搜索

[8589] 2015-01-14_透析挖洞神器mona.py插件新特性

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2015-01-14_透析挖洞神器mona.py插件新特性 透 析 挖 洞 神 器 m o n a . p y 插 件 新 特 性 F r e e B u f   2 0 1 5 - 0 1 - 1 4 前 言 前 言 这 里 不 得 不 用 简 单 的 篇 幅 介 绍 一 下 这 里 不 得 不 用 简 单 的 篇 幅 介 绍 一 下 m o n a . p y 。 这 是 由 。 这 是 由 c o r e l a n   t e a m 整 合 的 一 个 可 以 自 动 构 造 整 合 的 一 个 可 以 自 动 构 造 R o p   C h a i n 而 且 集 成 了 而 且 集 成 了 m e t a s p l o i t 计 算 偏 移 量 功 能 的 强 大 挖 洞 辅 助 插 件 ， 详 情 可 以 参 照 他 们 的 计 算 偏 移 量 功 能 的 强 大 挖 洞 辅 助 插 件 ， 详 情 可 以 参 照 他 们 的 官 方 网 官 方 网 站 站 。 。 当 我 在 准 备 D e r b y c o n 的 高 级 开 发 课 程 之 前 ， 还 一 直 在 玩 I E 的 原 始 堆 分 配 。 其 中 有 些 问 题 给 我 带 来 了 挫 折 （ 至 少 说 ， 让 我 的 整 个 研 究 进 度 都 慢 了 许 多 ） 。 反 观 ， 这 也 提 高 了 我 快 速 识 别 对 象 的 能 力 ， 也 是 一 个 不 错 的 机 遇 。 毕 竟 ， 我 是 在 尝 试 找 一 个 包 含 任 意 数 据 的 对 象 ， 或 者 指 针 ， 这 做 起 来 并 不 那 么 容 易 ！ 我 决 定 给 我 决 定 给 m o n a . p y 插 件 增 加 一 些 新 的 特 性 ， 以 便 让 大 家 可 以 更 快 的 寻 找 到 感 兴 趣 的 对 象 。 这 些 新 特 性 仅 仅 在 插 件 增 加 一 些 新 的 特 性 ， 以 便 让 大 家 可 以 更 快 的 寻 找 到 感 兴 趣 的 对 象 。 这 些 新 特 性 仅 仅 在 W i n D B G 下 有 效 。 下 有 效 。 d u m p o b j   ( d o ) 这 第 一 个 新 特 性 就 是 d u m p o b j 。 这 条 m o n a . p y 命 令 会 转 储 对 象 中 的 内 容 ， 并 提 供 内 容 中 的 有 用 信 息 。 该 命 令 有 以 下 几 个 参 数 ： U s a g e   o f   c o m m a n d   ' d u m p o b j '   : - - - - - - - - - - - - - - - - - - - - - - - - - - - - - D u m p   t h e   c o n t e n t s   o f   a n   o b j e c t .   A r g u m e n t s :         - a   < a d d r e s s >             :   A d d r e s s   o f   o b j e c t         - s   < n u m b e r >               :   S i z e   o f   o b j e c t   ( d e f a u l t   v a l u e :   0 x 2 8   o r   s i z e   o f   c h u n k ) O p t i o n a l   a r g u m e n t s :         - l   < n u m b e r >               :   R e c u r s i v e l y   d u m p   o b j e c t s         - m < n u m b e r >               :   S i z e   f o r r e c u r s i v e   o b j e c t s   ( d e f a u l t   v a l u e :   0 x 2 8 ) 正 如 你 看 到 的 帮 助 信 息 ， 我 们 至 少 需 要 提 供 两 个 参 数 。 - a   < a d d r e s s >   :   开 始 的 位 置 （ 对 象 的 地 址 。 当 然 ， 这 个 你 可 以 自 己 随 意 定 义 ） - s   < n u m b e r >   : 对 象 的 大 小 ， 如 果 你 指 定 - s 参 数 ， m o n a 会 尝 试 自 己 定 义 一 个 大 小 。 如 果 定 义 失 败 ， 那 么 m o n a 会 对 这 个 对 象 转 储 0 x 2 8 字 节 。 此 外 ， 你 也 可 以 告 诉 m o n a 转 储 一 些 链 接 对 象 。 - l 参 数 后 跟 上 一 个 数 字 ， 这 个 数 字 代 表 了 递 归 转 储 的 等 级 。 由 于 性 能 的 原 因 ， 会 限 制 输 出 的 大 小 ， 链 接 对 象 中 只 有 第 一 个 0 x 2 8 字 节 的 内 容 会 输 出 给 用 户 。 