Flash内存管理与漏洞利用

Hearmen 北京大学软件安全研究小组

AVM2 虚拟机简介 CVE-2015-0313 CVE-2015-3043 CVE-2015-5119



目录

uCVE-2015-3043



攻击演示

AVM2 虚拟机简介

uAVM2 是 目 前 使 用 的 flash player 的 核 心 ， 所 有 的 ActionScript 3 代码都由AVM2来执行

u采用Jit与解释器混合执行的方式，大幅提升flash的运 行效率

ActionScript 3执行流程

AVM 2 堆栈初始化



ActionScript 3 编译器



Constant pool bytecode



常量池初始化

JIT 解释器



u《avm2overview》



机器语言

AVM2 内存管理

u使用MMgc进行内存管理

u延缓引用计数，标记/清除算法

u从操作系统中申请大量保留空间，按页交予垃圾回收机 制GC进行管理。

AVM2 内存管理



4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k 4k



HeapBlock HeapBlock HeapBlock HeapBlock HeapBlock

FreeLists

Free[0] Free[1] Free[2] Free[3] Free[4] Free[5] ……

Free[30]



GCHeap



1 block

2 block 3 block 4 block 5 block 6 block

128 block



1 block

2 block 3 block 4 block 5 block 6 block

… block



1 block

2 block 3 block 4 block 5 block 6 block

… block



1 block

2 block 3 block 4 block 5 block 6 block

… block

CVE-2015-0313

ByteArray.Clear()

利用步骤

堆喷射，控制内存布局 触发漏洞，更改Vector的length属性 任意地址读写，布局shellcode 更改对象虚表，接管程序运行流程

ByteArray

uByteArrayObject uBuffer uBuffer大小以4k倍数增长 u通过FixedMalloc进行内存分配

FixedMalloc

FixedMalloc::Alloc(size) {

if(size < kLargestAlloc) // 32bit 2032 FindAllocate(size)->FixedAlloc()

else LargeAlloc(size)

}

FixedBlock

FixedAlloc



m_firstBlock FixedBlock



FixedAllo c



m_firstFree



FixedBlock



FixedBlock



firstFree

Free item



Free item



FixedBlock

Uint Vector

内存布局



data data Data_1 data data



Worker



data data Data_2 data data



Main



data data FixedBlock si32 Block Head data Vector<uint> data Vector<uint>

Vector<uint>

FixedBlock

稳定性的考虑

uByteArray.clear之前的额外操作

ØGCHeap内存释放，将HeapBlock挂入freelist末尾 ØGCHeap内存分配，从freelist头部开始遍历。

CVE-2015-3043

ØFlash在解析Flv中Nellymoser压缩的<tag>时，没有对buffer长度 进行正确的检验，从而导致的堆溢出

Ø被溢出的对象大小是0x2000

Ø该漏洞出现过 两次

内存布局



Vector<uint> Vector<uint>

Free Vector<uint> Vector<uint>



加载flv



Vector<uint> Vector<uint>

Corrupt Buffer

Vector<uint> Vector<uint>



重新布局



Vector<uint> Vector<uint> Corrupt Obj Vector<uint> Vector<Obj>

Object Vector

GC::Alloc

GC::Alloc {

if(size < kLargestAlloc) //1968 GCAlloc()

else GCLargeAlooc::Alloc()

}

GCBlock

GCAlloc



m_firstBlock GCBlock



GCAlloc



m_firstFree



m_qlist Free item



Free item



GCBlock



GCBlock



firstFree

Free item



Free item

Free item



Free item



GCBlock

GCLargeBlock

CVE-2015-5119

内存布局

Class2

另一种办法

uObject Vector u通过GC直接在内存中查找 Vector

uObj -> Vector[ i ]

uNo ROP uAS完成操作 uBypass CFG



优雅的利用

FunctionObject

uAS中的函数对象 uFunction.apply ; Function.call；Function（）

FunctionObject

uCore可由FunctionObject查找

AS3_call

u完全使用AS代码 操作API

u只 能 精 确 控 制 两 个参数

u调 用 的 函 数 参 数 个数需为三或四



Demo

Flash_18_0_0_209/232

u Vector长度验证 u 隔离堆 u 强随机化

uUint Vector



长度验证



uObject Vector

u堆溢出



绕过验证



uString对象 u更改长度字段/更改起始指针 u任意地址读

uVectorObject



绕过验证



u更改数据对象指针



uCookie作为length



u交换Vector<uint>长度与Cookie

谢谢