CVE-2010-2883 Luckycat

原创 于 2024-11-29 08:14:07 发布 · 1.2k 阅读 · 16 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
标签
#安全

CVE-2010-2883 Luckycat

实验目的

本实验漏洞利用的知识点有PDF格式、TTF字体格式、缓冲区溢出漏洞利用、PE文件格式、软件脱壳和恶意代码分析。

实验环境

虚拟机：Win7 X86 SP3、Kali

调试工具：IDA、ollydbg

目标软件：Adobe Acrobat Reader 9.0

16进制编辑器：010Editor

实验原理

Adobe Reader 是流行的PDF阅读软件。CVE-2010-2883 Adobe Reader TTF 字体 SING 表栈溢出漏洞的成因是Adobe Reader和 Acrobat 9.3.4中的 CoolType.dll 在解析 PDF 中的字体时未检查数据的长度，导致缓冲区溢出。

实验步骤

漏洞复现

1.登录"Kali"操作机，打开终端，打开msf，输入如下命令构造我们的EXP

下面是各个命令的说明

search cve-2010-2883: 这个命令用于搜索与指定 CVE（公共漏洞和暴露）编号相关的漏洞利用模块。在这里，是针对 Adobe CoolType 的一个已知漏洞。

Matching Modules: 这个部分列出了符合搜索条件的可用漏洞模块。每个条目包括模块名称、披露日期、等级和描述。

use 1: 这个命令通过索引号（此处为 1）选择漏洞模块，并设置该模块以进行进一步配置和使用。

[*] No payload configured, defaulting to windows/meterpreter/reverse_tcp: 如果未指定有效载荷，Metasploit 会默认使用一个常见的有效载荷（windows/meterpreter/reverse_tcp）。

set payload windows/exec: 这将有效载荷设置为 windows/exec，允许在目标系统上执行指定命令。

set cmd calc.exe: 这将有效载荷配置为在目标系统上执行 calc.exe 命令（Windows 计算器）。

exploit: 这个命令生成带有配置有效载荷的漏洞文件（在这里是 msf.pdf）。

2.把Kali中的Exp拖到本机，再拷贝到Win xp中，拖到Adobe中

弹出计算器，证明漏洞存在，Exp也没有问题。

基于字符串定位的漏洞分析方法

接下来的操作都在我们的Windows xp上进行

首先我们需要做几个准备工作，1、改掉随机基址，省的麻烦，把用010Editor打开Adobe，修改如下地方：

因为已知漏洞问题是在CoolType.dll，直接在安装文件夹下找到这个dll，拖到Ida中：

然后Alt+T，搜索sing：

12314sda

找到箭头所指那条

我们双击后进行审计，找到了危险函数strcat

421468c32d3e2d1df5d9b066a3aa11ee

选中strcat，f5后查看

int v18; // [esp+44h] [ebp-24h]

............

char Destination[260]; // [esp+68h] [ebp+0h] BYREF

  if ( v18 )

  {

   if ( !(unsigned __int16)*(_DWORD *)v18 || (unsigned __int16)*(_DWORD*)v18 == 256 )

​    {

​     Destination[0] = 0;

​     strcat(Destination, (const char *)(v18 + 16));

​     sub_8001243(Destination);

​     v6 = v18;

​    }

​    v21 = 1;

   }

其中，v18 +16是 uniqueName相对于 SING的偏移量

image-20241125201119179

由上可知，Adobe Reader在调用strcat时，未对uniqueName字段的字符串长度进行检测，将其直接复制到固定大小的栈空间，最终导致栈溢出。

样本Exploit技术分析（三级标题）

首先，用PdfStreamDumper（下载地址：http://sandsprite.com/blogs/index.php?uid=7&pid=57）提取出PDF样本里的TTF文件，在工具里选中相应Object，单击鼠标右键选择“Save Decompressed Streams”选项即可保存到本地。TTF中关于SING表的TableEntry结构数据

image-20241125201946716

image-20241125202544897

实际上的sing表结构

image-20241125202751901

动态调试

我们用ollydbg打开Adobe Reader，按Ctrl+G搜索在ida找到的内存地址

img

然后下上断点

我们可以看到这些就是我们的关键部分

0803DB6A   68 E4DA1908   push CoolType.0819DAE4      ; 压入地址 CoolType.0819DAE4，可能是字符串 "ING"

