[原创]CVE-2013-0640漏洞利用分析 - 附POC
古河@pediy.com
新浪微博 @古河120，欢迎交流、互粉，谢绝搅基
http://weibo.com/1874932054
原文太长，我慢慢整理排版，请大家先看pdf版本
摘要
在最近的pdf 0day漏洞攻击中，同一个样本使用了两个漏洞。其中一个是CVE-2013-0640，这个漏洞存在于Adode的XFA（XML Forms Architecture）处理模块AcroForm.api中，该漏洞被用于得到任意代码的执行权限。另一个是CVE-2013-0641， 该漏洞存在于Adobe sandbox的broker进程中，用于从sandbox中逃逸，获取高权限。
关于CVE-2013-0641，国内外的安全研究人员已经有很详细的分析了，本文就不再赘述:
http://blog.vulnhunt.com/index.php/2013/02/21/cve-2013-0641-analysis-of-acrobat-reader-sandbox-escape/
http://blogs.mcafee.com/mcafee-labs/digging-into-the-sandbox-escape-technique-of-the-recent-pdf-exploit.
在对该样本的分析过程中，我们发现该样本为了能在开启了DEP和ASLR的机器上成功exploit，首先会利用CVE-2013-0640泄露AcroForm.api的基地址，接着使用这个基地址构造ROP，突破DEP的防护。
本文将着重分析CVE-2013-0640这个漏洞，包括触发方式、触发后产生的效果、以及该样本如何利用这个漏洞来泄露AcroForm.api的基地址。本文不会讨论基址泄露后的ROP构造问题。同时我们在附件中提供了2个POC文件，其中一个名为”crash.pdf”，用于演示如何使用CVE-2013-0640来控制EIP，另一个名为”leak.pdf”，用于演示如何利用该地址来泄露AcroForm.api的基地址。
请注意： 本文在调试原始样本以及构造POC的过程中，使用的是Windows XP SP3英文版，以及Adobe Reader 11.0.1，如果换其他Windows版本或者Adobe Reader版本，POC可能会无法正常工作。最后，本文分析的样本来自互联网，本文提供的POC仅供交流学习目的，请勿将其用于非法用途，由此造成的后果，与作者无关。
另由于笔者自身水平有限，文中难免疏漏错误之处，欢迎大家批评指正！
POC密码为: virus
CVE-2013-0640分析.pdf
poc.zip
