搜索

[10558] 2016-09-30_WIN10下ROP初体验

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-09-30_WIN10下ROP初体验 W I N 1 0 下 R O P 初 体 验 与 非 门 s a l o m e   F r e e B u f   2 0 1 6 - 0 9 - 3 0 *   本 文 原 创 作 者 ： 与 非 门 s a l o m e ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载               首 先 ， 在 首 先 ， 在 w i n d o w s 1 0 下 编 写 一 个 具 有 一 定 安 全 机 制 但 又 存 在 漏 洞 的 程 序 作 为 实 验 。 接 着 通 过 一 定 的 分 析 ， 编 写 出 能 够 成 功 反 下 编 写 一 个 具 有 一 定 安 全 机 制 但 又 存 在 漏 洞 的 程 序 作 为 实 验 。 接 着 通 过 一 定 的 分 析 ， 编 写 出 能 够 成 功 反 弹 弹 s h e l l 功 能 的 漏 洞 程 序 。 功 能 的 漏 洞 程 序 。                 值 得 说 明 一 下 的 是 ， 本 次 的 实 验 环 境 是 W i n d o w s 1 0   x 6 4 版 本 ， 漏 洞 程 序 为 3 2 位 程 序 ， 关 闭 g s 代 码 生 成 选 项 ( 以 便 去 除 干 扰 文 章 重 点 r o p 的 因 素 ) ， 开 启 D E P   ( 数 据 执 行 保 护 ) 。 首 先 需 要 说 明 几 个 概 念 以 及 本 文 的 意 义 。 D E P 基 本 可 以 理 解 为 让 能 够 执 行 代 码 的 内 存 区 域 执 行 指 令 ， 而 不 具 有 执 行 特 性 的 内 存 区 无 法 执 行 指 令 （ 硬 件 D E P 主 要 通 过 页 表 项 的 特 殊 位 来 指 示 ） ， 如 果 在 不 可 执 行 的 区 域 执 行 了 这 些 指 令 ， 那 么 便 会 抛 出 异 常 。 当 然 在 W i n d o w s 中 支 持 硬 件 D E P 的 话 ， 其 也 是 可 以 被 配 置 的 。 配 置 选 项 有 A l w a y s O n ， A l w a y s O f f ， O p t I n ， O p t O u t   。 在 M S D N 的 详 细 说 明 如 下 图 。 我 们 尝 试 将 普 通 的 s h e l l c o d e （ j m p   e s p 地 址 写 入 函 数 返 回 地 址 达 到 控 制 ） ， 确 实 我 们 转 入 了 s h e l l c o d e 的 布 置 空 间 ， 但 是 我 们 执 行 第 一 个 熟 悉 的 s h e l l c o d e ， 我 们 便 无 法 执 行 了 ， 理 所 当 然 ， 我 们 的 程 序 抛 出 了 异 常 。 由 于 上 述 安 全 机 制 的 存 在 ， 那 么 我 们 就 不 能 直 接 把 s h e l l c o d e 放 在 栈 种 控 制 程 序 的 流 程 。 所 以 我 们 需 要 一 些 手 段 。
本 文 中 将 会 展 示 本 文 中 将 会 展 示 2 类 方 法 绕 过 类 方 法 绕 过 D E P ， 但 其 核 心 都 是 ， 但 其 核 心 都 是 R O P ( 返 回 导 向 编 程 的 思 想 返 回 导 向 编 程 的 思 想 ) 。 。 先 不 急 ， 我 们 来 看 漏 洞 实 验 程 序 。 由 于 这 是 一 个 漏 洞 程 序 ， 我 们 直 接 看 存 在 栈 溢 出 漏 洞 的 程 序 ， 非 常 简 单 ， 一 个 有 限 空 间 的 栈 上 分 配 的 数 组 允 许 使 用 者 无 限 制 的 用 户 输 入 。 同 时 看 到 ， 这 里 的 坏 字 节 是 x 0 0 ， 所 以 我 们 的 漏 洞 利 用 代 码 不 能 存 在 x 0 0 的 字 节 。 这 里 我 们 开 始 一 种 漏 洞 利 用 程 序 的 分 析 及 编 写 。 