE-2012-0158 漏洞类型：栈溢出 漏洞影响：信息泄露 该漏洞一直是office漏洞史上的经典案例。该漏洞首次发现于2015年6月，目标主要为东南亚国家和地区，此次攻击事件被命名为“Lotus Blossom”行动。该行动从2012~2015持续了三年之久。 黑客组织在此次间谍行动中，主要通过构造恶意Office文档诱使目标上钩，从而在对方的计算机上植入木马，窃取机密信息。 2. 组件概述2012-0158是一个经典的栈溢出漏洞，成因在于office在解析activeX控件时调用系统的MSCOMCTL.OCX库中存在栈溢出漏洞，导致可被用于执行任意代码。 3. 漏洞影响操作系统：XP SP3 ~ WIN7 office版本：2003 ~ 2010 二、调试环境1. 环境搭建 使用环境 备注 操作系统 xp SP3 简体中文版 虚拟机 VMware 16 pro 调试器 immunity debugger 1.85 反汇编器 IDA Pro 6.8 漏洞软件 word 2007...