搜索

[11883] 2017-10-12_Windows下SLmail邮件服务器缓冲区溢出理解及实验

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2017-10-12_Windows下SLmail邮件服务器缓冲区溢出理解及实验 W i n d o w s 下 S L m a i l 邮 件 服 务 器 缓 冲 区 溢 出 理 解 及 实 验 J i n d o m   F r e e B u f   2 0 1 7 - 1 0 - 1 2 * 本 文 作 者 ： J i n d o m ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 本 次 缓 冲 区 溢 出 实 验 是 在 本 次 缓 冲 区 溢 出 实 验 是 在 W i n d o w s 7   U n l i m i t   6 4 位 下 的 位 下 的 S L m a i l 邮 件 服 务 溢 出 测 试 。 邮 件 服 务 溢 出 测 试 。 注 : S L m a i l 并 不 是 一 个 特 别 常 用 的 邮 件 服 务 应 用 , 本 次 实 验 仅 限 于 理 解 缓 冲 区 溢 出 的 过 程 以 及 方 法 目 标 机 目 标 机 :   W i n d o w s 7   U n l i m i t   x 6 4   1 0 . 1 1 . 1 2 . 1 3 攻 击 机 攻 击 机 :   K a l i   L i n u x   1 0 . 1 1 . 0 . 2 9 涉 及 工 具 涉 及 工 具 : M e t a s p l o i t   F r a m e w o r k I m m u n i t y   D e b u g g e r ( 装 好 m o n a 模 块 ) 步 骤 步 骤 先 将 I m m u n i t y   D e b u g g e r   A t t a c h 上 S L m a i l 的 主 进 程
点 这 个 让 进 程 解 除 冰 冻 状 态 , 转 为 r u n n i n g 状 态 这 个 时 候 转 到 K a l i , 使 用 B u f f e r 溢 出 脚 本 检 测 溢 出 所 需 的 字 节 , 脚 本 源 码 如 下 使 用 该 脚 本 并 加 上 目 标 参 数
观 察 , 等 到 D e b u g g e r 右 上 角 窗 口 E I P 指 针 为 4 1 4 1 4 1 4 1 ( A 的 A S C I I 编 码 ) 时 代 表 溢 出 成 功 记 下 p y t h o n 脚 本 窗 口 处 此 时 的 字 节 数 , 本 次 试 验 为 2 9 0 0   b y t e s 重 新 启 动 S L m a i l 服 务 , 并 重 新 A t t a c h 进 程 / u s r / s h a r e / m e t a s p l o i t - f r a m e w o r k / t o o l s / e x p l o i t / p a t t e r n _ c r e a t e . r b   - l   2 9 0 0   / / 使 用 M S F 的 b u f f e r 生 成 工 具 生 成 一 段 字 符 , 来 精 确 定 位 溢 出 位 置 编 写 修 改 针 对 性 的 溢 出 脚 本 源 码 如 下
此 时 执 行 此 脚 本 , 再 观 察 D e b u g g e r 右 上 侧 窗 口 , 观 察 E I P 指 针 所 指 向 的 字 符 串 可 以 看 到 字 符 串 为   3 9 6 9 4 4 3 8 此 时 利 用 p a t t e r n _ c r e a t e 相 对 的 工 具 p a t t e r n _ o f f s e t 查 找 这 串 字 节 相 对 的 位 置 可 知 是 位 于   第 2 6 0 6 个 字 节 之 后 的 字 节 就 是 E I P 所 指 向 的 ! 这 时 修 改 脚 本
观 察 可 知 , 这 四 个 B 就 是 E I P 所 指 向 的 内 容 , 而 后 1 6 个 C 为 补 全 2 9 0 0 个 字 节 所 设 置 的 执 行 脚 本 观 察 到 如 下 结 果 , 可 知 E I P 的 确 被 指 向 到 了 2 6 0 6 b y t e s 之 后 的 位 置 , 因 为 B B B B 的 A S C I I 码 为 4 2 4 2 4 2 4 2 我 们 再 观 察 E S P 的 位 置 在 哪 里