攻 击 姿 势 攻 击 姿 势 1 ： ： 既 然 我 们 的 栈 中 的 数 据 不 能 被 作 为 指 令 来 被 执 行 ， 但 是 我 们 可 以 把 像 n t d l l . d l l , k e r n e l 3 2 . d l l 中 我 们 需 要 的 指 令 地 址 溢 出 并 填 充 到 栈 中 ， n t d l l . d l l 等 模 块 中 的 多 个 组 合 的 指 令 便 就 是 我 们 的 s h e l l c o d e 。 其 中 R O P 的 形 式 为   r e t n 结 尾 ， 以 便 能 够 在 栈 中 依 次 执 行 r o p   链 中 的 每 个 g a d g e t 。 现 在 我 们 期 望 通 过 溢 出 布 置 W i n E x e c 来 完 成 c a l c . e x e 的 执 行 。 我 们 的 大 致 从 低 地 址 到 高 地 址 栈 空 间 将 会 是 如 下 。 W i n E x e c E x i t T h r e a d 指 向 c a l c . e x e 位 置 0 × 0 1 0 1 0 1 0 1 r e t   a d d r e s s e x i t c o d e c a l c . e x e 0 x f f f f f f f f W i n E x e c 的 第 一 个 参 数 指 向 栈 高 位 置 的 c a l c . e x e ， 因 为 如 果 放 在 相 对 存 放 W i n E x e c 地 址 栈 位 置 的 低 地 址 的 话 ， W i n E x e c 里 的 流 程 可 能 就 会 把 c a l c . e x e   冲 刷 掉 ， 那 么 我 们 本 期 望 指 向 c a l c . e x e 的 指 针 指 向 不 可 预 知 的 内 容 ， 那 么 W i n E x e c 将 会 失 败 。 另 外 , c a l c . e x e 后 跟 的 0 x f f f f f f f f 的 意 义 是 x 0 0 是 坏 字 节 ， 我 们 不 能 在 s h e l l c o d e 中 存 在 x 0 0 ， 而 我 们 的 c a l c . e x e 字 符 串 必 须 后 跟 随 一 个 x 0 0 作 为 结 束 符 。 那 么 紧 跟 在 上 述 栈 结 构 的 位 置 后 面 的 是 修 正 参 数 的 一 些 指 令 。
使 用 W i n D b g 中 的 p y t h o n 插 件 m o n a 生 成 一 些 关 于 r o p 有 用 的 信 息 ， 命 令 的 使 用 方 法 是 先 设 置 生 成 后 文 件 的 存 放 位 置 ， 如 ! p y   m o n a   c o n f i g   - s e t   w o r k i n g f o l d e r   ”   你 希 望 的 位 置 ” ， 再 使 用 命 令 ! p y   m o n a   r o p   - m   k e r n e l 3 2 . d l l , n t d l l . d l l , m s v c r 1 2 0 . d l l 即 在 这 3 个 指 定 的 加 载 模 块 中 搜 索 对 r o p 有 用 的 指 令 。 由 于 修 正 s h e l l c o d e 的 l o a d e r 位 于 前 面 讨 论 的 结 构 的 下 方 ， 而 且 那 个 栈 位 置 布 置 占 9 个 栈 空 间 ， 那 我 们 需 要 9 * 4 字 节 （ 3 2 位 漏 洞 程 序 每 个 栈 位 置 占 用 的 空 间 大 小 ） = 0 x         2 4   字 节 的 调 整 。 我 们 打 开 之 前 在 m o n a 工 作 目 录 下 的 s t a c k p i v o t . t x t 。 但 是 发 现 没 有 直 接 a d d   e s p , 0 × 2 4   r e t n 的 ， 所 以 选 择 导 致 栈 位 置 调 整 0 × 2 8 的 a d d   e s p , 0 × 2 4   p o p   e b p   r e t n 。 