| 网站首页 | 资料中心 | 安盟论坛 | 
您现在的位置： 安全联盟 >> 资料中心 >> 漏洞补丁 >> 文章正文 用户登录 新用户注册
[注意]百度超级搜霸远程代码执行漏洞           ★★★ 【字体：小 大】
百度超级搜霸远程代码执行漏洞
作者：佚名    文章来源：本站原创    点击数：    更新时间：2007-8-4    
百度超级搜霸是百度公司出品的一款免费的浏览器工具栏，提供百度公司的各种服务。更多信息请参考：

    http://bar.baidu.com/sobar/promotion.html

    在百度超级搜霸中的一个ActiveX控件中存在一个远程代码执行漏洞，远程攻击者可利用此漏洞在被攻击者系统上以当前浏览器权限执行任意代码，进而可安装木马以及间谍程序。


Affected Software Versions:

    百度超级搜霸5.4(Version of "BaiduBar.dll" is 2.0.2.144)



Details:
    
    漏洞存在于由ActiveX控件"BaiduBar.dll"导出的"DloadDS()"函数中，相关信息如下：

    InprocServer32:    C:\Program Files\baidu\bar\BaiduBar.dll
    ClassID      :     A7F05EE4-0426-454F-8013-C41E3596E9E9

    [id(0x0000001d), helpstring("method DloadDS")]
    void DloadDS(
                [in] BSTR bstrUrl,
                [in] BSTR bstrName,
                [in] long lShow);

    如果把bstrUrl设置成某个服务器上的CAB文件，DloadDS()函数会尝试下载这个文件到TEMP目录并解压，然后执行其中的以bstrName命名的文件，执行处的关键代码如下：

    .text:1006F407                 lea     eax, [ebp-28h]
    .text:1006F40A                 lea     ecx, [ebp-10h]
    .text:1006F40D                 push    eax            ; lpProcessInformation
    .text:1006F40E                 lea     eax, [ebp-6Ch]
    .text:1006F411                 push    eax            ; lpStartupInfo
    .text:1006F412                 push    esi            ; lpCurrentDirectory
    .text:1006F413                 push    esi            ; lpEnvironment
    .text:1006F414                 push    esi            ; dwCreationFlags
    .text:1006F415                 push    esi            ; bInheritHandles
    .text:1006F416                 push    esi            ; lpThreadAttributes
    .text:1006F417                 push    esi            ; lpProcessAttributes
    .text:1006F418                 push    esi
    .text:1006F419                 call    sub_10004147        ; get the CommandLine
    .text:1006F419
    .text:1006F41E                 push    eax            ; lpCommandLine
    .text:1006F41F                 push    esi            ; lpApplicationName
    .text:1006F420                 call    ds:CreateProcessA


    此时lpCommandLine指向"C:\DOCUME~1\administrator\LOCALS~1\Temp\calc.exe"，由于之前没有任何有效的检查措施，因此攻击者可构造包含木马或者间谍程序的CAB文件，然后用DloadDS()函数下载并运行它。因此，有漏洞的百度搜霸相当于一个完美的后门。



How to Reproduce:

    Exploit在如下URL地址：

    http://ruder.cdut.net/attach/baidu_soba/baidu_soba_exploit.html

    安装百度搜霸, 用IE打开它并点击"DowndloadCalcAndRun"按纽，你会发现计数器程序(在http://ruder.cdut.net/attach/calc.cab)被下载并执行。

    如果你无法找到受影响的版本，带有数字签名的百度搜霸5.4版在如下地址也可以下载到：

    http://ruder.cdut.net/attach/baidu_soba/setup.exe

    此文件的MD5值：7F751A157AF42E92FDD0AF3F179FE9AB

    Baidu通知已经修复了此漏洞，但实际上，从http://bar.baidu.com/sobar/promotion.html下载的Baidu搜霸依旧受到影响（MD5值没变，不过可能是在线更新未成功），强烈建议用户对此CLSID设置Killbit。
文章录入：admin    责任编辑：admin 
  • 上一篇文章：

  • 下一篇文章：
    • 【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】
    友情链接
    点击申请点击申请点击申请点击申请点击申请
    点击申请点击申请点击申请点击申请点击申请点击申请点击申请
    Copyright © 2006-2007 安全联盟, All Rights Reserved 站长：天