0803DB6F   57        push edi                 ; 将寄存器 edi 的值压入栈

0803DB70   8D4D DC     lea ecx,dword ptr ss:[ebp-0x24]      ; 将 ebp-0x24 地址加载到 ecx 寄存器

0803DB73   E8 AB3EFEFF   call CoolType.08021A23           ; 调用函数 CoolType.08021A23

0803DB78   8B45 DC     mov eax,dword ptr ss:[ebp-0x24]      ; 将 [ebp-0x24] 中的值加载到 eax 寄存器

0803DB7B   3BC6       cmp eax,esi               ; 比较eax和esi的值，esi 可能是一个特定的值

0803DB7D   C645 FC 02    mov byte ptr ss:[ebp-0x4],0x2       ; 如果比较结果为真（eax != esi），则将值 0x2 存入 [ebp-0x4] 内存位置

0803DB81   74 37      je short CoolType.0803DBBA       ;如果比较结果为真（eax == esi），跳转到 0803DBBA

0803DB83   8B08       mov ecx,dword ptr ds:[eax]         ; 将 [eax] 地址的内容加载到 ecx 寄存器

0803DB85   81E1 FFFF0000  and ecx,0xFFFF            ; 对 ecx 执行 0xFFFF 的按位与操作（保留低16位）

0803DB8B   74 08      je short CoolType.0803DB95         ; 如果 ecx 为 0，跳转到 0803DB95

0803DB8D   81F9 00010000  cmp ecx,0x100               ; 比较 ecx 和 0x100

0803DB93   75 21      jnz short CoolType.0803DBB6        ; 如果 ecx != 0x100，跳转到 0803DBB6

0803DB95   83C0 10     add eax,0x10               ; 如果 ecx == 0x100，eax 加上 0x10

0803DB98   50        push eax                 ; 将 eax 压入栈，可能用于函数调用

0803DB99   8D45 00     lea eax,dword ptr ss:[ebp]         ; 将 ebp 的地址加载到 eax 寄存器

0803DB9C   50        push eax                 ; 将 eax 压入栈，可能用于函数调用

0803DB9D   C645 00 00    mov byte ptr ss:[ebp],0x0         ; 将 [ebp] 地址的值设置为 0

0803DBA1   E8 02391300   call <jmp.&MSVCR80.strcat>         ; 调用 MSVCR80 库中的 strcat 函数

img

栈顶push一个sing

img

Push一个edi，edi地址为0012E744

img

给ECX付了个地址

img

这时ECX的值也变了

ECX指针把值付给EAX，EAX的值是CoolType.08021A23函数返回的值，很明显这是一个地址

我们可以在数据窗口跟随这个地址

img

这个其实就是sing表

我们继续往下调试分析

image-20241125210435775

接下来我们单步步过strcat函数

image-20241125210931755

可以看到EBP中数据已经改变，返回地址已变成了0C0C0C0C,它是我们构造在堆区的一个地址，里面存放着我们的shellcode。

我们在反汇编窗口跟随返回地址

image-20241125211620728

可以看到，这里pop 一个esp，其实就是0C0C0C0C,然后在这里设个断点,一直运行到这

image-20241125212511152

此处用到了ROP技术绕过DEP，执行这两条指令的作用是将栈中跳转地址的下一地址的内容（此处为0x0C0C0C0C）赋值给esp，产生的作用等同于 mov esp，0x0C0C0C0C；此时的esp被修改为0x0c0c0c0c，这时就将代码执行流引导至地址0x0C0C0C0C处，可以看到，我们的的栈顶变成了0C0C0C0C，我们继续运行，这时esp就要变成0C0C0C0C

image-20241125212758031

然后在运行，接着会返回

image-20241125213009435

可以看到返回之后栈顶就要发生改变，这个栈顶放了很多返回地址，每个返回地址都对应一个retn，相当于构成了一个ROP链。我们接着往下调试

image-20241125213541568

这个CreatefileA是一个库函数，继续跟进ROP链，看到先后调用函数CreateFile 、CreateFileMapping、MapOfViewMap创建了文件iso88591：

