搜索

[14049] 2019-04-30_缓冲区溢出实战教程系列（三）：利用OllyDbg了解程序运行机制

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-04-30_缓冲区溢出实战教程系列（三）：利用OllyDbg了解程序运行机制 缓 冲 区 溢 出 实 战 教 程 系 列 （ 三 ） ： 利 用 O l l y D b g 了 解 程 序 运 行 机 制 k a l i k i n g   F r e e B u f   2 0 1 9 - 0 4 - 3 0 想 要 进 行 缓 冲 区 溢 出 的 分 析 与 利 用 ， 当 然 就 要 懂 得 程 序 运 行 的 机 制 。 今 天 我 们 就 用 动 态 分 析 神 器 想 要 进 行 缓 冲 区 溢 出 的 分 析 与 利 用 ， 当 然 就 要 懂 得 程 序 运 行 的 机 制 。 今 天 我 们 就 用 动 态 分 析 神 器 o l l y d b g 来 了 解 来 了 解 一 下 在 一 下 在 w i n d o w s 下 程 序 是 如 何 运 行 的 。 下 程 序 是 如 何 运 行 的 。 戳 这 里 看 之 前 发 布 的 文 章 ： 戳 这 里 看 之 前 发 布 的 文 章 ： 缓 冲 区 溢 出 实 战 教 程 系 列 （ 一 ） ： 第 一 个 缓 冲 区 溢 出 小 程 序 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 9 5 6 1 4 . h t m l 缓 冲 区 溢 出 实 战 教 程 系 列 （ 二 ） ： d e v   c + + 编 译 汇 编 代 码 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 9 7 1 1 6 . h t m l 0 x 0 0   O D 基 本 介 绍 及 用 法 1 .   O D 界 面 界 面 我 们 将 程 序 拖 入 O D 中 ， 会 出 现 如 下 界 面 ， 在 这 里 我 分 为 四 个 主 要 区 块 ， 分 别 是 汇 编 代 码 窗 口 、 寄 存 器 窗 口 、 二 进 制 窗 口 、 堆 栈 窗 口 。 当 然 也 有 分 为 五 个 区 块 的 ， 但 没 有 太 大 区 别 。 接 下 来 我 给 大 家 讲 讲 有 个 基 本 概 念 。 等 下 在 程 序 分 析 里 给 大 家 具 体 做 讲 解 。 2 .   O D 常 用 操 作 F 2 ： 设 置 断 点 F 4 与 F 9 ： F 4 是 运 行 到 光 标 位 置 ， F 9 是 运 行 到 断 点 处 F 7 与 F 8 ： F 7 是 单 步 步 入 ， F 8 是 单 步 步 进 C t r l + F 9 ： 是 从 F 7 步 入 的 代 码 段 中 返 回 之 前 代 码 段
0 x 0 1   寻 找 程 序 入 口 寻 找 程 序 入 口 1 .   程 序 介 绍 程 序 介 绍 今 天 拿 M e s s a g e B o x 的 代 码 为 例 ， 先 贴 出 代 码 ： 可 以 看 出 这 是 一 个 非 常 简 单 的 弹 出 提 示 框 的 代 码 ， 只 有 5 行 代 码 。 但 麻 雀 虽 小 五 脏 俱 全 ， 通 过 一 个 小 程 序 我 们 更 容 易 理 解 程 序 的 基 本 运 行 原 理 。 2 .   O D 分 析 程 序 起 点 分 析 程 序 起 点 将 程 序 拖 入 到 O D ： # i n c l u d e < w i n d o w s . h > i n t   m a i n ( ) {         M e s s a g e B o x ( 0 , " Y o u   h a v e   b e e n   h a c k e d " , " w a r n i n g " , 0 ) ;         r e t u r n   0 ; }
