维先生的博客

本文已发表于“安全客”，转载请注明出处。

在上一期的office漏洞分享中，介绍了传奇漏洞cve-2013-3906的技术框架，其中涵盖了不少溢出类漏洞的经典。这一期给大家带来的分享是CVE-2014-1761，这个漏洞严格的说来主要影响的是office套件中的word程序，不像前面两期的漏洞可以在office套件中的多种程序里利用。当然每个漏洞都有自己的特色，只要运用得当，每个漏洞终会出彩。下面本人还是遵循老套路，讲完原理谈利用，最后再给大家演示一下如何编写此漏洞的木马程序捆绑器（通过逆向一个生成器）。

漏洞原理

这次的漏洞发生在WWLIB.DLL这个动态库里面，从其版本信息也能看出它主要是服务于word程序的。事实上，这个漏洞是由于word程序在解析rtf这类文档格式的文件时发生的溢出，而word程序提供对rtf这类文档的支持正是通过WWLIB.DLL这个解析库来实现的。

查看全文 »

本文已发表于“安全客”，转载请注明出处。

最近事情比较多，直到今天才有时间重新来安心的继续我的漏洞分析分享，这次的漏洞分享同时也是我的进入漏洞分析的处女作以及我在2014年的毕业设计，希望能够尽可能详细的展现出来（由于时间关系，直接拿投安全客的稿整上来）。

漏洞背景

该漏洞于2013年11月份发布，漏洞发生在微软的图像图形相关解析库OGL.DLL中，影响包括office2003/2007/2010，Basic2013等相关的软件产品，可以通过漏洞达到远程代码执行。该漏洞已知最早开发于2013年三月份，由于攻击样本中包含大量俄文，所以疑似出自俄罗斯，相关的时间发展线见下图。

查看全文 »

本文已发表于“安全客”，转载请注明出处。

在今年的黑帽大会上，国外的一个安全研究员展示了如何通过Windows的数字签名bypass对恶意程序代码的检测。下载大会的该演讲的ppt大概看了一下，报告分为两部分，第一部分展示数字签名的的校验“漏洞”，第二部分展示该作者自己研究实现的一个pe程序加载器，用来配合第一部分的“漏洞“bypass杀毒软件对恶意程序的检测。本文重点在于第一部分的这个数字签名校验”漏洞“，通过回顾分析数字签名的校验来阐述这个”漏洞“的原理。

查看全文 »

目前对内网穿透的认识主要有两种，都是需要利用一个具有公网ip地址的服务器来辅助两个内网机器的连接，不同的是中间服务器的作用不同，一种是辅助两方进行直接连接（P2P），另一种则是中间服务器当作两方的连接桥负责转发两方的全部通讯流量。两种不同的方式可以说各有利弊，在此也不深究，本文记录的是使用第二种方式的一个开源项目ngrok，本项目目前开源的代码到1.7.1版本，而官网目前使用版本是2.0，两者稍(da)有(tong)区(xiao)别(yi)，官网提供免费的转发服务（需要简单注册下）和各平台的客户端，不过为了使用的安全性与稳定性，自己搭建一下来体验还是不错的。

查看全文 »

本文已发表于“安全客”，转载请注明出处。

一直以来，想把以前做过的漏洞分析整理一番写成博客，如今终于迟迟的到来。目前打算先把做过的分析按照漏洞发布的时间顺序来进行分享，等分享完了再去开发新的漏洞分析。

漏洞背景

该漏洞于2012年4月份发布，漏洞发生在微软的ActiveX控件解析库MSCOMCTL.OCX，影响包括office2003/2007/2010、sqlserver 2000/2005/2008以及其他一些相关版本的软件产品，影响的控件类型主要为ListView和TreeView这两类控件。

查看全文 »