当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-025164

漏洞标题：QQ2013最新版远程拒绝服务漏洞

相关厂商：腾讯

漏洞作者： nine8

提交时间：2013-06-05 10:44

修复时间：2013-09-03 10:44

公开时间：2013-09-03 10:44

漏洞类型：拒绝服务

危害等级：中

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-06-05： 细节已通知厂商并且等待厂商处理中
2013-06-05： 厂商已经确认，细节仅向厂商公开
2013-06-08： 细节向第三方安全合作伙伴开放
2013-07-30： 细节向核心白帽子及相关领域专家公开
2013-08-09： 细节向普通白帽子公开
2013-08-19： 细节向实习白帽子公开
2013-09-03： 细节向公众公开

简要描述：

QQ2013最新版存在一处远程拒绝服务漏洞。TSRC审核二进制客户端的自己都不懂，拿什么审核别人。
QQ2013是腾讯公司开发的知名即时通讯软件QQ系列的最新版本，进行了更多细节上的优化，最早测试版本于2012年11月09日上线。

详细说明：

QQ2013用户登陆后，common.dll模块会创建命名管道，问题出在连接后，被释放，会尝试往内核地址写1，导致Write Acess Violation，引起远程拒绝服务。
IDA for Common.dll (数字签名时间2013年5月13日)

.text:300CEFF2                                         ; sub_300CEEB4+4Dj ...
.text:300CEFF2                 push    [ebp+hObject]   ; hFile
.text:300CEFF5                 call    ds:FlushFileBuffers
.text:300CEFFB                 push    [ebp+hObject]   ; hNamedPipe
.text:300CEFFE                 call    ds:DisconnectNamedPipe
.text:300CF004                 push    [ebp+hObject]   ; hObject
.text:300CF007                 call    ds:CloseHandle
.text:300CF00D                 cmp     [ebp+var_8], ebx
.text:300CF010                 jnz     short loc_300CF022
.text:300CF012                 mov     ecx, [ebp+var_C] ; void *
.text:300CF015                 cmp     ecx, ebx
.text:300CF017                 jz      short loc_300CF02C
.text:300CF019                 push    1               ; char
.text:300CF01B                 call    sub_300CC1A3
.text:300CF020                 jmp     short loc_300CF02C
.text:300CF022 ; ---------------------------------------------------------------------------
.text:300CF022
.text:300CF022 loc_300CF022:                           ; CODE XREF: sub_300CEEB4+15Cj
.text:300CF022                 mov     eax, [ebp+var_C]
.text:300CF025                 mov     dword ptr [eax+18h], 1 ; <-- !!!
.text:300CF02C
.text:300CF02C loc_300CF02C:                           ; CODE XREF: sub_300CEEB4+163j
.text:300CF02C                                         ; sub_300CEEB4+16Cj


漏洞证明：

录了个视频，不知道传哪？
懂的人，根绝描述，很容易写出稳定的远程拒绝服务的POC/EXP，攻击条件，知道IP, QQ号，开个共享文件夹即可。
crash info

Microsoft Windows XP Service Pack 3 [Build 5.1.2600]
CPU:         Intel(R) Core(TM) i3-2120 CPU @ 3.30GHz
QQ 0.00.26183  2D5902422F77DC3E77DA8599FDB31085
----------------------------------------
Type: EXCEPTION_ACCESS_VIOLATION
Error: Write address 0x806D3C4D
Address: 300CF025
CallStack:
0x30000000[CF025] Common.dll: (0000093C,0262FC70,00160000,0559DF08)
Regs:
EAX=806D3C35, EBX=00000000, ECX=0A63FF7C, EDX=7C92E4F4
ESI=00064000, EDI=0505E580, EBP=0A63FFB4, ESP=0A63FF94, EIP=300CF025
DWORDs at CS:EIP:
011840C7 5F000000 405EC033 04C2C95B B80C6A00 3013CDD7 05F6F5E8 8DFF3300 
pid=000004E0 init_tid=00000B74 crashtid=00000CAC
DWORDs at teb:
0A63F6B8 0A640000 0A63D000 00000000 00001E00 00000000 7FF83000 00000000 000004E0 00000CAC 00000000 00000000 7FFDB000 00000000 00000000 00000000 00000000


xxx.png


QQ2013在启动登陆后，其Common.dll默块会创建命名管道 QQ_qq号码_pipe的命名管道，可以远程打开，问题出在打开关闭后，调用DisconnectNamedPipe，判断返回值后，会跳转一分支，会尝试往非法的内核地址写1，导致Write Acess Violation，引起远程拒绝服务。
利用场景：
知道对方IP和QQ号码，对方开放文件共享即可，通过远程连接被攻击者的命名管道，然后断开命名管道的连接即可触发问题，使对方的QQ瞬间crash掉，安全软件、防火墙均无法防护，非常稳定。
接打开命名管道，然后sleep几秒ExitProcess即可。很好写。

修复方案：

。

版权声明：转载请注明来源 nine8@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2013-06-05 14:11

厂商回复：

感谢反馈，已经在修复中……

最新状态：

暂无

漏洞评价：

评论

  1. 2013-06-05 10:48 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    霸气的描述。。TSRC的一些技术员，技术好不好不知道，但是思维方式真心不敢恭维。

  2. 2013-06-05 15:05 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    @鬼魅羊羔 一些明明是漏洞的 非要说是bug 搞的我提交好多个都忽略 很无语

  3. 2013-06-06 09:11 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @鬼魅羊羔 描述确实很霸气……