CVE-2010-2553 MicrosoftWindows Cinepak 编码解码器解压缩漏洞

2023年10月3日 1327点热度 0人点赞 1条评论

实验环境

推荐使用的环境	备注
操作系统	Windows XP SP3
虚拟机	Vmware
调试器	Windbg	6.12
反汇编器	IDA Pro
漏洞软件	Windows Media Player
补丁比较工具

静态分析

动态分析

首先+hpa开启页堆。

fig:

在windbg中!gflag确认一下，然后拖入poc.avi。会触发异常中断。

fig:

kb回溯一下栈。

fig:

ub查看一下调用此函数的上一层代码。

fig:

由于iccvid.dll是在解析poc的时候才载入，所以为了在73b7cbee下断点，我们需要在加载该dll后中断。sxe ld:iccvid即可。

cid如果大于0x20会将一串数据的地址赋给esi。

fig:

据格式分析ebp+10的0x68为cvid数据长度。

CVID压缩格式：

fig:

在FrameHeader后是一些编码条，每一个编码条包含Header和CVID Chunk。

fig:

随后请看如下代码，如果chunk id=0x11就会执行往目标地址复制0x2000字节数据的操作，书中这里有误。ecx是0x800，但是他是reps movsd，一次复制4字节数据，所以需要0x800*4。

fig:

在73b722cc打一个断点进入第一次复制。

!heap -p -a edi查看当前堆块，发现是0x6000大小。

fig:

可以想象如果有3个0x11的strip就会溢出（这里有点奇怪按照理论上来说第四个才溢出，但是书中写的>=3并且我个人也是第三次就出现Access violation，我的想法是其实df=0是正向，当第三次的时候其实edi就已经是边界地址了，所以看起来这里有0x6000大小，但是实际上只能进行两次0x11的chunk处理）。