CVE-2009-0658 漏洞分析
题目:CVE-2009-0658 漏洞分析
原作:Peter Kleissner
(http://web17.webbpro.de/index.php?page=analysing-the-pdf-exploit)
翻译:Cryin'
我想给大家分享下 2009 年 3 月对一个 Adobe pdf 漏洞的分析结果,该漏洞由于 JBIG2 压缩
中的 BUG 导致执行任意 Win32 代码。该漏洞目前(2009 年 3 月 3 日)已经仅在内部被修补,
但 Adobe 有望在 3 月 11 日才发布更新版本。自 2007 年以来的所有 Adobe 阅读器(Adobe Reader
7.0 和更高版本都受影响),恶意 PDF 文件利用此漏洞的成功率非常低,所以传播的不是很
广泛。
PDF 文件概览
首先让我们大概的认识下一般的 PDF 恶意文件
•JavaScript 代码,使 Exploit 成为可能
•Shellcode 集成在 JavaScript 代码中(加载在 Stream 里面)
•Exploit Code,包含在 PDF 文件的 Stream 中并经过加密的可执行文件(malware)
•伪造的 PDF 文件,实现隐藏的目的
PDF 漏洞文件开发主要有三个部分:JavaScript 代码、Shellcode、Exploit Code。这三部
分在漏洞利用开发过程中都同等重要。
Pidief 是一个知名度很高、传播十分广泛的病毒家族(本文分析的也是),在其历史上它利
用各种 Adobe Pdf 漏洞来执行恶意程序(malware).下面分析的就是 Pidief 家族中鲜活的实
例。尽情享受吧!
JavaScript 代码
Pidief 包含的第一段 JavaScript 代码作为脚本存储在 PDF 文件的 Object 对象中,代码经
过八进制编码后如下面所示:
2 0 obj
<</S /JavaScript
/JS
( \040function
40p
ri\156tInfo(){ \040 \04
0
\143onsole.pri\156tln("\12
6ie
we\162 language:\040" + a\16
0p.
la\156guage); \040 \04
0
c\157nsole.prin\164ln("V\15