当 然 ， 你 也 可 以 使 用 - m 参 数 ， 看 到 更 多 内 容 。 在 W i n D B G 中 转 储 对 象 中 的 内 容 很 繁 琐 。 在 某 些 情 况 下 ， d d s / d c 命 令 力 度 还 是 不 够 的 ， 还 需 要 做 一 些 额 外 的 工 作 才 能 够 进 一 步 分 析 这 个 对 象 和 可 选 对 象 。 让 我 们 来 看 看 下 面 这 个 例 子 ， 假 设 我 们 在 0 x 0 2 3 a 1 b c 0 有 一 个 0 x 7 8 字 节 的 对 象 。 我 们 可 以 使 用 W i n D B G 命 令 转 储 这 个 对 象 中 的 内 容 。 0 : 0 0 1 >   d d s   0 x 0 2 3 a 1 b c 0   L   0 x 7 8 / 4 0 2 3 a 1 b c 0     0 2 3 a 1 d 3 0 0 2 3 a 1 b c 4     0 2 3 a 1 8 1 8 0 2 3 a 1 b c 8     0 0 0 0 0 0 0 0 0 2 3 a 1 b c c     0 2 3 a 1 d 3 c 0 2 3 a 1 b d 0     0 2 3 a 1 8 2 4 0 2 3 a 1 b d 4     b a a d f 0 0 d 0 2 3 a 1 b d 8     0 0 0 2 0 0 0 0 0 2 3 a 1 b d c     0 0 0 0 0 0 0 1 0 2 3 a 1 b e 0     0 0 1 6 0 0 1 4 0 2 3 a 1 b e 4     0 2 3 a 1 a 3 8 0 2 3 a 1 b e 8     0 1 3 a 0 1 3 8 0 2 3 a 1 b e c     0 2 3 a 1 a 6 8 0 2 3 a 1 b f 0     0 0 0 0 0 0 0 0 0 2 3 a 1 b f 4     0 0 0 0 0 0 0 1 0 2 3 a 1 b f 8     0 2 3 a 1 8 a 8 0 2 3 a 1 b f c     0 0 0 0 0 0 0 0 0 2 3 a 1 c 0 0     0 0 0 0 0 0 0 0 0 2 3 a 1 c 0 4     0 0 0 0 0 0 0 7 0 2 3 a 1 c 0 8     0 0 0 0 0 0 0 7 0 2 3 a 1 c 0 c     0 2 3 a 1 8 d 0 0 2 3 a 1 c 1 0     0 0 0 0 0 0 0 0 0 2 3 a 1 c 1 4     0 0 0 0 0 0 0 0 0 2 3 a 1 c 1 8     0 0 0 0 0 0 0 0 0 2 3 a 1 c 1 c     0 0 0 0 0 0 0 0 0 2 3 a 1 c 2 0     0 0 0 0 0 0 0 0 0 2 3 a 1 c 2 4     0 0 0 0 0 0 0 0 0 2 3 a 1 c 2 8     0 0 0 0 0 0 0 0 0 2 3 a 1 c 2 c     0 0 0 0 0 0 0 0 0 2 3 a 1 c 3 0     0 0 0 0 0 0 0 0 0 2 3 a 1 c 3 4     0 0 0 0 0 0 0 0   0 : 0 0 1 >   d c   0 x 0 2 3 a 1 b c 0   L   0 x 7 8 / 4 0 2 3 a 1 b c 0     0 2 3 a 1 d 3 0   0 2 3 a 1 8 1 8   0 0 0 0 0 0 0 0   0 2 3 a 1 d 3 c     0 . : . . . : . . . . . < . : . 0 2 3 a 1 b d 0     0 2 3 a 1 8 2 4   b a a d f 0 0 d   0 0 0 2 0 0 0 0   0 0 0 0 0 0 0 1     $ . : . . . . . . . . . . . . . 0 2 3 a 1 b e 0     0 0 1 6 0 0 1 4   0 2 3 a 1 a 3 8   0 1 3 a 0 1 3 8   0 2 3 a 1 a 6 8     . . . . 8 . : . 8 . : . h . : . 0 2 3 a 1 b f 0     0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 1   0 2 3 a 1 8 a 8   0 0 0 0 0 0 0 0     . . . . . . . . . . : . . . . . 0 2 3 a 1 c 0 0     0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 7   0 0 0 0 0 0 0 7   0 2 3 a 1 8 d 0     . . . . . . . . . . . . . . : . 0 2 3 a 1 c 1 0     0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0     . . . . . . . . . . . . . . . .
