搜索

[28837] 2021-04-01_Windows内存损坏漏洞的现代探索-第一部分：堆栈溢出

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-04-01_Windows内存损坏漏洞的现代探索-第一部分：堆栈溢出 W i n d o w s 内 存 损 坏 漏 洞 的 现 代 探 索 - 第 一 部 分 ： 堆 栈 溢 出 O t s 安 全   2 0 2 1 - 0 4 - 0 1 介 绍 介 绍 内 存 破 坏 漏 洞 利 用 这 一 主 题 最 初 很 难 破 解 。 当 我 第 一 次 开 始 在 W i n d o w s   O S 上 探 索 此 主 题 时 ， 我 立 即 被 令 人 惊 讶 的 是 ， 缺 少 专 门 针 对 它 的 现 代 和 公 开 可 用 信 息 。 这 篇 文 章 的 目 的 不 是 重 新 发 明 轮 子 ， 而 是 记 录 我 探 索 该 主 题 时 的 自 己 的 学 习 过 程 ， 并 回 答 我 自 己 在 前 进 过 程 中 遇 到 的 问 题 。 我 还 致 力 于 巩 固 和 现 代 化 围 绕 漏 洞 利 用 缓 解 系 统 的 发 展 的 信 息 ， 这 些 信 息 在 网 上 以 过 时 和 / 或 不 完 整 的 形 式 存 在 于 许 多 地 方 。 这 种 演 变 使 现 有 的 开 发 技 术 变 得 更 加 复 杂 ， 并 且 在 某 些 情 况 下 使 它 们 完 全 过 时 了 。 当 我 探 索 该 主 题 时 ， 我 决 定 通 过 记 录 我 自 己 的 一 些 实 验 和 研 究 成 果 （ 在 现 代 O S 上 使 用 现 代 编 译 器 ） ， 为 解 决 这 个 过 时 的 面 向 初 学 者 的 利 用 信 息 问 题 做 出 贡 献 。 此 特 定 文 本 将 重 点 关 注 W i n d o w s   1 0 和 V i s u a l   S t u d i o   2 0 1 9 ， 使 用 我 编 写 的 一 系 列 C   /   C   + + 工 具 和 易 受 攻 击 的 应 用 程 序 （ 在 G i t h u b 上 在 这 里 ） 。 我 决 定 从 我 做 过 的 一 些 第 一 个 研 究 开 始 这 个 系 列 ， 这 涉 及 到 3 2 位 W o w 6 4 堆 栈 溢 出 。 经 典 堆 栈 溢 出 经 典 堆 栈 溢 出 经 典 的 堆 栈 溢 出 是 最 容 易 理 解 的 内 存 破 坏 漏 洞 。 易 受 攻 击 的 应 用 程 序 包 含 一 个 函 数 ， 该 函 数 可 在 不 验 证 其 长 度 的 情 况 下 将 用 户 控 制 的 数 据 写 入 堆 栈 。 这 使 攻 击 者 可 以 ： 将 s h e l l c o d e 写 入 堆 栈 。 覆 盖 当 前 函 数 的 返 回 地 址 以 指 向 s h e l l c o d e 。 如 果 可 以 通 过 这 种 方 式 破 坏 堆 栈 而 不 破 坏 应 用 程 序 ， 则 当 被 利 用 的 函 数 返 回 时 ， 将 执 行 s h e l l c o d e 。 此 概 念 的 示 例 如 下 ： 图 1 . 使 用 0 x 4 4 4 4 4 4 4 4 的 经 典 溢 出 覆 盖 返 回 地 址 堆 栈 溢 出 是 一 种 技 术 （ 与 字 符 串 格 式 错 误 和 堆 溢 出 不 同 ） ， 该 技 术 仍 可 以 在 现 代 W i n d o w s 应 用 程 序 中 使 用 ， 其 概 念 与 几 十 年 前 发 行 S m a s h i n g   t h e   S t a c k   f o r   F u n   a n d   P r o f i t 一 样 。 但 是 ， 现 在 适 用 于 此 类 攻 击 的 缓 解 措 施 相 当 可 观 。 默 认 情 况 下 ， 在 W i n d o w s   1 0 上 ， 使 用 V i s u a l   S t u d i o   2 0 1 9 编 译 的 应 用 程 序 将 继 承 默 认 的 安 全 缓 解 措 施 集 ， 以 缓 解 堆 栈 溢 出 漏 洞 ， 包 括 ： 1 .   S a f e C R T 。 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / c p p / e r r o r - m e s s a g e s / c o m p i l e r - w a r n i n g s / c o m p i l e r - w a r n i n g - l e v e l - 3 - c 4 9 9 6 ? v i e w = v s - 2 0 1 9 2 .   堆 栈 c o o k i e 和 安 全 的 变 量 排 序 。 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / c p p / b u i l d / r e f e r e n c e / g s - b u f f e r - s e c u r i t y - c h e c k ? v i e w = v s - 2 0 1 9 3 .   安 全 结 构 化 异 常 处 理 （ S a f e S E H ） 。 # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t d i n t . h > u i n t 8 _ t   O v e r f l o w D a t a [ ]   =         " A A A A A A A A A A A A A A A A "   / /   1 6   b y t e s   f o r   s i z e   o f   b u f f e r         " B B B B "                     / /   + 4   b y t e s   f o r   s t a c k   c o o k i e         " C C C C "                     / /   + 4   b y t e s   f o r   E B P         " D D D D " ;                   / /   + 4   b y t e s   f o r   r e t u r n   a d d r e s s v o i d   O v e r f l o w ( u i n t 8 _ t *   p I n p u t B u f ,   u i n t 3 2 _ t   d w I n p u t B u f S i z e )   {         c h a r   B u f [ 1 6 ]   =   {   0   } ;         m e m c p y ( B u f ,   p I n p u t B u f ,   d w I n p u t B u f S i z e ) } i n t 3 2 _ t   w m a i n ( i n t 3 2 _ t   n A r g c ,   c o n s t   w c h a r _ t *   p A r g v [ ] )   {         p r i n t f ( " . . .   p a s s i n g   % d   b y t e s   o f   d a t a   t o   v u l n e r a b l e   f u n c t i o n r n " ,   s i z e o f ( O v e r f l o w D a t a )   -   1 ) ;         O v e r f l o w ( O v e r f l o w D a t a ,   s i z e o f ( O v e r f l o w D a t a )   -   1 ) ;         r e t u r n   0 ; }
