CVE公共漏洞和暴露分析报告2012-0774

一.漏洞描述
adobe reader在阅读pdf文件时使用一些公共格式载入字体说明，比如truetypefont (ttf).<ttf是apple公司和microsoft公司共同推出的字体文件格式>
ttf中有几个片段负责格式化存储字体字形的描述，其中一个片段是字节码语言，它由ttf渲染器中的一个解释器执行。这个解释器是一个基于堆栈的虚拟机，因此它使用的大部分指令都以某种方式修改指令。mindex指令可以从栈中弹出一个值，并利用这个值作为一个索引进入栈区。该索引上的值被移到栈顶，栈中原有的值依次向下移动以填补移动索引值产生的空间。
mindex 指令的伪码：
     index = stack.pop()
     new_top = stack[index]
     for (i = 1; i<= index; i++)
     stack[i] = stack[i - 1]
     stack[0] = new_top
由于所有的栈操作都以4byte为单位，故而该索引值为了找到用于移动的位偏移值，会在adobe reader的解释器里进行乘以4的运算。但却没有对这个乘法运算进行整数溢出的检测。这个“索引”的原始值作为一个数字元素复制到一个循环中，如果这个“索引”足够大的（在进行乘4运算时能溢出一个小数值的）数值时，会导致缓冲区溢出。
1.补充
在解析文件时，首先查看“pdf key /fontfile2”可能会获得ttf数据。
    找到ttf数据段后，需要对其进行解析，并检查“glyf”表，每个字形条目都可以包含0个或多个ttf字节码格式的指令，需要对他们进行解码和模拟，一次来发现mindex指令。
    找到mindex指令后，需要检查位于栈顶的值（将被用做索引），如果这个值位于下列范围：0x40000001 <= index <= 0x7fffffff ，那么这个pdf文件应标记为恶意的pdf文件。
二、   调试环境与工具
环境：windows xp3 +    adobereader9.4.0.195
工具：ollbdbg + ida pro + 010 editer
三、   调试记录
载入poc后程序出现内存访问异常:
080079ce  mov dword ptr ds:[ecx],ebx   ;ecx=0823f000,ebx=0
 
 




alt+m查看内存窗口，发现程序尝试是向cooltype.dll的.rscr段写入数据，而.rscr段内存一般都只读的，在执行mov dword ptr ds:[ecx],ebx发生了内存访问异常。
 
按mapp的描述，发生异常的位置在mindex 指令处，载入ida看看这段代码:
回头再看看图1中的edx，edx是一个很大的值，而字节码解释器的堆栈位于cooltype.dll的.dada内存中。mindex 指令处在取栈最上面的索引值后，跟据索引值计算出偏移量去取值后，堆中的元素向下移动去填补取出值的位置(堆的增长方向是向高地址与windows程序中的堆栈不同)，即高地址的4个字节复制到相邻的低地址的4个字节，如果这个栈中的索引没有验证大小，mindex 指令在移动数据直到索引值为0才停下，如果在移动过程中覆盖到重要的数据，此漏洞可变为可利用的漏洞。
 
.text:0800798b mindex          proc near               ; code xref: sub_800690e+49p
.text:0800798b                                         ; sub_806c605+48p
.text:0800798b                                         ; data xref: .data:0821bf68o
.text:0800798b
.text:0800798b arg_0           = dwordptr  4
.text:0800798b
.text:0800798b                 moveax, stacktop
.text:08007990                 movecx, var
.text:08007996                 push    ebx
.text:08007997                 push    esi
.text:08007998                 movesi, [ecx]      ; stack.base
.text:0800799a                 lea     edx, [eax-4]
.text:0800799d                 cmpedx, esi        ; 弹出一个值后的堆栈地址是否大于或栈基
.text:0800799f                 push    edi
.text:080079a0                 jb      short failret
.text:080079a0
.text:080079a2                 movedi, [ecx+154h] ; stack.limit?
.text:080079a8                 cmpedx, edi        ; 栈顶是否大于stack.limit
.text:080079aa                 jnb     short failret
.text:080079aa
.text:080079ac                 add     eax, 0fffffffch ; -4
.text:080079af                 movedx, [eax]      ; 取索引
.text:080079b1                 movebx, edx
.text:080079b3                 shlebx, 2          ; 计算出偏移量,偏移量=索引*4
.text:080079b6                 movecx, eax
.text:080079b8                 sub     ecx, ebx         ;ebx=偏移量
.text:080079ba                 cmpecx, esi
.text:080079bc                 jb      short failret
.text:080079bc
.text:080079be                 cmpecx, edi
.text:080079c0                 jnb     short failret
.text:080079c0
.text:080079c2                 test    edx, edx
.text:080079c4                 movedi, [ecx]      ; 保存取出的值。
.text:080079c6                 jle     short loc_80079d7
.text:080079c6
.text:080079c8
.text:080079c8 moving:                                 ; code xref: mindex+47j
.text:080079c8                 decedx
.text:080079c9                 lea     esi, [ecx+4]
.text:080079cc                 movebx, [esi]
.text:080079ce                 mov     [ecx], ebx
.text:080079d0                 movecx, esi
.text:080079d2                 jnz     short moving
.text:080079d2
.text:080079d4                 sub     eax, 4
.text:080079d4
.text:080079d7
.text:080079d7 loc_80079d7:                            ; code xref: mindex+3bj
.text:080079d7                 mov     [eax], edi
.text:080079d9                 add     eax, 4
.text:080079dc                 movstacktop, eax
.text:080079e1                 moveax, [esp+0ch+arg_0]
.text:080079e5                 jmp     short loc_80079f6
.text:080079e5
.text:080079e7 ; ---------------------------------------------------------------------------
.text:080079e7
.text:080079e7 failret:                                ; code xref: mindex+15j
.text:080079e7                                         ; mindex+1fj mindex+31j
.text:080079e7                                         ; mindex+35j
.text:080079e7                 moveax, dweip
.text:080079ec                 mov     dword_8232434, 1110h
.text:080079ec
.text:080079f6
.text:080079f6 loc_80079f6:                            ; code xref: mindex+5aj
.text:080079f6                 pop     edi
.text:080079f7                 pop     esi
.text:080079f8                 pop     ebx
.text:080079f9                 retn
.text:080079f9
.text:080079f9 mindex          endp
 