0 2 3 a 1 c 2 0     0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0     . . . . . . . . . . . . . . . . 0 2 3 a 1 c 3 0     0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0                                         . . . . . . . . N i c e ！ 我 们 可 以 看 到 很 多 东 西 — 似 乎 是 指 针 的 值 ， n u l l s ， 以 及 一 些 垃 圾 数 据 。 使 用 m o n a ， 我 们 可 以 转 储 相 同 的 对 象 ， m o n a 会 尝 试 在 对 象 中 收 集 更 多 有 关 d w o r d 的 信 息 。 0 : 0 0 1 >   ! p y   m o n a   d o   - a   0 x 0 2 3 a 1 b c 0 H o l d   o n . . . [ + ]   N o   s i z e   s p e c i f i e d ,   c h e c k i n g   i f   a d d r e s s   i s   p a r t   o f   k n o w n   h e a p   c h u n k         A d d r e s s   f o u n d   i n   c h u n k   0 x 0 2 3 a 1 b b 8 ,   h e a p   0 x 0 0 2 4 0 0 0 0 ,   ( u s e r ) s i z e   0 x 7 8   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - [ + ]   D u m p i n g   o b j e c t   a t   0 x 0 2 3 a 1 b c 0 ,   0 x 7 8   b y t e s   [ + ]   P r e p a r i n g   o u t p u t   f i l e   ' d u m p o b j . t x t '         -   ( R e ) s e t t i n g   l o g f i l e   c : l o g s H e a p A l l o c 2 d u m p o b j . t x t [ + ]   G e n e r a t i n g   m o d u l e   i n f o   t a b l e ,   h a n g   o n . . .         -   P r o c e s s i n g   m o d u l e s         -   D o n e .   L e t ' s   r o c k   ' n   r o l l .   > >   O b j e c t   a t   0 x 0 2 3 a 1 b c 0   ( 0 x 7 8   b y t e s ) : O f f s e t     A d d r e s s             C o n t e n t s         I n f o - - - - - -     - - - - - - -             - - - - - - - -         - - - - - + 0 0           0 x 0 2 3 a 1 b c 0   |   0 x 0 2 3 a 1 d 3 0     ( H e a p )   p t r   t o   A S C I I   ' 0 : : ' + 0 4           0 x 0 2 3 a 1 b c 4   |   0 x 0 2 3 a 1 8 1 8     ( H e a p )   p t r   t o   A S C I I   ' : ' + 0 8           0 x 0 2 3 a 1 b c 8   |   0 x 0 0 0 0 0 0 0 0     + 0 c           0 x 0 2 3 a 1 b c c   |   0 x 0 2 3 a 1 d 3 c     ( H e a p )   p t r   t o   0 x 7 7 e 4 6 4 6 4   :   A D V A P I 3 2 ! g _ C o d e L e v e l O b j T a b l e + 0 x 4 + 1 0           0 x 0 2 3 a 1 b d 0   |   0 x 0 2 3 a 1 8 2 4     ( H e a p )   p t r   t o   A S C I I   ' : ' + 1 4           0 x 0 2 3 a 1 b d 4   |   0 x b a a d f 0 0 d     + 1 8           0 x 0 2 3 a 1 b d 8   |   0 x 0 0 0 2 0 0 0 0     =   U N I C O D E   '   '   + 1 c           0 x 0 2 3 a 1 b d c   |   0 x 0 0 0 0 0 0 0 1     + 2 0           0 x 0 2 3 a 1 b e 0   |   0 x 0 0 1 6 0 0 1 4     =   U N I C O D E   ' '   + 2 