依存関係のインストール

wget https://bootstrap.pypa.io/pip/2.7/get-pip.py -o get-pip.py
python2 get-pip.py
pip2 install cherrypy

実行

python2 server.py

PoC の変更点

解放されたオブジェクトの置き換えが発生していなかったため、割り当てる 0x140 サイズのブロック数を 0x88 から 0x8000 に増やしました。

0x40404040000 のページの割り当てが行われていなかったため、割り当てるページ数を 0xc88 から 2*0xc88 に増やしました。

ROP ガジェット mov rcx, rax ; mov rax, rcx ; add rsp, 28h ; ret は Windows 1909 の ntdll.dll には存在しなくなりました。代わりに、shell32.dll 内の ROP ガジェット mov rcx, rax ; test rcx, rcx ; setne al ; ret と mov rax, rcx ; add rsp, 0x28 ; ret を使用します。

pipe.producer.close() によってスプレーされた 0x140 サイズのブロックが解放されていました。メモリが速すぎるタイミングでクリーンアップされていました。そのため、関数呼び出しをエクスプロイト完了後まで遅延させました。

シェルコードを変更し、任意のコマンド（シェルコード長 0x200 まで）を使用できるようにしました。シェルコードを編集するには、shellcode.asm を修正して yasm -f bin -o shellcode.bin shellcode.asm を実行するか、コマンドライン文字列を shellcode.bin に hexedit してください。現在のペイロードコマンドは calc です。

CVE-2019-5782_CVE-2019-13768

人気