Pomóż mi zrozumieć ten exploit JavaScript

Powinieneś zajrzeć do sterty:

Http://en.wikipedia.org/wiki/Heap_spraying

To wygląda jak exploit najnowszego błędu Internet Explorera, dla którego Microsoft wydał łatkę awaryjną. Wykorzystuje wadę funkcji databinding w programie obsługi XML Microsoftu, która powoduje nieprawidłowe dealokowanie pamięci sterty.

Shellcode to kod maszynowy, który będzie uruchamiany po wystąpieniu błędu. Spray i pamięć to tylko niektóre miejsca przydzielone na stercie, aby pomóc w zaistnieniu warunków eksploatacji.

Rozpylanie sterty jest powszechnym sposobem na wykorzystanie rzeczy z przeglądarki, jeśli jesteś w to zamieszany, możesz znaleźć kilka postów takich jak ten: http://sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html

Za każdym razem, gdy widzę pamięć, która nie jest adresowana w dyskusji exploita, moja pierwsza myśl jest taka, że exploit jest rodzajem przepełnienia bufora, w którym to przypadku pamięć powoduje przepełnienie bufora lub jest dostępna po przepełnieniu bufora.

Pochodzi z metasploita, co oznacza, że używa jednego z kodów powłoki metasploita. Jest open source, więc możesz go pobrać: http://www.metasploit.com/

Aby uzyskać więcej informacji na temat samej luki, proponuję przeczytać MS08-078 i SDL.

Zobacz kodowanie znaków w HTML.

To dane binarne zakodowane jako ciąg znaków, który dekoduje JavaScript.

Popularna forma XSS również.

Możesz zobaczyć wszystkie triki kodowania tutaj:

Http://www.owasp.org/index.php/Category:OWASP_CAL9000_Project

Prosty przykład shellcode

Hello world in assembly AT&T syntax x86 I believe (Wizard in Training).

Ustaw plik: vim shellcodeExample.s

.text           #required
.goblal _start  #required

_start:         #main function
 jmp one        #jump to the section labeled one:

two:
 pop  %rcx         #pop %rcx off the stack, or something
 xor  %rax, %rax   #Clear
 movl 4, %rax      #use sys_write(printf || std::cout)
 xor  %rbx, %rbx   #Clear
 inc  %rbx         #increment %rbx to 1 stdout(terminal)
 xor  %rdx, %rdx   #Clear Registers or something
 movb $13, %dl     #String Size
 int  $0x80

one:
 call two                   #jump up to section two:
 .ascii "Hello World\r\n"   #make the string one of the starting memory 
                            #^-addresses

Kompiluj tak: as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o

Teraz masz plik binarny, który wyświetla hello world. aby przekonwertować kod binarny na kod powłoki wpisz: objdump -D shellcode

Otrzymasz wynik:

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400078 <.text>:
  400078:   eb 1a                   jmp    0x400094
  40007a:   59                      pop    %rcx
  40007b:   48 31 c0                xor    %rax,%rax
  40007e:   b0 04                   mov    $0x4,%al
  400080:   48 31 db                xor    %rbx,%rbx
  400083:   48 ff c3                inc    %rbx
  400086:   48 31 d2                xor    %rdx,%rdx
  400089:   b2 0d                   mov    $0xd,%dl
  40008b:   cd 80                   int    $0x80
  40008d:   b0 01                   mov    $0x1,%al
  40008f:   48 ff cb                dec    %rbx
  400092:   cd 80                   int    $0x80
  400094:   e8 e1 ff ff ff          callq  0x40007a
  400099:   68 65 6c 6c 6f          pushq  $0x6f6c6c65
  40009e:   20 77 6f                and    %dh,0x6f(%rdi)
  4000a1:   72 6c                   jb     0x40010f
  4000a3:   64                      fs
  4000a4:   0d                      .byte 0xd
  4000a5:   0a                      .byte 0xa

Teraz, jeśli spojrzysz na 4. linijkę z tekstem, zobaczysz: 400078: eb 1a jmp 0x400094

Część, która mówi {[9] } jest szesnastkowa reprezentacja instrukcji asemblera jmp one gdzie " one " jest adresem pamięci Twojego ciągu znaków.

Aby przygotować kod powłoki do wykonania, otwórz inny plik tekstowy i zapisz wartości szesnastkowe w tablicy znaków. Aby poprawnie sformatować kod powłoki należy przed każdą wartością szesnastkową wpisać \x.

Nadchodzący przykład kodu powłoki będzie wyglądał następująco zgodnie z wyjściem polecenia objdump:

unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

Ten przykład używa C dla tablicy. Teraz masz pracę shellcode, który będzie zapisywał na stdout "hello world"

Możesz przetestować kod powłoki, umieszczając go w luce lub możesz napisać następujący program c, aby go przetestować:

vim execShellcode.cc; //linux command to create c file.

/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

int main(){
    ((void(*)(void))PAYLOAD)();
    return 0;
}

Aby skompilować program wpisz:

gcc -fno-stack-protector -z execstack execShellcode.cc -o run

Run with ./run Wiecie, mam działający przykład prostego tworzenia kodu powłoki, który został przetestowany w linux mint / debian.