4           0 x 0 2 3 a 1 b e 4   |   0 x 0 2 3 a 1 a 3 8     ( H e a p )   p t r   t o   U N I C O D E   ' B a s i c   U s e r ' + 2 8           0 x 0 2 3 a 1 b e 8   |   0 x 0 1 3 a 0 1 3 8     ( H e a p )   p t r   t o   A S C I I   ' A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A . . . ' + 2 c           0 x 0 2 3 a 1 b e c   |   0 x 0 2 3 a 1 a 6 8     ( H e a p )   p t r   t o   U N I C O D E   ' A l l o w s   p r o g r a m s   t o   e x e c u t e   a s   a   u s e r   t h a t   d o e s   n o t   h a v e   A d m i n i s t r a t o r   o r   P o w e r   U s e r   a c c e s s   r i g h t s ,   b u t   c a n   s t i l l   a c c e s s   r e s o u c e s   a c c e s s i b l e   b y   n o r m a l   u s e r s . ' + 3 0           0 x 0 2 3 a 1 b f 0   |   0 x 0 0 0 0 0 0 0 0     + 3 4           0 x 0 2 3 a 1 b f 4   |   0 x 0 0 0 0 0 0 0 1     + 3 8           0 x 0 2 3 a 1 b f 8   |   0 x 0 2 3 a 1 8 a 8     + 3 c           0 x 0 2 3 a 1 b f c   |   0 x 0 0 0 0 0 0 0 0     + 4 0           0 x 0 2 3 a 1 c 0 0   |   0 x 0 0 0 0 0 0 0 0     + 4 4           0 x 0 2 3 a 1 c 0 4   |   0 x 0 0 0 0 0 0 0 7     + 4 8           0 x 0 2 3 a 1 c 0 8   |   0 x 0 0 0 0 0 0 0 7     + 4 c           0 x 0 2 3 a 1 c 0 c   |   0 x 0 2 3 a 1 8 d 0     ( H e a p )   p t r   t o   A S C I I   '   : H : p : ' + 5 0           0 x 0 2 3 a 1 c 1 0   |   0 x 0 0 0 0 0 0 0 0     + 5 4           0 x 0 2 3 a 1 c 1 4   |   0 x 0 0 0 0 0 0 0 0     + 5 8           0 x 0 2 3 a 1 c 1 8   |   0 x 0 0 0 0 0 0 0 0     + 5 c           0 x 0 2 3 a 1 c 1 c   |   0 x 0 0 0 0 0 0 0 0     + 6 0           0 x 0 2 3 a 1 c 2 0   |   0 x 0 0 0 0 0 0 0 0     + 6 4           0 x 0 2 3 a 1 c 2 4   |   0 x 0 0 0 0 0 0 0 0     + 6 8           0 x 0 2 3 a 1 c 2 8   |   0 x 0 0 0 0 0 0 0 0     + 6 c           0 x 0 2 3 a 1 c 2 c   |   0 x 0 0 0 0 0 0 0 0     + 7 0           0 x 0 2 3 a 1 c 3 0   |   0 x 0 0 0 0 0 0 0 0     + 7 4           0 x 0 2 3 a 1 c 3 4   |   0 x 0 0 0 0 0 0 0 0       [ + ]   T h i s   m o n a . p y   a c t i o n t o o k   0 : 0 0 : 0 0 . 5 7 9 0 0 0 很 显 然 ， 对 象 中 的 某 些 值 指 向 了 字 符 串 ( A S C I I   a n d   U n i c o d e ) ， 其 他 的 似 乎 指 向 了 另 外 一 个 对 象 （ A D V A P I 3 2 ! g _ C o d e L e v e l O b j T a b l e + 0 x 4 ） 。 这 个 看 起 来 是 不 是 要 比 使 用 d d s / d c 命 令 更 方 便 呢 ？ 其 实 ， 我 们 还 可 以 做 得 更 好 ， 我 们 还 可 以 通 知 m o n a 自 动 打 印 链 接 对 象 。 