我 们 会 看 到 程 序 停 在 了 0 x 0 0 4 0 1 4 E 0 的 位 置 ， 但 这 不 是 程 序 真 正 的 入 口 。 通 常 用 O l l y D B G 打 开 一 个 程 序 之 后 ， 并 没 有 直 接 跳 到 程 序 主 函 数 入 口 地 址 ， 而 是 在 进 行 一 些 初 始 化 工 作 。 这 个 我 们 暂 时 不 用 管 我 们 这 里 只 要 找 到 主 程 序 入 口 就 好 。 一 般 用 O l l y D B G 打 开 程 序 的 时 候 ， 并 不 是 直 接 定 位 到 程 序 入 口 ， 而 是 还 要 先 进 行 一 系 列 的 初 始 化 工 作 ， 但 做 这 些 工 作 的 反 汇 编 代 码 我 们 是 不 需 要 的 ， 所 以 我 们 要 快 速 跳   过 ， 直 接 到 程 序 入 口 。 3 .   程 序 真 正 入 口 点 程 序 真 正 入 口 点 找 程 序 入 口 呢 一 个 是 凭 经 验 一 路 F 8 ， 还 有 一 个 就 是 借 助 工 具 ， 今 天 跟 大 家 说 一 下 利 用 I D A 找 程 序 入 口 。 在 I D A 中 打 开 程 序 ， 在 左 侧 栏 中 找 到 _ m a i n , 点 击 右 侧 代 码 栏 第 一 行 ， 看 底 下 的 地 址 就 好 了 。 我 们 记 住 入 口 地 址 就 好 。 m a i n 函 数 地 址 是 0 x 0 0 4 0 1 5 0 0 。 我 们 回 到 O D ， 右 键 g o t o - e x p r e s s i o n 跳 转 到 m a i n 函 数 所 在 位 置 。
我 们 按 F 2 在 这 设 个 断 点 ， 接 下 来 我 们 要 用 到 。 0 x 0 3   主 函 数 运 行 过 程 主 函 数 运 行 过 程 我 们 在 0 x 4 0 1 5 0 0 处 下 好 断 点 ， 按 F 9 运 行 到 断 点 处 。 当 我 们 看 见 地 址 的 字 成 红 色 背 景 变 为 黑 色 时 ， 就 说 明 程 序 已 经 运 行 到 我 们 的 断 点 处 了 。
找 到 主 函 数 我 们 今 天 的 任 务 就 完 成 一 半 了 ， 我 们 先 分 析 一 下 主 函 数 运 行 的 过 程 ， 其 实 主 函 数 运 行 过 程 也 是 压 栈 弹 栈 的 过 程 ， 只 是 这 个 过 程 与 我 们 直 接 调 用 M a s s a g e B o x 的 堆 栈 调 用 略 有 不 同 ， 为 了 方 便 理 解 先 看 一 下 下 面 的 小 知 识 点 。 栈 顶 （ e s p ） ： 栈 的 低 址 ， 就 是 栈 空 间 地 址 小 的 一 端 栈 顶 （ e b p ） ： 栈 的 高 址 ， 就 是 栈 空 间 地 址 较 大 的 一 端 栈 空 间 的 增 长 ： 由 高 地 址 向 低 地 址 增 长 （ e b p — > e s p ） 好 让 我 们 继 续 ， 先 F 8 运 行 到 0 x 4 0 1 5 0 B 。 这 时 我 们 要 观 察 一 下 现 在 栈 顶 和 栈 底 的 情 况 这 时 候 e s p 栈 顶 是 0 x 2 8 F E B 8 ， e b p 栈 底 是 0 x 2 8 F F 8 8 。
继 续 F 8 两 次 ， 这 里 就 出 现 了 与 调 用 函 数 不 同 的 地 方 ， 这 里 指 令 S U B   E S P , 1 4 是 让 e s p 直 接 减 1 4 的 意 思 ， 我 们 现 在 的 e s p 是 0 x 2 8 F E B 4 。
果 断 打 开 计 算 器 0 x 2 8 F E B 4 - 0 x 1 4 = 0 x 2 8 F E A 0 ， 那 说 明 我 执 行 完 这 个 指 令 过 后 e s p 的 值 就 应 该 是 0 x 2 8 F E A 0 。 让 我 们 F 8 验 证 一 下 ， 果 然 不 出 所 料 ， 目 前 栈 顶 的 位 置 就 是   0 x 2 8 F E A 0 。 记 住 这 里 都 是 1 6 进 制 的 运 算 所 以 0 x 1 4 是 1 0 进 制 的 2 0 ， 而 每 个 地 址 相 差 4 ， 也 就 是 栈 顶 到 栈 底 一 下 子 多 了 5 个 地 址 ， 但 没 有 赋 值 ， 这 里 也 就 是 跟 我 们 平 时 说 的 压 栈 的 方 式 不 一 样 的 地 方 。 一 般 而 言 压 栈 是 一 个 一 个 从 高 址 向 低 址 入 栈 。 这 里 我 先 把 它 称 为 开 辟 栈 空 间 然 后 赋 值 吧 。
