CVE-2010-2553 Windows Media Player ICCVID.DLL 堆溢出漏洞分析

漏洞概述

CVE-2010-2553是Windows Media Player中ICCVID.DLL组件的一个堆溢出漏洞，影响Windows XP SP3系统上的Windows Media Player 9.00.00.4503版本。该漏洞存在于处理Cinepak Codec视频文件时，由于对编码条(strip)数量缺乏适当检查，导致可以触发堆溢出。

测试环境配置

调试环境准备

1. 配置符号表路径：

   • 离线符号表：需下载对应XP SP3版本的符号表
   • 在线符号表CDN：http://sym.ax2401.com:9999/symbols/
   • FTP下载源：https://ftp.acc.umu.se/mirror/archive/ftp.sunet.se/pub/security/vendor/microsoft/winxp/Service_Packs/

2. 启用页堆调试：

   !gflag +hpa
   

漏洞分析

关键函数分析

漏洞位于iccvid!CVDecompress函数中，该函数负责处理Cinepak视频的解压缩。

函数原型

signed int __stdcall CVDecompress(
    unsigned int a1, 
    _BYTE *a2, 
    unsigned int a3, 
    int a4, 
    int a5, 
    int a6, 
    int a7
)

关键漏洞点

1. 数据复制操作：

   • 关键汇编指令：rep movs dword ptr es:[edi],dword ptr [esi]
   • 每次复制0x2000字节数据(0x800 * 4字节)
   • 用户堆大小为0x6000，超过3次复制就会溢出

2. 关键地址：

   • 调用点：73b7cbee处的call iccvid!CVDecompress (73b721ae)
   • 复制操作点：73b722cc

数据结构分析

CVID视频文件数据结构：

1. 头部结构：

   • FLAG：1字节
   • CVID数据长度：3字节
   • 编码帧宽度：2字节
   • 编码帧高度：2字节
   • 编码条数量：2字节

2. 编码条(Strip)结构：

   • 编码条ID：1字节
   • 编码条数据大小：3字节
   • 其他数据...

漏洞触发条件

1. 初始检查：

   • CVID数据长度必须≥0x20
   • 通过ULongSub检查CVID数据长度是否>0xA

2. 关键检查点：

   • 比较未解压数据是否>0x16
   • 检查编码条ID是否为0x10或0x11
   • 检查编码条数据大小是否>0xC

3. 漏洞触发：

   • 当编码条ID为0x11时，会执行数据复制
   • 缺乏对编码条数量的适当限制
   • 复制次数超过3次(0x6000/0x2000)就会导致堆溢出

逆向分析过程

1. 设置断点：

   sxe ld:iccvid
   

2. 分析流程：

   • 进入CVDecompress函数
   • 检查CVID数据长度
   • 遍历编码条结构
   • 对ID为0x11的编码条执行复制操作
   • 多次复制导致堆溢出

3. 关键观察：

   • 每次循环复制0x2000字节
   • 堆块用户区大小为0x6000
   • 复制超过3次就会溢出

漏洞修复

微软在MS10-055补丁中修复了此漏洞，主要修复措施是：

• 增加了对编码条数量的严格检查
• 限制了复制操作的次数

漏洞利用

虽然文中未提供具体的利用方法，但基于堆溢出的性质，可能的利用方式包括：

1. 覆盖堆管理结构
2. 控制程序执行流程
3. 实现任意代码执行

总结

1. 漏洞本质：由于对编码条数量缺乏检查导致的堆溢出
2. 关键点：
   • 每次复制0x2000字节
   • 堆块用户区大小0x6000
   • ID为0x11的编码条触发复制
3. 调试技巧：
   • 使用页堆(!gflag +hpa)检测堆溢出
   • 模块加载断点(sxe ld:iccvid)
   • 符号表对分析至关重要

参考资源

1. 《漏洞战争》书籍
2. 微软安全公告MS10-055
3. ICCVID.DLL逆向分析

附录：关键代码注释

// 简化的漏洞函数关键部分
if ( *v14 == 0x10 || *v14 == 0x11 ) {  // 检查编码条ID
    if ( ULongSub(v31, 0xCu, &a1) < 0 ) // 检查编码条大小
        goto LABEL_33;
    
    // ...省略部分代码...
    
    if ( v32 && !HIBYTE(a3) && *v14 == 0x11 ) { // ID为0x11时复制
        qmemcpy(
            (void *)(*(_DWORD *)(v7 + 28) + v32),
            (const void *)(*(_DWORD *)(v7 + 28) + v32 - 0x2000),
            0x2000u);  // 每次复制0x2000字节
        v14 = v26;
    }
    
    v32 += 0x2000;  // 增加偏移量，为下次复制做准备
}

通过这份详细的分析文档，您可以全面了解CVE-2010-2553漏洞的原理、触发条件和分析方法，为后续的安全研究和漏洞防护提供参考。