接 下 来 ， 我 们 再 次 使 用 m o n a 命 令 并 带 上 - L 参 数 看 看 效 果 吧 。 0 : 0 0 1 >   ! p y   m o n a   d o   - a   0 x 0 2 3 a 1 b c 0   - l   1 H o l d   o n . . . [ + ]   N o   s i z e   s p e c i f i e d ,   c h e c k i n g   i f   a d d r e s s   i s   p a r t   o f   k n o w n   h e a p   c h u n k         A d d r e s s   f o u n d   i n   c h u n k   0 x 0 2 3 a 1 b b 8 ,   h e a p   0 x 0 0 2 4 0 0 0 0 ,   ( u s e r ) s i z e   0 x 7 8   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - [ + ]   D u m p i n g   o b j e c t   a t   0 x 0 2 3 a 1 b c 0 ,   0 x 7 8   b y t e s [ + ]   A l s o   d u m p i n g   u p   t o   1   l e v e l s   d e e p ,   m a x   s i z e   o f   n e s t e d   o b j e c t s :   0 x 2 8   b y t e s   [ + ]   P r e p a r i n g   o u t p u t   f i l e   ' d u m p o b j . t x t '         -   ( R e ) s e t t i n g   l o g f i l e   c : l o g s H e a p A l l o c 2 d u m p o b j . t x t [ + ]   G e n e r a t i n g   m o d u l e   i n f o   t a b l e ,   h a n g   o n . . .         -   P r o c e s s i n g   m o d u l e s         -   D o n e .   L e t ' s   r o c k   ' n   r o l l .   > >   O b j e c t   a t   0 x 0 2 3 a 1 b c 0   ( 0 x 7 8   b y t e s ) : O f f s e t     A d d r e s s             C o n t e n t s         I n f o - - - - - -     - - - - - - -             - - - - - - - -         - - - - - + 0 0           0 x 0 2 3 a 1 b c 0   |   0 x 0 2 3 a 1 d 3 0     ( H e a p )   p t r   t o   A S C I I   ' 0 : : ' + 0 4           0 x 0 2 3 a 1 b c 4   |   0 x 0 2 3 a 1 8 1 8     ( H e a p )   p t r   t o   A S C I I   ' : ' + 0 8           0 x 0 2 3 a 1 b c 8   |   0 x 0 0 0 0 0 0 0 0     + 0 c           0 x 0 2 3 a 1 b c c   |   0 x 0 2 3 a 1 d 3 c     ( H e a p )   p t r   t o   0 x 7 7 e 4 6 4 6 4   :   A D V A P I 3 2 ! g _ C o d e L e v e l O b j T a b l e + 0 x 4 + 1 0           0 x 0 2 3 a 1 b d 0   |   0 x 0 2 3 a 1 8 2 4     ( H e a p )   p t r   t o   A S C I I   ' : ' + 1 4           0 x 0 2 3 a 1 b d 4   |   0 x b a a d f 0 0 d     + 1 8           0 x 0 2 3 a 1 b d 8   |   0 x 0 0 0 2 0 0 0 0     =   U N I C O D E   '   '   + 1 c           0 x 0 2 3 a 1 b d c   |   0 x 0 0 0 0 0 0 0 1     + 2 0           0 x 0 2 3 a 1 b e 0   |   0 x 0 0 1 6 0 0 1 4     =   U N I C O D E   ' '   + 2 4           0 x 0 2 3 a 1 b e 4   |   0 x 0 2 3 a 1 a 3 8     ( H e a p )   p t r   t o   U N I C O D E   ' B a s i c   U s e r ' + 2 