可 以 观 察 到 E S P 指 向 的 位 置 在 0 x 0 1 6 9 A 1 2 8 , 恰 巧 也 被 C C C C 给 填 满 了 一 般 来 说 一 个 p a y l o a d 的 字 节 数 在 3 1 5 - 4 5 0 之 间 , 所 以 只 要 将 0 1 6 9 A 1 2 8 开 始 的 内 存 地 址 溢 出 到 我 们 的 p a y l o a d 就 可 以 了 所 以 我 们 开 始 使 用 m s f 生 成 p a y l o a d , 但 是 要 知 道 , 这 是 在 一 个 程 序 内 存 栈 中 进 行 d e c o d e , 肯 定 会 有 一 些 字 节 被 这 个 程 序 错 误 理 解 所 以 我 们 需 要 寻 找 一 些 坏 字 节   也 就 是 B a d   C h a r a c t e r s 修 改 脚 本 如 下
再 次 运 行 该 脚 本 并 且 d u m p 到 E S P 位 置 的 内 存
可 以 看 到 , 明 显 有 几 个 字 节 被 错 误 编 译 了 , 到 第 1 0 个 字 节 应 该 是 1 0 却 变 成 了 2 9 所 以 我 们 应 该 在 脚 本 中 去 掉 / x 0 a , 并 再 次 运 行 仔 细 仔 细 再 仔 细 地 看 , 你 会 发 现 少 了 0 D 这 个 字 节 , 说 明 / 0 d 这 个 字 节 也 是 坏 的 , 从 脚 本 中 去 除 。 同 理 再 次 实 验 , 你 会 发 现 一 切 都 是 正 常 的 , 没 有 坏 字 节 了 所 以 , 我 们 知 道 对 于 S L m a i l 来 说 , 坏 字 节 有 / x 0 0 , / x 0 a , / x 0 d 。 知 道 了 坏 字 节 有 哪 些 , 我 们 就 可 以 生 成 s h e l l c o d e 啦 ! 但 是 , 我 们 还 得 想 办 法 让 E I P 重 定 向 到 我 们 想 要 的 内 存 地 址 ! 这 时 候 , 我 脑 子 里 第 一 时 间 想 到 的 是 直 接 把 E I P 的 地 址 改 成 E S P 的 地 址 。 直 接 让 执 行 流 执 行 E S P 所 定 位 到 的 那 一 串 代 码 不 就 行 了 嘛 ? 但 是 实 际 上 在 溢 出 过 程 中 E S P 所 指 向 的 地 址 并 不 会 保 持 不 变 , 因 为 绝 大 多 数 程 序 都 是 多 进 程 的 , E S P 的 指 向 并 不 是 按 照 顺 序 的 单 一 的 他 会 指 向 奇 奇 怪 怪 的 地 方 , 所 以 这 个 方 法 不 可 行 ! 那 咋 办 嘞 ? 我 们 知 道 , 在 一 个 程 序 运 行 的 时 候 , 程 序 本 身 首 先 会 被 写 入 到 内 存 中 , 顺 带 着 它 需 要 的 各 种 D L L 以 及 D r i v e 和 M o d u l e s , 所 以 我 们 可 以 寻 找 含 有 J M P   E S P 这 个 指 令 的 各 种 模 块 并 利 用 他 们 。 为 了 寻 找 合 乎 条 件 的 D L L 以 及 模 块 , 我 们 需 要 用 到 第 三 方 模 块 m o n a 在 D e b u g g e r 的 下 方 命 令 行 输 入 就 可 以 看 到 所 有 l o a d e d 的 m o d u l e s ! m o n a   m o d u l e s
这 时 候 就 可 以 寻 找 符 合 条 件 的 m o d u l e s 了 符 合 条 件 的 m o d u l e s 需 要 符 合 3 个 条 件 1 . 本 身 的 b a s e 内 存 地 址 不 包 含 上 面 提 到 的 坏 字 节 2 . 没 有 被 前 四 个 反 缓 冲 区 溢 出 机 制 保 护 这 里 只 有 一 个 D L L 满 足 条 件 按 下 工 具 条 上 的 E 来 查 看 所 有 可 被 执 行 的 d l l 找 到 对 应 的 D L L 并 双 击 到 主 界 面 s e a r c h 相 应 的 操 作

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理