其 在 M S V C R 1 2 0 . d l l 中 ， 位 置 为 M S V C R 1 2 0   b a s e + 0 x 4 7 6 c 6 中 。 这 个 s t a c k p i v o t 操 作 对 应 在 W i n E x e c - R O P 的 低 位 置 。 然 后 我 们 开 始 了 解 一 下 W i n E x e c 和 E x i t T h r e a d   的 R V A 信 息 。 W i n E x e c 位 于 k e r n e l 3 2 . d l l ， 将 其 拖 入 d e p e n d s 工 具 中 。 通 过 d e p e n d s 工 具 查 看 k e r n e l 3 2 . d l l + 0 x 3 f f 7 0 的 位 置 处 。 E x i t T h r e a d 位 于 k e r n e l 3 2 . d l l 中 ， 但 是 该 工 具 中 发 现 其 对 应 n t d l l . d l l 中 的 R t l E x i t U s e r T h r e a d ， 也 就 是 n t d l l   b a s e + 0 x 6 8 1 b 0 。 现 在 再 来 回 头 看 看 之 前 描 述 结 构 对 应 的 实 体 信 息 。 根 据 之 前 的 分 析 ， 运 行 了 第 一 个 语 句 后 ， 将 会 运 行 到 在 栈 中 定 位 到 0 x f f f f f f f f （ a d d   e s p , 0 × 2 4   p o p   e b p   r e t n 对 应 p o p 到 e b p 的 值 ） 后 的 一 个 地 址 进 行 r e t n 。 在 这 里 我 们 先 完 成 修 正 c a l c . e x e 字 符 串 后 的 x 0 0 的 工 作 。 其 中 ， 对 应 的 工 作 就 是 得 到 当 前 的 栈 地 址 （ 每 次 运 行 时 的 栈 位 置 各 不 相 同 ） ， 再 根 据 该 栈 位 置 向 低 地 址 调 整 到 需 要 被 修 改 为 0 的 0 x f f f f f f f 地 址 处 。 所 以 我 们 需 要 类 似 p u s h   e s p ， p o p   r e g 3 2 类 型 的 指 令 。
我 们 在 生 成 的 r o p _ s u g g e s t i o n . t x t 中 我 们 看 到 如 下 几 类 指 令 （ 使 用 m o v e         e s p   - > 搜 索 ） 。 我 们 先 点 击 m o v e   e s p - > e a x 处 查 看 一 下 对 应 指 令 的 具 体 情 况 ， 我 们 截 取 了 一 小 部 分 ， 可 以 发 现 并 不 适 用 ， 因 为 e a x 和 e s p 交 换 了 之 后 ， e a x 的 不 确 定 性 可 能 导 致 程 序 崩 溃 。 同 样 地 ， m o v e   e s p - > e s i 对 应 如 下 ， 以 不 确 定 的 寄 存 器 值 作 为 寻 址 的 决 定 因 素 是 不 可 靠 的 ， 只 能 放 弃 。 经 过 一 系 列 的 排 查 后 ， 发 现 少 数 能 使 用 的 语 句 如 下 ： 如 当 使 用 第 2 个 时 ， 则 不 会 存 在 访 问 违 例 的 问 题 。 但 是 m o v   e s p , e b p 则 需 要 保 证 e b p 的 有 效 性 ， 而 在 前 面 选 择 s t a c k p i v o t 时 ， 我 们 选 择 了 a d d   e s p , 0 × 2 4   p o p   e b p 完 成 了 栈 位 置 的 跳 跃 ， p o p   e b p 我 们 由 于 不 知 道 在 对 应 栈 的 位 置 给 e b p 设 置 成 什 么 值 来 匹 配 而 设 置 成 了 0 x f f f f f f f f 。 这 也 就 违 反 了 使 用 p u s h   e s p , x o r   e a x , e a x … … r e t n 的 m o v   e s p , e b p 问 题 。 所 以 我 们 对 前 面 的 栈 跳 跃 换 选 其 他 指 令 。 我 们 尝 试 替 换 成 如 下 。 但 是 ， 注 意 到 m o v e   e s p - > e d i 的 过 程 中 ， r e t n   后 e s p 会 进 入 e b p + 4 的 位 置 也 就 是 s t a c k p i v o t 的 位 置 ， 而 这 里 e b p 我 们 同 样 无 法 正 确 设 置 （ 溢 出 后 的 e b p 位 置 总 是 被 我 们 的 内 容 覆 盖 ） 。