继 续 F 8 ， 不 过 这 时 我 们 要 观 察 开 辟 出 的 5 个 地 址 值 得 变 化 ， 我 们 先 截 图 记 录 一 下 ： 当 我 们 运 行 过 C A L L   0 0 4 0 1 E A 0 时 发 现 这 五 个 地 址 的 值 没 有 变 化 。 当 我 们 运 行 过 M O V   D W O R D   P T R   S S : [ L O C A L . 4 ] , 0 时 我 们 发 现 0 x 2 8 F E A C 的 值 变 成 了 0 。 接 着 运 行 M O V   D W O R D   P T R   S S : [ L O C A L . 5 ] , O F F S E T   0 x 4 0 4 0 0 0   ， 这 时 0 x 2 8 F E A 8 的 值 变 成 了 0 x 4 0 4 0 0 0 。 接 着 运 行   M O V   D W O R D   P T R   S S : [ L O C A L . 6 ] , O F F S E T   0 x 4 0 4 0 0 8 ， 这 时 0 x 2 8 F E A 4 的 值 变 成 了 0 x 4 0 4 0 0 8 。 接 着 运 行   M O V   D W O R D   P T R   S S : [ L O C A L . 7 ] , 0   ， 这 时 我 们 的 e s p 变 成 了 0 。 这 些 就 是 主 函 数 中 在 运 行 M a s s a g e B o x 之 前 栈 中 的 变 化 ， 只 不 过 这 里 是 利 用 e s p - 1 4 的 方 法 先 开 辟 了 个 空 间 然 后 再 入 栈 。 这 里 再 补 充 一 下 0 x 4 0 4 0 0 0 和 0 x 4 0 4 0 0 8   是 什 么 ， 其 实 在 截 图 里 我 们 已 经 看 到 O D 已 经 给 出 了 ， 它 们 分 别 代 表 w a r n i n g 和 Y o u   h a v e   b e e n   h a c k e d 。 那 它 们 是 怎 么 来 的 呢 ？ 其 实 我 们 在 程 序 编 译 的 时 候 已 经 把 这 些 变 量 集 中 放 到 了 数 据 段 ， 这 涉 及 到 P E 结 构 了 ， 大 家 目 前 理 解 为 变 量 值 集 中 存 放 的 地 方 。 好 我 们 验 证 一 下 ， 在 左 下 角 二 进 制 窗 口 依 次 右 键 — > g o   t o — > e x p r e s s i o n 接 着 在 弹 出 窗 口 中 输 入 4 0 4 0 0 0 ， 查 找 ， 我 们 看 下 结 果 ：
我 们 在 看 一 下 w a r n i n g 在 线 通 过 工 具 转 换 成 A S C 码 的 结 果 ， 刚 好 与 上 图 前 七 个 字 节 对 上 。 以 上 说 明 0 x 4 0 4 0 0 0 和   0 x 4 0 4 0 0 8 这 样 的 地 址 就 类 似 高 级 语 言 里 的 变 量 ， 我 们 把 真 正 的 值 赋 给 变 量 ， 然 后 我 们 只 操 作 变 量 就 好 了 。 以 上 就 是 今 天 讲 的 内 容 ， 大 家 跟 着 步 骤 仔 细 操 作 一 下 ， 要 不 然 后 边 的 就 会 越 听 越 迷 糊 。 下 篇 文 章 就 要 真 正 讲 到 调 用 M a s s a g e B o x 时 栈 的 变 化 了 ， 也 就 是 真 正 栈 的 知 识 了 ， 希 望 大 家 能 够 打 好 基 础 。 * 本 文 作 者 ： 本 文 作 者 ： k a l i k i n g ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理