大土豆安全笔记 | 求求你慢点泄露,我学不过来了

最近看了HITCON 2014一个议题

  • https://hitcon.org/2014/downloads/E210%E5%8A%8D%E5%BF%83%20-%20%E4%B9%8C%E4%BA%91%E7%9A%84%E8%BF%99%E4%BA%9B%E5%B9%B4.pptx

分享其中一页,五年前看是一种心态,现在看又是另一番滋味,或许再过五年,一切又都变了,大家现在应该更推崇知识付费吧

IMAGE

这两周接二连三的出现大厂数据泄露,前脚英伟达,后脚三星就跟上了,泄露的内容大家可以自行阅读下面这张截图

IMAGE

请有缘人自取

  • magnet:?xt=urn:btih:FXZGNQTWZOCYDND27IERZ7HBXWWXYLUZ&dn=Samsung&tr=udp%3A%2F%http://2Fpublic.popcorn-tracker.org%3A6969%2Fannounce

希望今年Pwn2Own能带出很多好的漏洞与攻击手法

IMAGE

我这几天主要是在看iMessage那个Zero-Click的漏洞,PJ0也发布了一篇博客《A deep dive into an NSO zero-click iMessage exploit: Remote Code Execution》

  • https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html

简单讲讲漏洞细节,先描述下JBIG2的原理,对于黑白图像的文本来说,扫描完之后相同的符号对应的图像大体上都差不多,但是落实在数据上尤其是像素级别就会有差异,JBIG2会维护一个位图表,将扫描到的符号对应到位图表里的位图,如果存在对应的位图,就记录位图表偏移,如果不存在则添加这个符号对应的位图,再记录偏移,最后再对位图表进行压缩,如此一来即可实现对扫描数据的压缩效果

如图所示,一共有六个符号e出现,但是每个符号细节上的像素都有所差异,如果全都存储一遍很占空间

IMAGE

如果我们将其全部使用第一个符号e来替代,并且记录下每个符号e所在坐标,就可以只存储一次符号e所对应的位图,极大实现压缩效果

IMAGE

然后是Segment,如果要仔细分析的话是一定要理解JBIG2Stream里的Segment含义,一段JBIG2Stream由非常多的Segment组成,每个Segment表现为一段二进制数据,其实对应出来就是一个渲染指令,还有位图表,通过Segment类型字段分发到不同的分支里去对页面做处理

当进行文本区域解码的时候,会先处理引用的位图Segment,将所有引用到的位图数据全部导入,然后再去解码,在计算位图数量的时候,存在整数溢出漏洞,导致申请的堆空间偏小,后续循环写入位图数据时导致堆溢出

void JBIG2Stream::readTextRegionSeg(Guint segNum, GBool imm,
                                    GBool lossless, Guint length,
                                    Guint *refSegs, Guint nRefSegs)
{
    ...

    // get symbol dictionaries and tables
    codeTables = new GList();
    numSyms = 0;  // 位图计数器
    for (i = 0; i < nRefSegs; ++i)  // 引用的Segment数量
    {
        if ((seg = findSegment(refSegs[i])))  // 通过Segment序号找到对应的对象
        {
            if (seg->getType() == jbig2SegSymbolDict)  // 类型为位图表的Segment
            {
                numSyms += ((JBIG2SymbolDict *)seg)->getSize();  // 将当前Segment的位图数量叠加到位图计数器 <-- 此处发生整数溢出
            }
            else if (seg->getType() == jbig2SegCodeTable)
            {
                codeTables->append(seg);
            }
        }
        else
        {
            error(errSyntaxError, getPos(),
                  "Invalid segment reference in JBIG2 text region");
            delete codeTables;
            return;
        }
    }
    
    ...

    // get the symbol bitmaps
    syms = (JBIG2Bitmap **)gmallocn(numSyms, sizeof(JBIG2Bitmap *));  // 在整数溢出的情况下,位图计数器numSyms会变成一个较小的值,申请下来的堆空间也相对较小
    kk = 0;
    for (i = 0; i < nRefSegs; ++i)  // 遍历引用的Segment
    {
        if ((seg = findSegment(refSegs[i])))  // 通过Segment序号获取到对应的对象
        {
            if (seg->getType() == jbig2SegSymbolDict)  // 类型为位图表的Segment
            {
                symbolDict = (JBIG2SymbolDict *)seg;  // 转换类型为位图表
                for (k = 0; k < symbolDict->getSize(); ++k)
                {
                    syms[kk++] = symbolDict->getBitmap(k);  // 将位图指针写入申请的堆空间 <-- 此处发生堆溢出
                }
            }
        }
    }

    ...
}

利用过程我这里不描述了,有兴趣可以等待PJ0的第二篇文章,非常天才的利用

Saelo前段时间在今年的BlueHat上也讲了一个相关的议题,不过和文章的内容差不多,没有新增太多跟漏洞利用相关的内容

  • https://saelo.github.io/presentations/bluehat_il_22_a_brief_history_of_imessage_exploitation.pdf

这个漏洞要理解整个流程其实还是有点难度的,首先要清楚PDF的格式,如何将JBIG2Stream嵌入到PDF里,然后是Segment的格式,不然解析过程那些字段位移取值判断操作很难明白是在做什么

推荐看看JBIG2的文档,顺带看下后面的样例讲解,理解了之后再去看源码就清楚多了

同时今年BlueHat还有一个议题,DAY ONE晚上九点二十五到十点零五那个,不知道什么时候会有Slides放出来,我倒是很期待学习下,不敢贴细节,放个带锚点的导航

  • https://www.microsoftrnd.co.il/bluehatil/abstracts#collapse-6

这两天有一个玄武的瓜,想不到在我划水咸鱼的日子里,别人家的世界这么精彩

每年安全圈都有那么几个瓜让人热闹一下,前年有,去年有,今年也有,在圈子里混了这么多年,通常有瓜的时候,两头我都认识,也知道背后的真实情况(这次我两头都不熟),所以站在这样的角度去看大家的反应,还挺有趣的,有的人啥都不知道就口无遮拦评价别人的样子还真是让人讨厌

也给各位提了个醒,如果你离职的时候老板让你上交你这些年的研究成果与技术文档,或者是你写的Fuzzer,漏洞扫描器,甚至是0day,你是交呢?还是不交呢?

最后说点题外话

北方的战斗民族公开了一份文档,各位如有兴趣可翻阅

  • https://disk.yandex.ru/d/62hsNB8kC7MXPQ

我直接贴一张大家最关心的,右下角那位Doctor,不知道现在是不是正在被查水表

Оригинал.png

附上这位Doctor的个人介绍,还真是专业对口

IMAGE