image-20241125214113666

image-20241125214427604

通过这样一套流程，我们的shellcode可以绕过防护直接进入内存被执行

实验总结

掌握CVE-2010-2883 luckycat漏洞原理以及基本方法

p1nkshox
关注
CVE-2010-2883字体文件SING表栈溢出
07-03
CVE-2010-2883字体文件SING表栈溢出，CVE-2010-2883字体文件SING表栈溢出
[漏洞战争]漏洞复现：CVE-2010-2883Adobe Reader TTF字体SING表栈溢出漏洞
m0_51246873的博客
01-12 1342
[漏洞战争]漏洞复现：CVE-2010-2883Adobe Reader TTF字体SING表栈溢出漏洞
漏洞复现-CVE-2010-2883
滕财然的博客
02-26 1830
CVE-2010-2883 Adobe Reader复现 1、漏洞原理 Adobe Reader 8.24-9.3.4的CoolType.dll库在解析字体文件SING表格中的uniqueName项时存在栈溢出漏洞，用户打开了特制的PDF文件可能导致执行恶意代码，可实现比如进行远程控制等。 2、漏洞分析 反汇编工具IDA： IDA 是全球最智能、功能最完善的交互式反汇编程序，许多软件安全专家和黑客...
【CVE-2010-2883】进行钓鱼攻击的研究
Mr_Fmnwon的博客
04-10 513
最近作业中研究APT攻击，了解到2011年前后披露的LURID-APT，其中敌手利用了各种版本的文件查看器的漏洞实现攻击。CVE-2010-2883就是其中被利用的一个adobe reader的漏洞。Adobe Reader 8.24-9.3.4的CoolType.dll库在解析字体文件SING表格中的uniqueName项时存在栈溢出漏洞，用户打开了特制的PDF文件可能导致执行恶意代码，可实现比如进行远程控制等。输入exploit进行攻击利用，此时在某目录下生成用于攻击的携带木马的pdf文件。
CVE-2010-2883 从漏洞分析到样本分析
qq_28205153的博客
08-19 6595
本文章将从漏洞利用分析开始，到样本分析结束，其中涉及到的知识点有PDF格式、TTF字体格式、缓冲区溢出漏洞利用、PE文件格式、软件脱壳和恶意代码分析。其中会演示一些基本操作，方便初学者进行复现。 前置知识 要学习本文章，需要下面的前置知识 C语言。可以看《C程序设计语言》。 汇编语言。可以看《深入理解计算机系统》第三章。 缓冲区溢出漏洞利用。可以看《0day安全：软件漏洞分析技术》。 软件脱壳、PE文件格式。可以看《加密与解密》。 恶意代码分析（可选）。可以看《恶意代码分析实战》。 漏洞信息 漏洞名称：
CVE-2010-2883：基于样本分析 PDF SING表字符溢出漏洞
CuiXY's Blog
02-01 461
0x01
Luckcat攻击事件样本分析(利用cve-2010-2883)
Z_LiT0的博客
08-23 749
0x00 运行样本分析行为 首先开启process monitor 监控，然后在打开样本文件： 监控到cmd在temp目录下新建了svrhost.exe文件和_uninsep.bat文件。 使用process expoler 发现病毒文件篡改了spoolsv.exe文件植入了恶意dll。 首先去看下_uninsep.dat文件是什么： 发现是一个自删除文件，执行完代码删除te...
漏洞丨CVE20102883
m0_64973256的博客
03-31 454
这个Exp的编写用了很多技术，包括利用了PDF文件可执行js代码的特性，然后使用栈溢出劫持运行流程到icucnv36.dll，这个模块没有ASLR保护，然后再通过ROP链，各种寄存器布置，然后新建文件，又将文件映射到内存，再把shellcode拷贝到这块区域。参考链接：http://static.anquanke.com/download/b/security-geek-2019-q2/article-12.html。
CVE-2010-2883 PDF漏洞提权
EC_Carrot的博客
03-08 423
漏洞背景 CVE-2010-2883是Adobe Reader和Acrobat中的CoolType.dll库在解析字体文件SING表中的uniqueName项时存在的栈溢出漏洞，当用户打开特制的恶意PDF文件时，可允许任意代码远程执行。 这个漏洞也比较老了，相信很多机子都不装Adobe Reader低版本了，但对于萌新来说，还是先从旧漏洞开始复现会比较合适 影响版本 Adobe Reader 8.2.4 - 9.3.4 漏洞利用 Metasploit工具已经将相关的漏洞利用代码集成进来了，通过简单的步骤
CVE-2010-2883分析