h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / c p p / b u i l d / r e f e r e n c e / s a f e s e h - i m a g e - h a s - s a f e - e x c e p t i o n - h a n d l e r s ? v i e w = v s - 2 0 1 9 4 .   数 据 执 行 保 护 （ D E P ） 。 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / m e m o r y / d a t a - e x e c u t i o n - p r e v e n t i o n 5 .   地 址 空 间 布 局 随 机 化 （ A S L R ） 。 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / c p p / b u i l d / r e f e r e n c e / d y n a m i c b a s e - u s e - a d d r e s s - s p a c e - l a y o u t - r a n d o m i z a t i o n ? v i e w = v s - 2 0 1 9 6 .   结 构 化 异 常 处 理 覆 盖 保 护 （ S E H O P ） 。   h t t p s : / / m s r c - b l o g . m i c r o s o f t . c o m / 2 0 0 9 / 0 2 / 0 2 / p r e v e n t i n g - t h e - e x p l o i t a t i o n - o f - s t r u c t u r e d - e x c e p t i o n - h a n d l e r - s e h - o v e r w r i t e s - w i t h - s e h o p / 易 受 攻 击 的 C R T   A P I （ 例 如 s t r c p y ） 的 折 旧 以 及 通 过 S a f e C R T 库 引 入 的 这 些 A P I 的 安 全 版 本 （ 例 如 s t r c p y _ s ） 并 不 是 解 决 堆 栈 溢 出 问 题 的 全 面 解 决 方 案 。 诸 如 m e m c p y 之 类 的 A P I 仍 然 有 效 ， 这 些 C R T   A P I 的 非 P O S I X 变 体 也 是 如 此 （ 例 如 K E R N E L 3 2 . D L L ！ l s t r c p y A ） 。 尝 试 在 包 含 这 些 折 旧 A P I 之 一 的 V i s u a l   S t u d i o   2 0 1 9 中 编 译 应 用 程 序 会 导 致 致 命 的 编 译 错 误 ， 尽 管 可 以 抑 制 。 堆 栈 c o o k i e 是 一 种 安 全 机 制 ， 旨 在 真 正 地 “ 修 复 ” 并 从 一 开 始 就 防 止 堆 栈 溢 出 在 运 行 时 被 利 用 。 S a f e S E H 和 S E H O P 减 轻 了 堆 栈 c o o k i e 的 解 决 方 法 ， 而 D E P 和 A S L R 并 不 是 特 定 于 堆 栈 的 缓 解 措 施 ， 因 为 它 们 不 能 防 止 发 生 堆 栈 溢 出 攻 击 。 相 反 ， 它 们 使 通 过 这 种 攻 击 执 行 S h e l l c o d e 的 任 务 变 得 更 加 复 杂 。 随 着 本 文 的 进 行 ， 将 深 入 探 讨 所 有 这 些 缓 解 措 施 。 下 一 节 将 重 点 介 绍 堆 栈 c o o k i e ， 因 为 它 们 是 我 们 尝 试 现 代 堆 栈 溢 出 时 的 主 要 对 手 。 堆 叠 堆 叠 C o o k i e s ， ， G S 和 和 G S   + + 随 着 V i s u a l   S t u d i o   2 0 0 3 的 发 布 ， M i c r o s o f t 在 其 M S V C 编 译 器 中 包 含 了 一 个 名 为 G S 的 新 堆 栈 溢 出 缓 解 功 能 。 两 年 后 ， 他 们 在 V i s u a l   S t u d i o   2 0 0 5 发 行 版 中 默 认 启 用 了 该 功 能 。 关 于 G S 的 在 线 话 题 有 很 多 过 时 和 / 或 不 完 整 的 信 息 ， 包 括 最 初 在 2 0 0 9 年 讨 论 过 的 C o r e l a n 教 程 。 其 原 因 是 ， 自 从 其 最 初 发 行 以 来 ， G S 安 全 缓 解 措 施 已 经 发 展 起 来 ， 并 且 在 V i s u a l   S t u d i o   2 0 1 0 的 G S 增 强 版 本 G S   + + 取 代 了 最 初 的 G S 功 能 （ 在 当 时 创 建 的 出 色 的 M i c r o s o f t   C h a n n e l 9 视 频 中 进 行 了 讨 论 ） 。 令 人 困 惑 的 是 ， M i c r o s o f t 从 未 更 新 过 其 编 译 器 开 关 的 名 称 ， 尽 管 实 际 上 是 G S   + + ， 但 它 一 直 保 留 到 今 天 的 “   /   G S ” 。 G S 从 根 本 上 讲 是 一 种 安 全 缓 解 措 施 ， 被 编 译 为 二 进 制 级 别 的 程 序 ， 该 程 序 将 战 略 性 堆 栈 损 坏 检 查 （ 通 过 使 用 堆 栈 c o o k i e ） 置 于 包 含 M i c r o s o f t 所 谓 的 “   G S 缓 冲 区 ” （ 易 受 堆 栈 溢 出 攻 击 的 缓 冲 区 ） 的 函 数 中 。 原 始 G S 仅 将 8 个 或 更 多 元 素 大 小 为 1 或 2 （ 字 符 和 宽 字 符 ） 的 元 素 的 数 组 视 为 G S 缓 冲 区 ， 而 G S   + + 实 质 上 将 该 定 义 扩 展 为 包 括 ： 1 .   任 何 数 组 （ 无 论 长 度 或 元 素 大 小 如 何 ） 。 2 .   任 何 结 构 （ 无 论 其 内 容 如 何 ） 。 图 2 .   G S 堆 栈 金 丝 雀 堆 栈 布 局 设 计 此 增 强 功 能 与 现 代 堆 栈 溢 出 非 常 相 关 ， 因 为 它 实 质 上 使 所 有 易 受 堆 栈 溢 出 攻 击 的 功 能 不 受 返 回 地 址 的 E I P 劫 持 的 影 响 。 反 过 来 ， 这 又 对 其 他 过 时 的 利 用 技 术 产 生 了 影 响 ， 例 如 通 过 部 分 E I P 覆 盖 进 行 A S L R 旁 路 （ 在 一 些 经 典 的 C o r e l a n 教 程 中 也 进 行 了 讨 论 ） ， 著 名 的 V i s t a   C V E - 2 0 0 7 - 0 0 3 8   A n i m a t e d   C u r s o r 利 用 该 技 术 利 用 了 s t r u c t 溢 出 在 2 0 0 7 年 。 随 着 G S   + + 在 2 0 1 0 年 的 到 来 ， 在 典 型 的 堆 栈 溢 出 情 况 下 ， 部 分 E I P 覆 盖 作 为 A S L R 绕 过 的 一 种 方 法 不 再 可 行 。
