Multiple Vulnerabilities in ntpd (April 2015) Affecting Cisco Products(CVE-2015-1798分析)

CVE-2015-1798分析

Multiple Vulnerabilities in ntpd (April 2015) Affecting Cisco Products

漏洞链接:http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150408-ntpd
从CISCO固件中提取c7200-adventerprisek9-mz.152-4.M8中提取C7200-AD.BIN文件,并把e_machine标记为0x08(MIPS指令)。
我们先看一下官方描述,可以知道是在NTP封包数据中处理中出现了问题。

1

我们首先找到我们要分析的关键函数ntp_receive,开始代码逆向。如果利用ntp.org的代码进行修改,整个过程就会变得事半功倍。尤其在数据结构方面,对代码逆向起到至关重要的作用。

2

逆向完成后,我们对比代码,发现主要区别在这个位置:

3

我们再来看一下汇编代码:

4

红色方框中的代码不相同,紫色方框中的代码的相同。

我们再来对比一下NTP.ORG的官方源代码(4.2.8p1和4.2.8p2):

5

当我们构造数据包的时候,把MAC数据去掉,也可以通过验证。

发表评论

电子邮件地址不会被公开。 必填项已用*标注