Oracle JRE java.awt.Menu Use-After-Free 远程代码执行漏洞分析与利用

技术 作者:邮箱投递 2016-10-26 09:32:02
1. 漏洞描述 漏洞编号:CVE-2016-5568 影响版本:Java SE <=   6u121, 7u111, 8u102 此漏洞由西安四叶草安全旗下的安全实验室(CloverSec Labs)的bo13oy于今年4月份发现并提交给Oracle,在10月份的补丁中修复。 2. 测试环境 Windows 7 x86 + jdk_1.8.0_102 3. 漏洞分析 1)漏洞类型 1)开启页堆和堆栈跟踪数据库(gflags.exe -I java.exe +hpa +ust),运行Poc时的崩溃信息如下: oracle1 2)用!heap -p -a edi 命令查看edi指向的内存信息如下: oracle2 从上面信息可以看到此块内存已被释放,表明这是一个UAF漏洞。 2)漏洞成因 1)崩溃PC对应的代码如下: oracle3 从上面部分的代码可以看出,在调用v3对象的虚函数时,由于v3已被释放,此时再去获取v3的虚表信息就导致崩溃。 2)根据上面的!heap -p -a edi 命令获取的信息,可得释放部分的代码如下 oracle4 3)在释放函数sub6D0968A2下断点,可得对象创建时的内存信息,如下所示: oracle5 创建对象时的代码如下: oracle6 由此可知,对象被释放时,未将其引用自身的悬空指针置空,导致了此UAF漏洞。 4. 漏洞利用 根据崩溃点代码逻辑可知,崩溃时程序尝试去调用被释放对象的虚函数,在该对象释放后,可以使用精确堆喷,用可控数据去占用这块已被释放的内存,当虚函数被调用时,控制 EIP 并执行 shellcode。 运行Poc,eax已被控制为0x42424242,如下所示: oracle7 最后,通过JIT堆喷,寻找一个可靠地址,修正EIP,执行shellcode。 5. 漏洞演示 利用该漏洞绕过了安全沙箱的限制,并成功弹出计算器:

关注公众号:拾黑(shiheibook)了解更多

[广告]赞助链接:

四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

公众号 关注网络尖刀微信公众号
随时掌握互联网精彩
赞助链接