在 M S D N 上 的 信 息 有 关 （ 最 后 更 新 在 四 年 前 的 2 0 1 6 ） G S 违 背 我 自 己 的 一 些 测 试 中 ， 当 涉 及 到 G S 覆 盖 。 例 如 ， M i c r o s o f t 列 出 以 下 变 量 作 为 非 G S 缓 冲 区 的 示 例 ： 但 是 在 我 自 己 使 用 V S 2 0 1 9 进 行 的 测 试 中 ， 这 些 变 量 中 的 每 个 变 量 都 导 致 了 堆 栈 c o o k i e 的 创 建 。 堆 栈 堆 栈 c o o k i e 到 底 是 什 么 ？ 它 们 如 何 工 作 ？ 到 底 是 什 么 ？ 它 们 如 何 工 作 ？ 1 .   堆 栈 c o o k i e 是 在 V i s u a l   S t u d i o   2 0 1 9 中 默 认 设 置 的 。 它 们 使 用 /   G S 标 志 进 行 配 置 ， 该 标 志 在 项 目 设 置 的 “ 项 目 ” - > “ 属 性 ” - > “   C   /   C   + + ” - > “ 代 码 生 成 ” - > “ 安 全 检 查 ” 字 段 中 指 定 。 2 .   加 载 使 用 /   G S 编 译 的 P E 时 ， 它 将 初 始 化 一 个 新 的 随 机 堆 栈 c o o k i e 种 子 值 ， 并 将 其 作 为 全 局 变 量 存 储 在 其 . d a t a 节 中 。 3 .   每 当 调 用 包 含 G S 缓 冲 区 的 函 数 时 ， 它 将 对 该 堆 栈 c o o k i e 种 子 与 E B P 寄 存 器 进 行 X O R 运 算 ， 并 将 其 存 储 在 堆 栈 中 ， 然 后 保 存 E B P 寄 存 器 和 返 回 地 址 。 4 .   在 安 全 函 数 返 回 之 前 ， 它 将 再 次 将 其 保 存 的 伪 唯 一 堆 栈 c o o k i e 与 E B P 进 行 X O R 运 算 ， 以 获 取 原 始 堆 栈 c o o k i e 种 子 值 ， 并 检 查 以 确 保 它 仍 与 . d a t a 节 中 存 储 的 种 子 匹 配 。 5 .   如 果 值 不 匹 配 ， 则 应 用 程 序 将 引 发 安 全 异 常 并 终 止 执 行 。 由 于 不 可 能 覆 盖 返 回 地 址 而 不 覆 盖 函 数 堆 栈 帧 中 保 存 的 堆 栈 c o o k i e ， 因 此 该 机 制 可 以 避 免 通 过 R E T 指 令 劫 持 E I P 而 产 生 堆 栈 溢 出 漏 洞 ， 从 而 实 现 任 意 代 码 执 行 。 在 现 代 环 境 中 编 译 和 执 行 图 1 所 示 的 基 本 堆 栈 溢 出 项 目 会 导 致 S T A T U S _ S T A C K _ B U F F E R _ O V E R R U N 异 常 （ 代 码 0 x C 0 0 0 0 4 0 9 ） ； 可 以 使 用 调 试 器 逐 步 剖 析 其 原 因 。 图 3 . 易 受 攻 击 的 函 数 的 堆 栈 帧 初 始 化 后 的 调 试 跟 踪 值 得 注 意 的 是 ， 尽 管 此 函 数 中 缓 冲 区 的 大 小 为 0 x 1 0 （ 1 6 ） 字 节 ， 但 正 在 创 建 图 3 中 的 堆 栈 帧 ， 其 大 小 为 0 x 1 4 （ 2 0 ） 字 节 。 这 些 额 外 的 四 个 字 节 被 分 配 给 容 纳 在 堆 栈 c o o k i e ， 它 可 以 看 出 ， 叠 层 用 的 值 上 存 在 0 x E 9 8 F 4 1 A F 在 0 x 0 1 3 5 F E 3 0 之 前 ， 为 了 保 存 的 E B P 寄 存 器 和 返 回 地 址 。 重 新 检 查 图 1 中 的 溢 出 数 据 ， 我 们 可 以 预 测 m e m c p y 从 覆 盖 1 6 字 节 大 小 的 本 地 缓 冲 区 （ 我 们 的 预 期 2 8 字 节 ） 返 回 后 返 回 的 堆 栈 外 观 。 0 x 0 1 3 5 F E 2 0 和 0 x 0 1 3 5 F E 3 0 （ 本 地 缓 冲 区 的 1 6 个 字 节 ） 之 间 的 地 址 范 围 应 该 用 A s （ 0 x 4 1 个 字 节 ） 覆 盖 。 0 x 0 1 3 5 F E 3 0 处 的 堆 栈 c o o k i e 应 该 用 B 覆 盖 ， 从 而 产 生 新 的 值 0 x 4 2 4 2 4 2 4 2 。 保 存 的 E B P 在 寄 存 器 0 x 0 1 3 5 F E 3 4 应 覆 盖 在 C S 为 新 值 0 x 4 3 4 3 4 3 4 3 ， 并 在 返 回 地 址 0 x 0 1 3 5 F E 3 8 应 覆 盖 与 D S 的 新 值 0 x 4 4 4 4 4 4 4 4 。 这 种 新 的 地 址 0 x 4 4 4 4 4 4 4 4 就 是 E I P 会 在 事 件 被 重 定 向 到 溢 出 成 功 。 c h a r   * p B u f [ 2 0 ] ; v o i d   * p v [ 2 0 ] ; c h a r   b u f [ 4 ] ; i n t   b u f [ 2 ] ; s t r u c t   {   i n t   a ;   i n t   b ;   } ; u i n t 8 _ t   O v e r f l o w D a t a   [ ]   =         “   A A A A A A A A A A A A A A A A ”   / / 缓 冲 区 大 小 为 1 6 个 字 节         “   B B B B ”                     / / 堆 栈 c o o k i e 的 + 4 字 节           “   C C C C ”                     / /   E B P   + 4 字 节           “   D D D D ” ； / /   + 4 个 字 节 作 为 返 回 地 址