8           0 x 0 2 3 a 1 b e 8   |   0 x 0 1 3 a 0 1 3 8     ( H e a p )   p t r   t o   A S C I I   ' A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A . . . ' + 2 c           0 x 0 2 3 a 1 b e c   |   0 x 0 2 3 a 1 a 6 8     ( H e a p )   p t r   t o   U N I C O D E   ' A l l o w s   p r o g r a m s   t o   e x e c u t e   a s   a   u s e r   t h a t   d o e s   n o t   h a v e   A d m i n i s t r a t o r   o r   P o w e r   U s e r   a c c e s s   r i g h t s ,   b u t   c a n   s t i l l   a c c e s s   r e s o u c e s   a c c e s s i b l e   b y   n o r m a l   u s e r s . ' + 3 0           0 x 0 2 3 a 1 b f 0   |   0 x 0 0 0 0 0 0 0 0     + 3 4           0 x 0 2 3 a 1 b f 4   |   0 x 0 0 0 0 0 0 0 1     + 3 8           0 x 0 2 3 a 1 b f 8   |   0 x 0 2 3 a 1 8 a 8     ( H e a p )   p t r   t o   0 x 0 0 0 0 0 1 0 1   :   + 3 c           0 x 0 2 3 a 1 b f c   |   0 x 0 0 0 0 0 0 0 0     + 4 0           0 x 0 2 3 a 1 c 0 0   |   0 x 0 0 0 0 0 0 0 0     + 4 4           0 x 0 2 3 a 1 c 0 4   |   0 x 0 0 0 0 0 0 0 7     + 4 8           0 x 0 2 3 a 1 c 0 8   |   0 x 0 0 0 0 0 0 0 7     + 4 c           0 x 0 2 3 a 1 c 0 c   |   0 x 0 2 3 a 1 8 d 0     ( H e a p )   p t r   t o   A S C I I   '   : H : p : ' + 5 0           0 x 0 2 3 a 1 c 1 0   |   0 x 0 0 0 0 0 0 0 0     + 5 4           0 x 0 2 3 a 1 c 1 4   |   0 x 0 0 0 0 0 0 0 0     + 5 8           0 x 0 2 3 a 1 c 1 8   |   0 x 0 0 0 0 0 0 0 0     + 5 c           0 x 0 2 3 a 1 c 1 c   |   0 x 0 0 0 0 0 0 0 0     + 6 0           0 x 0 2 3 a 1 c 2 0   |   0 x 0 0 0 0 0 0 0 0     + 6 4           0 x 0 2 3 a 1 c 2 4   |   0 x 0 0 0 0 0 0 0 0     + 6 8           0 x 0 2 3 a 1 c 2 8   |   0 x 0 0 0 0 0 0 0 0     + 6 c           0 x 0 2 3 a 1 c 2 c   |   0 x 0 0 0 0 0 0 0 0     + 7 0           0 x 0 2 3 a 1 c 3 0   |   0 x 0 0 0 0 0 0 0 0     + 7 4           0 x 0 2 3 a 1 c 3 4   |   0 x 0 0 0 0 0 0 0 0    
  > >   O b j e c t   a t   0 x 0 2 3 a 1 d 3 c   ( 0 x 2 8   b y t e s ) : O f f s e t     A d d r e s s             C o n t e n t s         I n f o - - - - - -     - - - - - - -             - - - - - - - -         - - - - - + 0 0           0 x 0 2 3 a 1 d 3 c   |   0 x 7 7 e 4 6 4 6 4     A D V A P I 3 2 ! g _ C o d e L e v e l O b j T a b l e + 0 x 4 + 0 4           0 x 0 2 3 a 1 d 4 0   |   0 x 0 2 3 a 1 b c c     ( H e a p )   p t r   t o   A S C I I   ' < : $ : ' + 0 