weixin_41487541的博客
03-20 5141
一、漏洞描述 Adobe Reader 和 Acrobat 9.x 9.4 之前的 CoolType.dll 中基于堆栈的缓冲区溢出，以及 Windows 和 Mac OS X 8.2.5 之前的 8.x，允许远程攻击者执行任意代码或导致拒绝服务（应用程序崩溃）通过在 TTF 字体的 Smart INdependent Glyphlets (SING) 表中具有长字段的 PDF 文档。用户受骗打开了特制的PDF文件就有可能导致执行任意代码。 二、漏洞复现 实验环境：Windows XP SP3虚拟机、
Adobe Reader 缓冲区溢出漏洞 （CVE-2010-2883）漏洞分析报告
君子谬
11-28 2375
一. 简介   软件名称:Adobe Reader 影响范围:7.0.0-9.3.4版本 影响平台:Windows 漏洞模块:CoolType.dll 威胁等级:高危 漏洞类型:缓冲区溢出 威胁路径:远程 机密性影响:完全的信息泄露导致所有系统文件暴露 完整性影响:系统完整性可被完全破坏 可用性影响:可能导致系统完全宕机 攻击复杂度:漏洞利用存在一定的访问条件 攻击向量:
栈溢出CVE复现分析（CVE-2010-2883）
weixin_40306105的博客
05-03 1113
1 实验环境 操作系统：XP SP3 调试器：OllyDbg 反汇编：IDA Pro 7.0 Adobe Reader : 9.3.4 2 漏洞背景 CVE-2010-2883是Adobe Reader和Acrobat中的CoolType.dll库在解析字体文件SING表中的uniqueName项时存在栈溢出漏洞。 3 实验内容 首先在系统中找到问题库文件，也就是xp sp3...
CVE-2010-2883
weixin_30426879的博客
04-05 2845
测试环境： 　　Windows xp sp3 　　Adobe Reader 9.3.4 成因： 　　CoolType.dll库的strcat函数在解析SING表中的uniqueName域时未作长度检查而造成栈溢出 分析： 　　用IDA反汇编CoolType.dll库，通过字符串查找定位漏洞位置，下面为IDA的输出： .text:0803DBF2 push ...
深入探讨ROP 载荷分析
omnispace的博客
03-29 1891
0x00 简介 Exploit-db上看到的感觉还不错，所以就翻译一下，原文题目为《Deep Dive into ROP Payload Analysis》，作者Sudeep Singh。 这篇文章的主要目的是介绍漏洞利用中的ROP载荷的分析技术，同时也深入分析一种ROP缓解技术stack pivot检测技术，该技术目前被用于防护软件中。 通过分析之前发现的两个攻击样本（CVE-2010
CVE-2010-2883漏洞分析
weixin_46286477的博客
09-28 1364
CVE-2010-2883漏洞分析，从基础开始学习漏洞。
CVE-2010-2883-PDF漏洞提权复现过程
我是网络安全兼技能大赛工程师，专注网络安全技术学习与技能大赛实战！持续分享最新的技术文章，帮你少走弯路，一起在技术赛道上进步～
06-17 1862
CVE-2010-2883-PDF漏洞提权复现过程
20212408 2023-2024-2 《网络与系统攻防技术》实验六实验报告
shi_fang__的博客
05-11 3826
由于VBScript脚本执行引擎(vbscript.dll)存在代码执行漏洞，攻击者可以将恶意的VBScript嵌入到Office文件或者网站中，一旦用户不小心点击，远程攻击者可以获取当前用户权限执行脚本中的恶意代码，该漏洞影响最新版本的IE浏览器及使用了IE内核的应用程序。这个漏洞是今年来说危害严重性最大的漏洞，换句话说，该漏洞是“可传播的”，这意味着任何利用该漏洞的恶意软件都可能从受影响的计算机传播到受影响的计算机，就像2017年Wanna Cry恶意软件在全球蔓延一样， 跟勒索，永恒之蓝病毒差不多。
Windows内核漏洞学习-内核利用程序之池溢出
WocW的博客
05-24 918
0x00：前言 昨天阅读了内核池的一些原理，与Linux堆还是有很多相似的。今天继续调试HEVD中池溢出攻击。参考的原文: 传送门 0x01：漏洞原理 漏洞源码: NTSTATUS TriggerPoolOverflow(IN PVOID UserBuffer, IN SIZE_T Size) { PVOID KernelBuffer = NULL; NTSTATUS Status = STATUS_SUCCESS; PAGED_CODE(); __try {
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值