内容简介：该漏洞的潜在原因是类型混淆。攻击者通过构造XML数据包(XDP)模板并在XML Forms Architecture (XFA)对象上执行特定的JavaScript操作，可以迫使Reader跳出模板对象的范围来引用数据。如果成功，就会在沙盘渲染程序中执行代码执行。
前言
该漏洞的潜在原因是类型混淆。攻击者通过构造XML数据包(XDP)模板并在XML Forms Architecture (XFA)对象上执行特定的JavaScript操作，可以迫使Reader跳出模板对象的范围来引用数据。如果成功，就会在沙盘渲染程序中执行代码执行。
漏洞分析
触发该漏洞所需的XDP模板代码相当简单：
<object>.presence = “inactive”;.
启用PageHeap后，在读取模板对象的OOB时，CMP指令上发生崩溃。虽然对象看起来只有0×140字节大小，但是我们在偏移量0x1d0处取消了对缓冲区边界以外数据的引用：
acroform.api 的符号化版本。在Solaris 9.4.1中，我们可以看到这个特定类型的id属于XFATemplateModelImpl对象，它只是底层XDP的“模板”对象：
回到非符号化的Windows版本的 acroform.api ,我们可以确认模板对象的大小为0×140字节，这是上面引用的OOB对象的大小。我们可以通过几个简单的步骤找到:在 XFATemplateModelImpl::Type method 中 Acroform.api 可以找到静态变量 0x7c00 。
Xref提供XFATemplateModelImpl vtable：
-Xref到vtable start提供构造函数。-Xref到构造函数并向上滚动几行显示对象的大小，即0×140字节：
由于我们导致了对模板对象的OOB读取，所以我们可以推测代码预期的是一个不同的、更大的对象，而不是模板对象，这也表明这是一个类型混淆错误。最有可能的是，类型混淆发生在xfa模板和xfa表单对象之间。而xfa模板大小为0×140字节，即xfa表单对象的大小为0×270字节。
## Exploit我们不能在模板对象被实例化之前执行JavaScript代码，要知道控制崩溃不是件小事。要实现这一点，需要在PDF解析过程或XDP解析之前的任何其他受控数据处理过程中求助于可控制的分配和释放。控制崩溃的另一种方法是构造一个PDF，其中包含一个附加的PDF，这会触发漏洞。 Heap feng shui 将发生在“外部”PDF中，触发“内部”(附件)PDF中的vuln。然后，以使其执行JavaScript代码的方式打开附加的PDF需要更高的权限，因此它可能对大多数用户无效。通过执行“poc.pdg”可以观察到这种崩溃是可以控制的。即使没有PageHeap。由于要读取Unicode字符串的某些部分并将其用作指针，因此最终会发生崩溃。下面是一个没有PageHeap的崩溃输出：
以上所述就是小编给大家介绍的《如何使用类型混淆（CVE-2018-12794）在Adobe Reader执行代码》，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持！
猜你喜欢:
- CVE-2018-19134：通过Ghostscript中的类型混淆来远程执行代码
- Flash Player类型混淆严重漏洞，成功利用可能导致任意代码执行(CVE-2018-15981)
- Powershell编码与混淆
- Android修炼之混淆
- 类型混淆漏洞实例浅析
- PHP 代码混淆处理思路
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
JavaScript设计模式与开发实践
曾探 / 人民邮电出版社 / 2015-5 / 59.00元
本书在尊重《设计模式》原意的同时，针对JavaScript语言特性全面介绍了更适合JavaScript程序员的了16个常用的设计模式，讲解了JavaScript面向对象和函数式编程方面的基础知识，介绍了面向对象的设计原则及其在设计模式中的体现，还分享了面向对象编程技巧和日常开发中的代码重构。本书将教会你如何把经典的设计模式应用到JavaScript语言中，编写出优美高效、结构化和可维护的代码。一起来看看 《JavaScript设计模式与开发实践》 这本书的介绍吧!