图 4 . 易 受 攻 击 的 函 数 的 堆 栈 溢 出 后 的 调 试 跟 踪 果 然 ， 在 m e m c p y 返 回 之 后 ， 我 们 可 以 看 到 堆 栈 确 实 被 我 们 的 预 期 数 据 破 坏 了 ， 包 括 返 回 地 址 0 x 0 1 3 5 F E 3 8 ， 现 在 为 0 x 4 4 4 4 4 4 4 4 。 从 历 史 上 看 ， 当 该 函 数 返 回 时 ， 断 言 0 x 4 4 4 4 4 4 4 4 是 要 执 行 的 无 效 地 址 ， 我 们 会 期 望 访 问 冲 突 异 常 。 但 是 ， 堆 栈 c o o k i e 安 全 检 查 将 阻 止 这 种 情 况 。 首 次 执 行 此 函 数 时 ， 当 将 存 储 在 . d a t a 中 的 堆 栈 c o o k i e 种 子 与 E B P 进 行 X O R d 运 算 时 ， 结 果 为 0 x E 9 8 F 4 1 A F ， 该 值 随 后 被 保 存 到 堆 栈 中 。 因 为 此 值 已 被 0 x 4 2 4 2 4 2 4 2 覆 盖 在 溢 出 期 间 （ 如 果 我 们 希 望 能 够 覆 盖 返 回 地 址 并 劫 持 E I P ， 这 是 不 可 避 免 的 事 情 ） ， 它 产 生 了 一 个 有 毒 的 堆 栈 c o o k i e 值 0 x 4 3 7 7 8 C 7 6 （ 在 E C X 中 清 楚 可 见 ） ， 该 值 现 在 传 递 给 内 部 函 数 称 为 _ _ s e c u r i t y _ c h e c k _ c o o k i e 进 行 验 证 。 图 5 . 易 受 攻 击 的 应 用 程 序 的 调 试 跟 踪 在 被 允 许 调 用 _ _ s e c u r i t y _ c h e c k _ c o o k i e 之 后 引 发 安 全 异 常 。 调 用 此 函 数 后 ， 将 导 致 S T A T U S _ S T A C K _ B U F F E R _ O V E R R U N 异 常 （ 代 码 0 x C 0 0 0 0 4 0 9 ） 。 这 将 使 进 程 崩 溃 ， 但 会 阻 止 攻 击 者 成 功 利 用 它 。 牢 记 这 些 概 念 和 实 际 示 例 之 后 ， 您 可 能 已 经 注 意 到 了 有 关 堆 栈 c o o k i e 的 几 项 “ 有 趣 ” 的 事 情 ： 它 们 不 能 防 止 堆 栈 溢 出 的 发 生 。 攻 击 者 仍 然 可 以 随 心 所 欲 地 在 堆 栈 上 覆 盖 任 意 数 量 的 数 据 。 它 们 只 是 基 于 每 个 函 数 的 伪 随 机 数 。 这 意 味 着 ， 通 过 . d a t a 中 堆 栈 c o o k i e 种 子 的 内 存 泄 漏 以 及 堆 栈 指 针 的 泄 漏 ， 攻 击 者 可 以 准 确 地 预 测 c o o k i e 并 将 其 嵌 入 到 他 的 溢 出 中 以 绕 过 安 全 异 常 。 从 根 本 上 （ 假 设 它 们 无 法 通 过 内 存 泄 漏 来 预 测 ） 堆 栈 c o o k i e 只 能 阻 止 我 们 通 过 易 受 攻 击 的 函 数 的 返 回 地 址 劫 持 E I P 。 这 意 味 着 我 们 仍 然 可 以 按 照 我 们 想 要 的 任 何 方 式 破 坏 堆 栈 ， 并 且 在 安 全 检 查 和 R E T 指 令 之 前 执 行 的 任 何 代 码 都 是 公 平 的 。 这 对 于 可 靠 利 用 现 代 堆 栈 溢 出 有 何 价 值 ？ S E H 劫 持 劫 持 给 定 进 程 中 的 每 个 线 程 都 可 以 （ 并 且 默 认 情 况 下 ） 注 册 触 发 异 常 时 要 调 用 的 处 理 程 序 函 数 。 指 向 这 些 处 理 程 序 的 指 针 通 常 存 储 在 E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D 结 构 内 的 堆 栈 中 。 在 任 何 版 本 的 W i n d o w s 上 启 动 3 2 位 应 用 程 序 都 会 导 致 至 少 一 个 这 样 的 处 理 程 序 被 注 册 并 存 储 在 堆 栈 中 ， 如 下 所 示 。
图 6 .   N T D L L 在 线 程 初 始 化 期 间 默 认 注 册 的 S E H 帧 上 面 突 出 显 示 的 E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D 包 含 指 向 下 一 个 S E H 记 录 的 指 针 （ 也 存 储 在 堆 栈 中 ） ， 其 后 是 指 向 处 理 函 数 （ 在 本 例 中 为 N T D L L . D L L 中 的 函 数 ） 的 指 针 。 在 内 部 ， 指 向 S E H 处 理 程 序 列 表 的 指 针 存 储 在 每 个 线 程 的 T E B 的 偏 移 量 零 处 ， 并 且 每 个 E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D 都 链 接 到 下 一 个 。 如 果 处 理 程 序 无 法 正 确 处 理 引 发 的 异 常 ， 则 会 将 执 行 移 交 给 下 一 个 处 理 程 序 ， 依 此 类 推 。 图 7 .   S E H 链 堆 栈 布 局 因 此 ， S E H 提 供 了 一 种 绕 过 堆 栈 c o o k i e 的 理 想 方 法 。 我 们 可 以 使 堆 栈 溢 出 ， 覆 盖 现 有 的 S E H 处 理 程 序 （ 肯 定 有 至 少 一 个 ） ， 然 后 影 响 应 用 程 序 崩 溃 （ 考 虑 到 我 们 有 能 力 破 坏 堆 栈 内 存 ， 这 不 是 一 个 特 别 困 难 的 主 张 ） 。 这 将 导 致 E I P 被 重 定 向 到 我 们 在 易 受 攻 击 的 函 数 末 尾 调 用 _ _ s e c u r i t y _ c h e c k _ c o o k i e 之 前 用 E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D 结 构 覆 盖 现 有 处 理 程 序 的 地 址 。 结 果 ， 应 用 程 序 将 没 有 机 会 在 执 行 S h e l l c o d e 之 前 发 现 其 堆 栈 已 损 坏 。 t y p e d e f   s t r u c t   _ E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D   {     P E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D 接 下 来 ；     P E X C E P T I O N _ D I S P O S I T I O N 处 理 程 序 ； }   E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D ， *   P E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D ; # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t d i n t . h > v o i d   O v e r f l o w ( u i n t 8 _ t *   p I n p u t B u f ,   u i n t 3 2 _ t   d w I n p u t B u f S i z e )   {         c h a r   B u f [ 1 6 ]   =   {   0   } ;         m e m c p y ( B u f ,   p I n p u t B u f ,   d w I n p u t B u f S i z e ) ; } E X C E P T I O N _ D I S P O S I T I O N   _ _ c d e c l   F a k e H a n d l e r ( E X C E P T I O N _ R E C O R D *   p E x c e p t i o n R e c o r d ,   v o i d *   p E s t a b l i s h e r F r a m e ,   C O N T E X T *   p C o n t e x t R e c o r d ,   v o i d *   p D i s p a t c h e r C o n t e x t )   {         p r i n t f ( " . . .   