CVE-2010-2883

漏洞描述

Adobe Reader的CoolType.dll库在解析字体文件SING表格中的uniqueName项时存在栈溢出漏洞，用户打开了特制的PDF文件可能导致执行任意代码。

漏洞分析

　　用IDA反汇编CoolType.dll库，查看字符串可发现“SING”字体，直接定位进去即可查看到该库对sing表格的解析方式，主要是strcat造成的溢出漏洞：

漏洞利用

　　利用PdfStreamDumper导入利用漏洞的PDF文件，在Object中找到Sing的Object，右键选择Save Decompressed Streams保存到本地。在保存的文件中能看到TableEntry数据结构

官方文档对TableEntry结构的定义

typedef sturct_SING
{
char tag[4];//"SING"
ULONG checkSum;//校验和
ULONG offset;//相对文件偏移
ULONG length;//数据长度
} TableEntry;

　　根据TableEntry结构可知从SING入口偏移0x11c为SING真实数据，在参考SING表的数据结构文档（参考官方文档或《漏洞战争》）知道SING从真实数据偏移0x10为uniqueName域，从代码上可以看出strcat是将uniqueName复制到栈空间，直至遇到NULL字符串终止符。

在调试中也能看出

　　如果uniqueName域超过正常大小，那么将破环这个函数的堆栈造成溢出，精心构造的数据可以控制程序的EIP执行任意代码。但在strcat后面还有其它代码执行，可能会用到栈中的数据，所以在构造EXP的时候要注意那些地方要用到破坏后的数据，要调整这些地址上的数据以满足代码执行逻辑，以防未控制EIP前程序先异常。当然也可以利用SEH异常处理模块，通过覆盖SEH指针控制EIP。

　　当执行完strcat函数后，查看0012E4E4这片数据调用的地方，对这片区域下内存访问断点然后执行，在这中间会在BIB这个模块中断很多次，这里面对0012E4E4数据的处理并不会引发异常，所以跳过。然后会断在CoolType.dll中0800124B这个位置，在OD中可以看到代码获取了0012E614这个位置的数据

从代码可以看出esi的值为ecx所赋，也可以知道ecx为this指针，而exc的值0012E614中的数据也在被覆盖范围内，所以在构造exp的时候要注意this指针的值，以免引发异常。在这个exp中的使用的数据为4A8A08C6。而这个地址是icucnv36中的一个地址，在《漏洞战争》中提到这个地址必须为可读写的，但我在调试的时候该地址为读属性，但也并未异常。