所 以 我 们 还 得 不 断 替 换 现 在 的 这 个 指 令 。 继 而 选 择 m o v e   e s p - > e d x 类 型 的 g a d g e t 。 我 们 现 在 尝 试 把 e a x 设 置 为 为 一 个 有 效 地 址 。 使 用 这 个 g a d g e t 时 ， 注 意 需 要 在 r e t n   a d d r e s s 前 设 置 好 p o p   e b p 的 位 置 。 我 们 这 里 在 运 行 时 输 入 ！ d h   k e r n e l 3 2 ， 以 查 看 其 p e 头 部 信 息 ， 因 为 m o v   [ e a x ] , a l 代 表 了 需 要 该 e b p 位 置 需 要 可 写 （ 存 在 一 处 e b p   e a x 交 换 的 指 令 ， 而 e b p 我 们 可 控 ， 那 么 我 们 就 能 控 制 e a x 内 容 指 向 地 址 的 可 写 性 质 ） 。 通 过 输 入 ！ d h   模 块 名 的 命 令 ， 可 以 看 到 . d a t a 段 使 具 有 可 写 属 性 的 。 所 以 设 置 k e r n e l 3 2 . d l l 的 偏 移 0 x b 0 0 0 0 处 。 但 是 x 0 0 是 一 个 坏 字 节 ， 相 应 做 一 些 修 改 即 可 （ 如 0 x b 0 1 0 1 也 在 . d a t a 段 范 围 内 ） 。 现 在 经 过 这 些 处 理 ， 这 里 g a d g e t 使 用 的 a d d   b y t e   p t r [ e a x ] , a l 便 不 会 导 致 访 问 违 例 的 异 常 了 。 由 于 现 在 e d x 已 经 指 向 当 前 g a d g e t 的 后 4 字 节 位 置 ， 所 以 还 需 要 让 e d x 向 低 地 址 移 动 。 可 是 我 们 搜 索 带 有 s u b   e d x , i m m   类 型 的 指 令 并 没 有 。 只 有 s u b   e a x , i m m 的 类 型 。 所 以 我 们 尝 试 将 指 向 h e r e 的 e d x 设 置 到 e a x 中 。 由 于 e a x 当 前 还 和 需 要 调 整 的 c a l c . e x e 结 尾 的 0 x f f f f f f f f 相 差 6 * 4 的 距 离 。 所 以 使 用 S U B   E A X , 0 × 1 6   R E T N 和 7 次 S U B   E A X , 2   P O P   E B P   R E T N 组 合 调 整 到 该 位 置 。 现 在 我 们 目 标 将 该 d w o r d 大 小 的 地 址 的 低 字 节 设 置 为 0 ， 我 们 在 r o p . t x t 里 搜 索 m o v   d w o r d   p t r [ e a x ] 的 g a d g e t 看 看 结 果 如 何 ？ 我 们 看 到 了 一 个 m o v   d w o r d   p t r   [ e a x ] , 0 x b 5 0 0 0 0 0 0 的 指 令 感 兴 趣 。 只 要 低 字 节 为 0 即 可 。 其 位 于 n t d l l + 0 x 1 9 6 c b 处 。 至 此 ， 我 们 完 成 了 修 正 r o p 链 的 第 一 步 。 现 在 我 们 进 入 第 二 步 ， 将 现 在 我 们 进 入 第 二 步 ， 将 W i n E x e c 的 参 数 的 参 数 1 指 向 指 向 c a l c . e x e 。 。 