f a k e   e x c e p t i o n   h a n d l e r   e x e c u t e d   a t   0 x % p r n " ,   F a k e H a n d l e r ) ;         s y s t e m ( " p a u s e " ) ;         r e t u r n   E x c e p t i o n C o n t i n u e E x e c u t i o n ; } i n t 3 2 _ t   w m a i n ( i n t 3 2 _ t   n A r g c ,   c o n s t   w c h a r _ t *   p A r g v [ ] )   {         u i n t 3 2 _ t   d w O v e r f l o w S i z e   =   0 x 2 0 0 0 0 ;         u i n t 8 _ t *   p O v e r f l o w B u f   =   ( u i n t 8 _ t * ) H e a p A l l o c ( G e t P r o c e s s H e a p ( ) ,   0 ,   d w O v e r f l o w S i z e ) ;         p r i n t f ( " . . .   s p r a y i n g   % d   c o p i e s   o f   f a k e   e x c e p t i o n   h a n d l e r   a t   0 x % p   t o   t h e   s t a c k . . . r n " ,   d w O v e r f l o w S i z e   /   4 ,   F a k e H a n d l e r ) ;         f o r   ( u i n t 3 2 _ t   d w O f f s e t   =   0 ;   d w O f f s e t   <   d w O v e r f l o w S i z e ;   d w O f f s e t   + =   4 )   {       * ( u i n t 3 2 _ t * ) & p O v e r f l o w B u f [ d w O f f s e t ]   =   F a k e H a n d l e r ;
图 8 . 用 自 定 义 的 S E H 处 理 程 序 对 堆 栈 进 行 喷 洒 以 覆 盖 现 有 的 注 册 结 构 图 9 . 堆 栈 溢 出 并 覆 盖 现 有 的 默 认 S E H 处 理 程 序 E X C E P T I O N _ R E G I S T R A T I O N 的 结 果 我 们 没 有 在 E X E 的 F a k e H a n d l e r 函 数 上 获 取 断 点 ， 而 是 得 到 了 S T A T U S _ I N V A L I D _ E X C E P T I O N _ H A N D L E R 异 常 （ 代 码 0 x C 0 0 0 0 1 A 5 ） 。 这 是 源 自 S a f e S E H 的 安 全 缓 解 例 外 。 S a f e S E H 仅 是 3 2 位 P E 文 件 的 安 全 性 缓 解 措 施 。 在 6 4 位 P E 文 件 中 ， 名 为 I M A G E _ D I R E C T O R Y _ E N T R Y _ E X C E P T I O N 的 永 久 （ 非 可 选 ） 数 据 目 录 替 换 了 原 来 在 3 2 位 P E 文 件 中 的 I M A G E _ D I R E C T O R Y _ E N T R Y _ C O P Y R I G H T 数 据 目 录 。 S a f e S E H 是 与 V i s u a l   S t u d i o   2 0 0 3 中 的 G S 一 起 发 布 的 ， 随 后 在 V i s u a l   S t u d i o   2 0 0 5 中 将 其 设 置 为 默 认 设 置 。 什 么 是 什 么 是 S a f e S E H ？ 如 何 运 作 ？ ？ 如 何 运 作 ？ 1 .   S a f e S E H 在 V i s u a l   S t u d i o   2 0 1 9 中 默 认 设 置 。 它 是 使 用 /   S A F E S E H 标 志 配 置 的 ， 该 标 志 在 P r o j e c t - >   P r o p e r t i e s - >   L i n k e r -   >   A d v a n c e d - >   I m a g e 具 有 S a f e   E x c e p t i o n   H a n d l e r s 中 指 定 。 2 .   S a f e S E H 编 译 的 P E 在 其 I M A G E _ D I R E C T O R Y _ E N T R Y _ L O A D _ C O N F I G 数 据 目 录 中 指 定 的 名 为 S E H a n d l e r T a b l e 的 表 中 存 储 有 有 效 的 S E H 处 理 程 序 地 址 列 表 。 3 .   每 当 触 发 异 常 时 ， 在 执 行 E X C E P T I O N _ R E G I S T R A T I O N _ R E C O R D 链 接 列 表 中 的 每 个 处 理 程 序 的 地 址 之 前 ， W i n d o w s 都 会 检 查 该 处 理 程 序 是 否 落 在 图 像 内 存 范 围 内 （ 指 示 它 与 已 加 载 的 模 块 相 关 ） ， 如 果 存 在 ， 它 将 使 用 S E H a n d l e r T a b l e 检 查 该 处 理 程 序 地 址 是 否 对 所 讨 论 的 模 块 有 效 。 通 过 使 用 堆 栈 溢 出 方 式 在 图 8 中 人 为 地 注 册 处 理 程 序 ， 我 们 创 建 了 一 个 编 译 器 将 无 法 识 别 的 处 理 程 序 （ 因 此 不 会 添 加 到 S E H a n d l e r T a b l e 中 ） 。 通 常 ， 编 译 器 会 将 作 为 _ _ t r y   _ _ e x c e p t 语 句 的 副 作 用 而 创 建 的 处 理 程 序 添 加 到 此 表 中 。 禁 用 S a f e S E H 后 ， 再 次 运 行 此 代 码 将 导 致 堆 栈 溢 出 ， 该 溢 出 将 执 行 喷 涂 的 处 理 程 序 。   