8           0 x 0 2 3 a 1 d 4 4   |   0 x b a a d f 0 0 d     + 0 c           0 x 0 2 3 a 1 d 4 8   |   0 x 0 0 0 4 0 0 0 0     =   U N I C O D E   '   '   + 1 0           0 x 0 2 3 a 1 d 4 c   |   0 x 0 0 0 0 0 1 0 1     + 1 4           0 x 0 2 3 a 1 d 5 0   |   0 x 0 0 1 a 0 0 1 8     =   U N I C O D E   ' '   + 1 8           0 x 0 2 3 a 1 d 5 4   |   0 x 0 2 3 a 1 c 5 0     ( H e a p )   p t r   t o   U N I C O D E   ' U n r e s t r i c t e d ' + 1 c           0 x 0 2 3 a 1 d 5 8   |   0 x 0 0 9 0 0 0 8 e     ( H e a p )   p t r   t o   A S C I I   ' A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A . . . ' + 2 0           0 x 0 2 3 a 1 d 5 c   |   0 x 0 2 3 a 1 c 8 8     ( H e a p )   p t r   t o   U N I C O D E   ' S o f t w a r e   a c c e s s   r i g h t s   a r e   d e t e r m i n e d   b y   t h e   a c c e s s   r i g h t s   o f   t h e   u s e r . ' + 2 4           0 x 0 2 3 a 1 d 6 0   |   0 x 0 0 0 0 0 0 0 0       > >   O b j e c t   a t   0 x 0 2 3 a 1 8 a 8   ( 0 x 2 8   b y t e s ) : O f f s e t     A d d r e s s             C o n t e n t s         I n f o - - - - - -     - - - - - - -             - - - - - - - -         - - - - - + 0 0           0 x 0 2 3 a 1 8 a 8   |   0 x 0 0 0 0 0 1 0 1     + 0 4           0 x 0 2 3 a 1 8 a c   |   0 x 0 5 0 0 0 0 0 0     + 0 8           0 x 0 2 3 a 1 8 b 0   |   0 x 0 0 0 0 0 0 0 a     + 0 c           0 x 0 2 3 a 1 8 b 4   |   0 x a b a b a b a b     + 1 0           0 x 0 2 3 a 1 8 b 8   |   0 x a b a b a b a b     + 1 4           0 x 0 2 3 a 1 8 b c   |   0 x f e e e f e e e     + 1 8           0 x 0 2 3 a 1 8 c 0   |   0 x 0 0 0 0 0 0 0 0     + 1 c           0 x 0 2 3 a 1 8 c 4   |   0 x 0 0 0 0 0 0 0 0     + 2 0           0 x 0 2 3 a 1 8 c 8   |   0 x 0 0 0 5 0 0 0 a     =   U N I C O D E   ' '   + 2 4           0 x 0 2 3 a 1 8 c c   |   0 x 0 5 1 8 0 7 c 2       [ + ]   T h i s   m o n a . p y   a c t i o n t o o k   0 : 0 0 : 0 0 . 6 4 0 0 0 0 在 上 面 的 输 出 我 们 可 以 看 到 ， m o n a 确 定 源 对 象 中 包 含 了 对 2 个 链 接 对 象 的 引 用 ， 并 且 转 储 了 链 接 对 象 。 最 重 要 的 是 要 知 道 m o n a 不 会 把 字 符 串   ( A S C I I   o r   U n i c o d e )   当 作 对 象 处 理 ， 因 为 m o n a 已 经 显 示 了 字 符 串 ， d u m p o b j 命 令 的 输 出 ， 最 终 会 写 入 一 个 名 为 “ d u m p o b j . t x t ” 的 文 本 文 件 中 。 d u m p l o g   ( d l ) 显 然 ， d u m p o b j 命 令 能 够 十 分 轻 松 的 获 得 一 个 对 象 的 重 要 信 息 。 如 果 你 已 经 知 道 起 始 对 象 ， 这 对 你 来 说 就 更 加 方 便 了 。 