别 忘 了 ， 我 们 现 在 的 e a x 位 于 c a l c . e x e + 0 × 8 处 哦 。 由 于 前 面 看 到 只 有 e a x 可 以 进 行 s u b 调 整 ， 所 以 我 们 将 当 前 e a x 存 储 到 其 他 寄 存 器 中 ， 并 将 e a x 调 整 到 c a l c . e x e 的 起 始 位 置 。 我 们 使 用 下 图 的 g a d g e t 将 e a x 存 储 到 e c x 中 。 现 在 我 们 进 入 第 二 步 ， 将 W i n E x e c 的 参 数 1 指 向 c a l c . e x e 。 别 忘 了 ， 我 们 现 在 的 e a x 位 于 c a l c . e x e + 0 × 8 处 哦 。 由 于 前 面 看 到 只 有 e a x 可 以 进 行 s u b 调 整 ， 所 以 我 们 将 当 前 e a x 存 储 到 其 他 寄 存 器 中 ， 并 将 e a x 调 整 到 c a l c . e x e 的 起 始 位 置 。 我 们 使 用 下 图 的 g a d g e t 将 e a x 存 储 到 e c x 中 。   其 位 于 n t d l l . d l l 的 0 × 2 1 1 1 0 处 。 之 后 ， 我 们 将 e a x 向 低 地 址 推 进 8 个 字 节 的 距 离 。 我 们 依 旧 选 取 之 前 使 用 过 的 g a d g e t （ #   S U B   E A X , 2   #   P O
P   E B P   #   R E T N ） 。 e c x 在 被 设 置 为 e a x 原 值 后 和 W i n E x e c 所 需 的 _ s t d c a l l 参 数 1 位 置 相 差 0 x c 。 我 们 理 想 中 的 g a d g e t 为 m o v   [ e c x + 0 c h ] , e a x   r e t n 类 型 的 。 非 常 幸 运 ， 我 们 在 n t d l l 中 找 到 了 这 个 g a d g e t 。 接 着 最 后 一 步 我 们 需 要 调 整 e s p 使 其 进 入 W i n E x e c 的 流 程 。 我 们 输 入 正 则 表 达 式 m o v   e s p , ( ? ! e b p ) 来 匹 配 直 接 对 e s p 值 设 置 的 指 令 （ 由 于 m o v   e s p , e b p 的 指 令 会 很 多 ） 。 简 单 地 发 现 了 ， n t d l l . d l l 中 存 在 m o v   e s p , e b x   p o p   e b x   r e t n 。 这 也 就 需 要 e b x 在 W i n E x e c - 0 × 4 位 置 处 才 行 。 依 据 这 些 ， 我 们 寄 希 望 e b x ， 能 通 过 e a x 交 换 到 e b x （ 因 为 能 方 便 加 减 的 寄 存 器 为 e a x ） ， 所 以 我 们 尝 试 搜 索 ， x c h g   e a x , e b x   m o v   e b x , e a x 等 。 我 们 看 到 了 如 下 的 结 果 。 比 如 针 对 前 2 条 我 们 看 到 了 m o v   e s p , e b p 的 指 令 ， 之 前 由 于 一 些 g a d g e t 存 在 p o p   e b p ， 导 致 垃 圾 数 据 被 填 充 到 了 e b p 中 。 又 如 倒 数 第 2 句 ， e b x 必 然 不 为 - 2 所 以 导 致 肯 定 会 跳 转 导 致 崩 溃 。 所 以 ， 我 们 在 文 本 编 辑 器 中 继 续 输 入 正 则 表 达 式 x c h g   ( . * ? ) , e s p 时 发 现 了 直 接 将 e a x ， 设 置 到 e s p 的 指 令 。 位 于 n t d l l 偏 移 0 x 9 1 6 c 9 。 这 下 好 办 了 ， 我 们 在 最 下 方 部 署 g a d g e t 1 : 调 整 e a x 到 r o p 链 中 的 W i n E x e c 类 似 a d d   e s p , x x ； g a d g e t 2 : 设 置 e a x 到 e s p 如 x c h g   e a x , e s p 。 