图 1 0 . 堆 栈 溢 出 导 致 执 行 了 伪 S E H 处 理 程 序 的 执 行 ， 该 伪 S E H 处 理 程 序 被 编 译 为 P E   E X E 映 像 的 主 映 像 。 当 然 ， 考 虑 到 自 2 0 0 5 年 以 来 V i s u a l   S t u d i o 已 默 认 启 用 S a f e S E H   ， 假 设 在 现 代 应 用 程 序 中 存 在 禁 用 了 S a f e S E H 的 已 加 载 P E 违 反 了 本 文 的 目 的 ？ 在 为 我 自 己 探 索 这 个 问 题 时 ， 我 编 写 了 一 个 P E 文 件 扫 描 程 序 工 具 （ 此 处 为 G i t h u b 发 行 版 ） ， 能 够 在 整 个 系 统 范 围 内 的 每 个 文 件 基 础 上 识 别 （ 或 不 存 在 ） 漏 洞 利 用 缓 解 措 施 。 将 扫 描 仪 指 向 我 的 W i n d o w s   1 0   V M 上 的 S y s W O W 6 4 文 件 夹 （ 并 对 非 S a f e S E H   P E 进 行 过 滤 ） 后 ， 结 果 令 人 惊 讶 。       * ( u i n t 3 2 _ t * ) & p O v e r f l o w B u f [ d w O f f s e t ]   =   F a k e H a n d l e r ;         }         p r i n t f ( " . . .   p a s s i n g   % d   b y t e s   o f   d a t a   t o   v u l n e r a b l e   f u n c t i o n r n " ,   d w O v e r f l o w S i z e ) ;         O v e r f l o w ( p O v e r f l o w B u f ,   d w O v e r f l o w S i z e ) ;         r e t u r n   0 ; }
图 1 1 .   W i n d o w s   1 0   V M 上 的 S y s W O W 6 4 文 件 夹 中 的 S a f e S E H 的 P E 缓 解 扫 描 统 计 信 息 微 软 本 身 似 乎 已 经 拥 有 相 当 多 的 非 S a f e S E H   P E ， 特 别 是 D L L 仍 随 W i n d o w s   1 0 一 起 提 供 。 扫 描 我 的 P r o g r a m   F i l e s 文 件 夹 可 提 供 更 明 显 的 结 果 ， 大 约 7 ％ 的 P E 缺 少 S a f e S E H 。 实 际 上 ， 尽 管 在 我 的 V M 上 安 装 的 第 三 方 应 用 程 序 很 少 ， 但 从 7 - z i p 到 S u b l i m e   T e x t 到 V M W a r e   T o o l s 的 几 乎 每 个 应 用 程 序 都 至 少 有 一 个 非 S a f e S E H 模 块 。 在 进 程 的 地 址 空 间 中 甚 至 存 在 一 个 这 样 的 模 块 ， 也 可 能 足 以 绕 过 其 堆 栈 c o o k i e 缓 解 措 施 ， 从 而 使 用 本 文 中 探 讨 的 技 术 进 行 堆 栈 溢 出 。 值 得 注 意 的 是 ， S a f e S E H 可 以 认 为 在 两 种 不 同 的 情 况 下 对 于 P E 都 是 活 动 的 ， 它 们 是 我 的 工 具 在 其 扫 描 中 使 用 的 标 准 ： 1 .   上 述 的 存 在 S E H a n d l e r T a b l e 在 I M A G E _ D I R E C T O R Y _ E N T R Y _ L O A D _ C O N F I G 数 据 目 录 与 沿 S E H a n d l e r C o u n t 大 于 零 。 2 .   该 I M A G E _ D L L C H A R A C T E R I S T I C S _ N O _ S E H 在 标 志 为 组 I M A G E _ O P T I O N A L _ H E A D E R . D l l C h a r a c t e r i s t i c s 报 头 字 段 。 假 设 没 有 S a f e S E H 的 模 块 已 加 载 到 易 受 攻 击 的 应 用 程 序 中 ， 则 对 于 漏 洞 利 用 编 写 者 来 说 仍 然 存 在 重 大 障 碍 。 回 到 图 1 0 中 ， 通 过 堆 栈 溢 出 成 功 执 行 了 一 个 伪 造 的 S E H 处 理 程 序 ， 但 是 该 处 理 程 序 已 编 译 到 P E   E X E 映 像 本 身 中 。 为 了 实 现 任 意 代 码 执 行 ， 我 们 需 要 能 够 执 行 存 储 在 堆 栈 中 的 伪 S E H 处 理 程 序 （ s h e l l c o d e ） 。 D E P 和 和 A S L R 由 于 存 在 D E P 和 A S L R ， 在 堆 栈 上 将 我 们 的 S h e l l c o d e 用 作 伪 造 的 异 常 处 理 程 序 存 在 多 个 障 碍 ： 1 .   由 于 A S L R ， 我 们 不 知 道 S h e l l c o d e 在 堆 栈 上 的 地 址 ， 因 此 无 法 将 其 嵌 入 到 我 们 的 溢 出 中 以 喷 射 到 堆 栈 中 。 2 .   由 于 D E P 的 缘 故 ， 堆 栈 本 身 以 及 扩 展 的 s h e l l c o d e 在 默 认 情 况 下 是 不 可 执 行 的 。 随 着 2 0 0 4 年 W i n d o w s   X P   S P 2 的 问 世 ，   D E P 首 次 在 W i n d o w s 世 界 中 得 到 广 泛 采 用 ， 此 后 ，   D E P 已 成 为 当 今 使 用 的 几 乎 所 有 现 代 应 用 程 序 和 操 作 系 统 的 普 遍 特 征 。 通 过 在 硬 件 层 上 的 内 存 页 面 的 P T E 标 头 中 使 用 特 殊 位 （   N X   a k a 不 可 执 行 位 ） 来 强 制 实 施 此 位 ， 该 位 默 认 情 况 下 在 W i n d o w s 中 所 有 新 分 配 的 内 存 中 设 置 。 这 意 味 着 必 须 显 式 创 建 可 执 行 内 存 ， 方 法 是 通 过 诸 如 K E R N E L 3 2 . D L L ！ V i r t u a l A l l o c 之 类 的 A P I 分 配 具 有 可 执 行 权 限 的 新 内 存 ， 或 者 通 过 使 用 诸 如 K E R N E L 3 2 . D L L ！ 之 类 的 A P I 将 现 有 的 非 可 执 行 内 存 修 改 为 可 执 行 的 。 虚 拟 防 护 。 这 样 做 的 隐 含 副 作 用 是 ， 默 认 情 况 下 ， 堆 栈 和 堆 都 是 不 可 执 行 的 ， 这 意 味 着 我 们 无 法 直 接 从 这 些 位 置 执 行 s h e l l c o d e ， 必 须 首 先 为 其 划 分 出 可 执 行 的 区 域 。 