四、字节码相关分析
通过日志断点打印字节码信息，发现此索引是跟据glyf中的字节码数据计算出来的。
1.    打pcode长度信息:
 
2.设置打印pcode地址信息日志断点:
 
 
 
3.打印虚拟机”指令”信息:
 


4.虚拟机指令执行前的当前堆栈数据:
 
 
5.指令结束后的当前虚拟机堆栈的数据:
 
6.指令分隔符号信息，便于查看信息:
 








ollydbg重新载入adobereade.exe，在mindex 指令的首地址下普通断点后，打开poc文件后开始打印日志,程序停下来之后查看最后的记录：
08006927  条件: pcode = 02dd6b33
08006928  条件: instruction = 0026
08006956  条件: 执行前堆栈[vm_esp] = 40000001
0800798b  断点位于<cooltype.mindex>
从打印的信息来看mindex 指令是0x26,当前堆栈为[vm_esp] = 0x40000001.
0x40000001正好当前栈的索引值。eax值指向当前pcode的地址。
 
从分析日志来看:
索引的值是7fff + 7fff + 3fff0003
08006927  条件: pcode = 02dd6b2a
08006928  条件: instruction = 0078//跳转指令
08006956  条件: 执行前堆栈[vm_esp] = 00000000
0800695e  条件: 执行后[vm_esp] = 3fff0003
08006962  条件: **********************************************************************
08006927  条件: pcode = 02dd6b2b
08006928  条件: instruction = 0041push_imm16，将7fff,7fff压入堆栈再相加
08006956  条件: 执行前堆栈[vm_esp] = 3fff0003
0800695e  条件: 执行后[vm_esp] = 00007fff
08006962  条件: **********************************************************************
08006927  条件: pcode = 02dd6b31
08006928  条件: instruction = 0060  add [esp-4],[esp]
08006956  条件: 执行前堆栈[vm_esp] = 00007fff
0800695e  条件: 执行后[vm_esp] = 0000fffe7fff + 7fff = fffe
08006962  条件: **********************************************************************
08006927  条件: pcode = 02dd6b32
08006928  条件: instruction = 0060add [esp-4],[esp]
08006956  条件: 执行前堆栈[vm_esp] = 0000fffe 
0800695e  条件: 执行后[vm_esp] = 40000001 3fff0003 + fffe = 40000001
08006962  条件: **********************************************************************
08006927  条件: pcode = 02dd6b33
08006928  条件: instruction = 0026 mindex 指令
08006956  条件: 执行前堆栈[vm_esp] = 40000001
0800798b  断点位于<cooltype.mindex>  
 
再往上查看日志3fff0003是从哪来的:
分析日志得知:00fffc00 + 3eff0403 = 3fff0003
08006962  条件: **********************************************************************
08006927  条件: pcode = 02ded7d2
08006928  条件: instruction = 0041
08006955  条件: 执行前vm_esp地址= 08236230
08006956  条件: 执行前堆栈[vm_esp] = 3eff0403
0800695e  条件: 执行后[vm_esp] = 00007fff
0800695f  条件: 执行后vm_esp地址= 08236238
08006962  条件: **********************************************************************
08006927  条件: pcode = 02ded7d8
08006928  条件: instruction = 0063
08006955  条件: 执行前vm_esp地址= 08236238
08006956  条件: 执行前堆栈[vm_esp] = 00007fff
0800695e  条件: 执行后[vm_esp] = 00fffc00
0800695f  条件: 执行后vm_esp地址= 08236234
08006962  条件: **********************************************************************
08006927  条件: pcode = 02ded7d9
08006928  条件: instruction = 0060add [esp-4],[esp]
08006955  条件: 执行前vm_esp地址= 0823623408236234的值是7fff而08236234-4的值是3eff0403
08006956  条件: 执行前堆栈[vm_esp] = 00fffc00
0800695e  条件: 执行后[vm_esp] = 3fff0003   00fffc00 + 3eff0403 = 3fff0003
0800695f  条件: 执行后vm_esp地址= 08236230
08006962  条件: **********************************************************************
 
日志最开始的地方显示pcode的长度为0x79:
08006917  条件: pcode长度= 00000079
 
一直通过追述到源头到发现此值是在一个循环中逐步增加计算索引的一个过程。
复制内存中的pcode在010 editer中查看:

 
最后此漏洞分析到此完成了，还有很多东西不相关的分析没有贴上来，对于文件格式不明白，所以还有很多东西搞不清楚