便 成 功 异 常 绕 过 d e p 并 通 过 r o p 弹 出 了 计 算 器 。 攻 击 姿 势 攻 击 姿 势 2 : 绕 过 D E P 的 方 式 各 版 本 系 统 有 V i r t u a l P r o t e c t 设 置 s h e l l c o d e 所 在 内 存 页 面 为 可 执 行 ； 使 用 V i r t u a l A l l o c 存 在 执 行 权 限 的 内 存 页 ； 使 用 H e a p C r e a t e + H e a p A l l o c 分 配 有 执 行 权 限 的 堆 。 而 如 一 些 其 他 的 公 布 的 绕 过 方 式 中 ， 有 些 方 式 的 限 制 较 多 。 如 S e t P r o c e s s D E P P o l i c y 设 置 当 前 进 程 的 限 制 仅 能 为 3 2 b i t 的 程 序 且 系 统 D E P 选 项 不 能 为 A l w a y s O n 以 及 调 用 过 S e t P r o c e s s D E P P o l i c y 的 程 序 。
如 N t S e t I n f o r m a t i o n P r o c e s s 同 样 对 A l w a y s O n 的 无 效 以 及 对 N t S e t I n f o r m a t i o n P r o c e s s 调 用 过 的 程 序 无 效 。 对 于 使 用 V i r t u a l P r o t e c t 的 情 况 ， 我 们 只 需 要 对 s h e l l c o d e 范 围 内 的 地 址 设 置 为 0 × 4 0 ( P A G E _ E X E C U T E _ R E A D W R I T E ) 便 可 以 使 用 之 前 的 方 式 调 用 s h e l l c o d e 了 。 在 生 成 的 r o p _ c h a i n . t x t 可 以 看 到 p y t h o n 版 的 V i r t u a l P r o t e c t 的 绕 过 实 现 。 现 在 ， 我 们 开 始 对 这 个 自 动 生 成 的 s h e l l c o d e 进 行 改 造 ， 因 为 它 包 含 了 一 些 空 字 节 以 及 未 使 用 b a s e + r v a 的 表 示 方 式 导 致 了 A S L R 被 允 许 的 情 况 下 的 无 法 运 行 。 可 以 观 察 到 最 后 第 二 句 为 p u s h a d   r e t n 的 指 令 ， 这 里 我 们 补 充 一 下 P U S H A D / P O P A D 将 E A X   E C X   E D X   E B X   E S P ( 该 指 令 执 行 之 前 的 初 始 值 )   E B P   E S I   E D I 分 别 出 入 堆 栈 。 所 以 大 致 上 这 个 r o p   c h a i n 的 做 法 是 设 置 好 对 应 寄 存 器 在 压 栈 时 位 置 对 应 的 参 数 和 地 址 p u s h a d   r e t n 以 进 入 V i r t u a l   P r o t e c t 将 s h e l l c o d e 范 围 设 置 为 可 执 行 ， 之 后 直 接 跳 入 s h e l l c o d e 中 。 e d i   n o p   r e t n 的 地 址 e s i   j m p   [ e a x ] 的 地 址 e b p   p o p   r e t n 的 地 址 e s p   L p A d d r e s s e b x   d w S i z e e d x   N e w P r o t e c t e c x   l p O l d P r o t e c t e a x   d l l 中 存 放 V i r t u a l P r o t e c t 的 i a t j m p   e s p 的 地 址 第 一 步 使 e b p 指 向 p o p   r e t n 的 指 令 搜 索 #   p o p   e b p   #   r e t n 。 