从 漏 洞 利 用 写 作 的 角 度 来 看 ， 理 解 的 关 键 是 D E P 是 一 种 全 部 缓 解 或 全 部 缓 解 ， 它 既 适 用 于 进 程 中 的 所 有 内 存 ， 也 适 用 于 其 中 的 任 何 内 存 。 如 果 使 用 /   N X C O M P A T 标 志 编 译 生 成 进 程 的 主 E X E ， 则 整 个 进 程 将 启 用 D E P 。 与 诸 如 S a f e S E H 或 A S L R 之 类 的 缓 解 措 施 形 成 鲜 明 对 比 的 是 ， 没 有 像 非 D E P   D L L 模 块 这 样 的 东 西 。 可 以 在 这 里 找 到 进 一 步 探 讨 此 想 法 的 文 章 。 从 漏 洞 利 用 编 写 的 角 度 来 看 ， D E P 的 解 决 方 案 长 期 以 来 一 直 被 认 为 是 面 向 返 回 的 编 程 （ R O P ） 。 原 则 上 ， 现 有 的 可 执 行 内 存 将 与 攻 击 者 提 供 的 堆 栈 一 起 以 小 片 段 的 形 式 回 收 ， 以 实 现 为 我 们 的 s h e l l c o d e 划 分 可 执 行 区 域 的 目 标 。 那 些 阅 读 过 《 掩 盖 恶 意 内 存 工 件 》 系 列 的 人 已 经 熟 悉 W i n d o w s 用 户 模 式 进 程 地 址 空 间 的 典 型 布 局 ， 并 且 会 知 道 可 执 行 内 存 几 乎 只 以 与 . t e x t 相 关 的 +   R X 区 域 的 形 式 找 到 。 P E 模 块 中 的 各 个 部 分 。 在 创 建 漏 洞 利 用 程 序 的 上 下 文 中 ， 这 意 味 着 通 常 将 根 据 这 些 . t e x t 节 中 的 循 环 字 节 序 列 来 制 作 R O P 链 。 创 建 我 自 己 的 R O P 链 时 ， 我 选 择 使 用 K E R N E L 3 2 . D L L ！ V i r t u a l P r o t e c t   A P I ， 以 便 使 包 含 我 的 s h e l l c o d e 的 堆 栈 区 域 可 执 行 。 该 A P I 的 原 型 如 下 ： 从 历 史 上 看 预 A S L R ， 以 控 制 经 由 溢 流 栈 的 能 力 足 以 简 单 地 植 入 这 些 参 数 的 所 有 五 个 为 常 量 到 堆 栈 ， 然 后 触 发 E I P 重 定 向 到 V i r t u a l P r o t e c t 的 在 K E R N E L 3 2 . D L L （ 其 中 可 以 在 要 计 数 的 基 保 持 静 态 ） 。 唯 一 的 障 碍 是 不 知 道 要 作 为 第 一 个 参 数 传 递 或 用 作 返 回 地 址 的 s h e l l c o d e 的 确 切 地 址 。 这 个 古 老 的 障 碍 是 使 用 解 决 N O P 雪 橇 （ 与 大 场 填 补 的 s h e l l c o d e 的 前 面 的 做 法 N O P 说 明 即 。 0 x 9 0 ） 。 然 后 ， 漏 洞 利 用 程 序 编 写 者 可 以 对 s h e l l c o d e 所 在 的 堆 栈 的 一 般 区 域 进 行 有 根 据 的 猜 测 ， 选 择 此 范 围 内 的 地 址 并 将 其 直 接 植 入 其 溢 出 中 ， 从 而 使 N O P 平 台 将 这 一 猜 测 转 换 为 精 确 的 代 码 执 行 。 B O O L   V i r t u a l P r o t e c t （     L P V O I D   l p A d d r e s s ，     S I Z E _ T   d w S i z e ，     D W O R D   f l N e w P r o t e c t ，     P D W O R D   l p f l O l d P r o t e c t ） ;
随 着 2 0 0 6 年 A S L R 与 W i n d o w s   V i s t a 的 问 世 ， 从 现 在 开 始 ， 创 建 R O P 链 变 得 有 些 棘 手 ： K E R N E L 3 2 . D L L 的 基 地 址 以 及 结 果 V i r t u a l P r o t e c t 变 得 不 可 预 测 。 无 法 再 猜 测 s h e l l c o d e 的 地 址 。 包 含 要 回 收 的 可 执 行 代 码 段 的 模 块 地 址 ， 即 。 R O P 小 工 具 本 身 变 得 不 可 预 测 。 这 导 致 对 R O P 链 的 要 求 更 高 ， 更 精 确 地 实 施 ， 并 且 N O P 雪 橇 （ 以 其 大 约 于 1 9 9 6 年 的 经 典 形 式 ） 成 为 过 时 的 A S L R 开 发 技 术 。 这 也 导 致 A S L R 旁 路 成 为 D E P 旁 路 的 先 驱 。 如 果 在 易 受 攻 击 的 进 程 中 没 有 绕 过 A S L R 来 定 位 至 少 一 个 模 块 的 基 地 址 ， 则 无 法 知 道 R O P 小 工 具 的 地 址 ， 因 此 无 法 执 行 R O P 链 ， 也 无 法 调 用 V i r t u a l P r o t e c t 绕 过 D E P 。 为 了 创 建 现 代 的 R O P 链 ， 我 们 首 先 需 要 一 个 模 块 ， 该 模 块 的 基 础 可 以 在 运 行 时 进 行 预 测 。 在 大 多 数 现 代 漏 洞 利 用 中 ， 这 是 通 过 使 用 内 存 泄 漏 漏 洞 利 用 来 完 成 的 （ 该 主 题 将 以 字 符 串 格 式 的 错 误 和 本 系 列 的 堆 破 坏 续 集 进 行 探 讨 ） 。 为 了 简 单 起 见 ， 我 选 择 将 一 个 非 A S L R 模 块 引 入 易 受 攻 击 的 进 程 的 地 址 空 间 中 （ 来 自 W i n d o w s   1 0   V M 的 S y s W O W 6 4 目 录 ） 。 在 继 续 之 前 ， 必 须 了 解 漏 洞 利 用 程 序 编 写 中 非 A S L R 模 块 背 后 的 概 念 （ 以 及 其 含 义 ） 。 从 漏 洞 编 写 的 角 度 来 看 ， 这 些 是 A S L R 概 念 ， 我 认 为 它 们 是 最 有 价 值 的 ： 默 认 情 况 下 ， V i s u a l   S t u d i o   2 0 1 9 中 设 置 了 A S L R 。 它 使 用 /   D Y N A M I C B A S E 标 志 进 行 配 置 ， 该 标 志 在 项 目 设 置 的 “ 项 目 ” - > “ 属 性 ” - > “ 链 接 器 ” - > “ 高 级 ” - > “ 随 机 基 地 址 ” 字 段 中 指 定 。 使 用 此 标 志 编 译 P E 时 ， （ 默 认 情 况 下 ） 它 将 始 终 导 致 创 建 I M A G E _ D I R E C T O R Y _ E N T R Y _ B A S E R E L O C 数 据 目 录 （ 存 储 在 P E 的 . r e l o c 节 中 ） 。 如 果 没 有 这 些 重 定 位 ， W i n d o w s 将 无 法 重 新 建 立 模 块 基 础 并 执 行 A S L R 。 