为 了 让 世 界 清 净 下 来 ， 我 决 定 使 用 d u m p l o g 去 解 析 日 志 文 件 （ 基 于 某 一 语 法 ） ， 并 在 已 经 分 配 好 的 对 象 中 执 行 d u m p o b j 命 令 。 在 当 前 这 个 版 本 ， d u m p l o g 并 不 能 够 转 储 链 接 对 象 ， 但 是 我 准 备 给 他 加 上 这 一 特 性 。 D u m p l o g 在 使 用 前 ， 需 要 进 行 一 些 设 置 。 我 们 需 要 告 诉 W i n D B G 创 建 一 个 遵 循 特 定 协 议 的 日 志 文 件 ， 当 然 了 ， 我 们 需 要 在 同 一 个 调 试 会 话 中 运 行 m o n a 。 D u m p l o g 的 帮 助 信 息 如 下 ： U s a g e   o f   c o m m a n d   ' d l '   : - - - - - - - - - - - - - - - - - - - - - - - - D u m p   a l l   o b j e c t s   r e c o r d e d   i n   a n   a l l o c / f r e e   l o g N o t e :   d u m p l o g   w i l l   o n l y   d u m p   o b j e c t s   t h a t   h a v e   n o t   b e e n   f r e e d   i n   t h e   s a m e l o g f i l e . E x p e c t e d   s y n t a x   f o r   l o g   e n t r i e s :         A l l o c   :   ' a l l o c ( s i z e   i n   h e x )   = a d d r e s s '         F r e e     :   ' f r e e ( a d d r e s s ) ' A d d i t i o n a l   t e x t   a f t e r   t h e   a l l o c   &   f r e e   i n f o   i s   f i n e . J u s t   m a k e   s u r e   t h e   s y n t a x   m a t c h e s   e x a c t l y   w i t h   t h e   e x a m p l e s   a b o v e . A r g u m e n t s :         - f   < p a t h / t o / l o g f i l e > :   F u l l   p a t h   t o   t h e   l o g f i l e 这 个 想 法 是 为 了 记 录 所 有 的 堆 分 配 以 及 自 由 操 作 。 在 W i n D B G 中 可 以 通 过 以 下 步 骤 实 现 ： . l o g c l o s e . l o g o p e n   c : a l l o c s . t x t 接 下 来 ， 记 录 2 个 断 点 b p   ! n t d l l   +   0 0 0 2 e 1 2 c   " . p r i n t f   " a l l o c ( 0 x % x )   =   0 x % p " , p o i ( e s p + c ) ,   e a x ;   . e c h o ;   g " b p   n t d l l ! R t l F r e e H e a p   " j   ( p o i ( e s p + c ) ! = 0 ) ' . p r i n t f   " f r e e ( 0 x % p ) " ,   p o i ( e s p + c ) ;   . e c h o ;   g ' ;   ' g ' ; " ( 基 于 k e r n e l 3 2 . d l l 最 新 版 本 ,   W i n d o w s 7   S P 1 ) . 当 R t l A l l o c a t e H e a p   和 R t l F r e e H e a p 被 调 用 时 ， 这 两 个 断 点 就 会 向 W i n D B G 发 送 一 个 消 息 。 当 你 准 备 分 析 漏 洞 时 ， 不 要 关 闭 W i n D B G ， 关 闭 日 志 文 件 时 使 用 . l o g c l o s e 命 令 。 我 们 现 在 就 可 以 使 用 m o n a 解 析 日 志 文 件 了 。 ! p y   m o n a   d l   - f c : a l l o c s . t x t 输 出 将 被 写 入 d u m p _ a l l o c _ f r e e . t x t 文 件 最 后 ， 希 望 你 能 够 喜 欢 这 两 个 新 特 性 。 [ 参 考 来 源 参 考 来 源 C o r e l a n ， 文 ， 文 / 实 习 编 辑 实 习 编 辑   鸢 尾 ， 转 载 请 注 明 来 自 鸢 尾 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理