设 置 完 e b p - > p o p   r e t n 后 ， 我 们 开 始 设 置 e b x 为 0 × 4 0 0 ， 即 V i r t u a l P r o t e c t 的 d w s i z e 为 0 × 4 0 0 ( 1 k ) 大 小 。 由 于 存 在 本 程 序 的 坏 字 节 0 × 4 0 0 ， 我 们 构 造 2 个 相 加 为 0 × 4 0 0 的 数 这 里 我 们 使 用 0 x 1 1 1 1 2 2 1 f 和 0 x e e e e e 1 e 1 ， 分 别 通 过 如 p o p   e b x , r e t n 等 设
置 到 e b x 和 e c x 后 转 入 a d d   e b x , e c x   r e t n 。 使 用 相 同 的 办 法 我 们 使 得 e d x （ N e w P r o t e c t ） 为 0 × 0 0 0 0 0 0 4 0 。 只 是 需 要 注 意 我 们 相 加 使 用 e d x 和 另 外 的 一 个 寄 存 器 ， e b p , e b x 都 使 用 过 了 我 们 需 要 选 择 其 他 的 。 这 里 我 们 输 入 正 则 表 达 式 a d d   e d x , e S S   # r e t n 的 指 令   发 现 只 有 较 少 的 指 令 与 e d x 有 相 加 的 操 作 ， 并 且 普 遍 都 是 e d i 寄 存 器 。 对 于 e c x 需 要 设 置 为 填 充 l p O l d P r o t e c t 即 o u t   原 先 保 护 熟 悉 的 地 址 。 我 们 这 里 设 置 一 个 可 写 的 地 址 即 可 。 即 k e r n e l 3 2 . d l l + 0 x b 0 b 3 8 处 。 通 过 w i n d b g 使 用 ! d h   k e r n e l 3 2 命 令 看 到 其 实 这 里 就 是 一 个 . d a t a 段 的 地 址 ， 确 实 可 写 。 现 在 我 们 让 e s i 指 向 j m p   [ e a x ] ， 其 位 于 n t d l l . d l l 偏 移 0 x 0 0 0 4 2 c d e ， 注 意 这 里 的 e a x 会 指 向 某 个 模 块 中 v i r t u a l p r o t e c t （ K E R N E L B A S E . d l l ） 的 I A T 。 最 后 我 们 需 要 布 置 l p a d d r e s s 对 应 的 e s p 由 于 我 们 需 要 设 置 的 是 栈 中 可 能 动 态 变 化 的 s h e l l c o d e 的 位 置 。 比 较 技 巧 的 是 ， 由 于 e s p 提 供 l p a d d r e s s ， 在 p u s h a d   r e t n 后 对 应 v i r t u a l p r o t e c t 也 将 会 在 附 近 。 所 以 无 需 我 们 手 工 再 次 专 门 设 置 e s p 。 最 后 的 成 功 溢 出 执 行 代 码 的 效 果 便 是 连 接 本 地 的 1 5 1 4 端 口 反 向 s h e l l 。 本 次 实 验 测 试 内 容 包 括 漏 洞 程 序 工 程 、 2 类 漏 洞 编 写 程 序 工 程 等 （ 系 统 版 本 不 同 可 能 需 要 自 行 修 改 漏 洞 利 用 程 序 中 的 部 分 编 码 才 能 成 功 运 行 ） 。 内 容 可 以 通 过 链 接 ： h t t p : / / p a n . b a i d u . c o m / s / 1 p L s 6 m 2 v ， 密 码 ： p 5 u m 进 行 下 载 。 *   本 文 原 创 作 者 ： 与 非 门 s a l o m e ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载    
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理