编 译 后 的 P E 将 在 其 I M A G E _ O P T I O N A L _ H E A D E R . D l l C h a r a c t e r i s t i c s 标 头 字 段 中 设 置 I M A G E _ D L L C H A R A C T E R I S T I C S _ D Y N A M I C _ B A S E 标 志 。 当 P E 被 加 载 时 ， 将 为 其 选 择 一 个 随 机 基 地 址 ， 并 且 使 用 重 定 位 部 分 将 其 代 码 / 数 据 中 的 所 有 绝 对 地 址 重 新 作 为 基 础 。 每 次 引 导 时 ， 此 随 机 地 址 仅 是 唯 一 的 。 如 果 用 于 启 动 进 程 的 主 要 P E （ E X E ） 启 用 了 A S L R ， 则 还 将 导 致 堆 栈 和 堆 被 随 机 化 。 您 可 能 会 注 意 到 ， 这 实 际 上 导 致 可 能 发 生 非 A S L R 模 块 的 两 种 不 同 情 况 。 第 一 个 是 明 确 编 译 模 块 以 排 除 A S L R 标 志 （ 或 在 该 标 志 存 在 之 前 编 译 的 模 块 ） ， 第 二 个 是 设 置 A S L R 标 志 但 由 于 缺 少 重 定 位 而 无 法 应 用 的 模 块 。 开 发 人 员 的 一 个 常 见 错 误 是 将 编 译 器 中 的 “   s t r i p   r e l o c a t i o n s ” 选 项 与 A S L R 标 志 一 起 使 用 ， 认 为 生 成 的 二 进 制 文 件 实 际 上 仍 然 很 容 易 受 到 A S L R 保 护 。 过 去 ， 非 A S L R 模 块 非 常 常 见 ， 甚 至 在 W i n d o w s   7 +   W e b 浏 览 器 漏 洞 中 也 被 滥 用 在 商 业 恶 意 软 件 方 面 取 得 了 巨 大 成 功 。 由 于 A S L R 是 默 认 情 况 下 在 I D E （ 例 如 V i s u a l   S t u d i o ） 中 应 用 的 安 全 缓 解 措 施 ， 因 此 此 类 模 块 已 逐 渐 变 得 稀 缺 。 令 人 惊 讶 的 是 ， 我 的 扫 描 仪 在 W i n d o w s   1 0   V M 上 找 到 了 很 多 非 A S L R 模 块 ， 包 括 S y s t e m 3 2 和 S y s W O W 6 4 目 录 中 。 图 1 2 .   W i n d o w s   1 0   V M 的 S y s W O W 6 4 目 录 中 的 非 A S L R 模 块 的 扫 描 结 果 值 得 注 意 的 是 ， 图 1 2 所 示 的 所 有 非 A S L R 模 块 都 具 有 非 常 不 同 （ 且 唯 一 ） 的 基 地 址 。 这 些 是 M i c r o s o f t 编 译 的 P E 文 件 ， 其 特 定 目 的 是 不 使 用 A S L R ， 可 能 是 出 于 性 能 或 兼 容 性 方 面 的 考 虑 。 它 们 将 始 终 加 载 在 其 I M A G E _ O P T I O N A L _ H E A D E R . I m a g e B a s e 中 指 定 的 图 像 库 中 （ 图 1 2 中 突 出 显 示 的 值 ） 。 显 然 ， 这 些 独 特 的 图 像 库 是 在 创 建 时 由 编 译 器 随 机 选 择 的 。 通 常 ， P E 文 件 都 在 其 P E 标 头 中 包 含 默 认 图 像 基 值 ， 例 如 E X E 的 0 x 0 0 4 0 0 0 0 0 和 0 x 1 0 0 0 0 0 0 用 于 D L L 。 此 类 故 意 创 建 的 非 A S L R 模 块 与 错 误 创 建 的 非 A S L R 模 块 （ 例 如 下 面 的 图 1 3 中 的 模 块 ） 形 成 了 鲜 明 的 对 比 。
图 1 3 .   W i n d o w s   1 0   V M 的 “   P r o g r a m   F i l e s ” 目 录 中 的 非 A S L R 模 块 的 扫 描 结 果 这 是 非 A S L R 模 块 的 主 要 示 例 ， 它 是 在 最 新 版 本 的 H X D   H e x   E d i t o r 中 作 为 重 定 位 剥 离 （ 不 了 解 开 发 人 员 的 旧 优 化 习 惯 ） 的 副 作 用 而 创 建 的 。 值 得 注 意 的 是 ， 您 可 以 在 上 面 的 图 1 3 中 看 到 ， 与 图 1 2 中 的 模 块 （ 具 有 随 机 基 址 ） 不 同 ， 这 些 模 块 都 具 有 相 同 的 默 认 图 像 基 0 x 0 0 4 0 0 0 0 0 ， 这 些 默 认 图 像 基 被 编 译 到 其 P E 标 头 中 。 结 合 其 P E 标 头 中 存 在 的 I M A G E _ D L L C H A R A C T E R I S T I C S _ D Y N A M I C _ B A S E 标 志 ， 这 表 明 开 发 人 员 对 其 进 行 编 译 的 假 设 是 ， 将 它 们 加 载 到 一 个 随 机 地 址 而 不 是 0 x 0 0 4 0 0 0 0 0 ， 因 此 受 到 A S L R 的 保 护 。 但 是 实 际 上 ， 尽 管 它 们 启 用 了 A S L R   ， 但 我 们 仍 可 以 依 靠 它 们 始 终 加 载 在 地 址 0 x 0 0 4 0 0 0 0 0 上 ， 因 为 在 初 始 化 过 程 中 O S 不 能 在 没 有 重 定 位 数 据 的 情 况 下 重 新 为 其 建 立 基 础 。 通 过 回 收 非 A S L R 模 块 的 可 执 行 部 分 （ 通 常 是 它 们 的 . t e x t 部 分 ） 中 的 代 码 ， 我 们 能 够 构 造 R O P 链 来 调 用 K E R N E L 3 2 . D L L ！ V i r t u a l P r o t e c t   A P I 并 在 堆 栈 上 为 我 们 的 s h e l l c o d e 禁 用 D E P 。 我 为 R O P 链 从 图 1 2 中 选 择 了 S y s W O W 6 4 中 的 S y s W O W 6 4 中 的 非 A S L R 模 块 m s v b v m 6 0 . d l l ， 因 为 它 不 仅 缺 少 A S L R 保 护 ， 而 且 还 缺 少 S a f e S E H （ 考 虑 到 我 们 必 须 知 道 虚 假 S E H 处 理 程 序 / 堆 栈 枢 纽 小 工 具 的 地 址 ， 这 是 一 个 至 关 重 要 的 细 节 ） 我 们 在 溢 出 中 写 入 堆 栈 ） 。 它 还 通 过 其 I A T 导 入 了 K E R N E L 3 2 . D L L ！ V i r t u a l P r o t e c t ， 这 一 细 节 将 大 大 简 化 R O P 链 的 创 建 ， 这 将 在 下 一 部 分 中 进 行 探 讨 。 创 建 我 的 创 建 我 的 R O P 链 链 第 一 步 ， 我 使 用 R o p p e r 从 m s v b v m 6 0 . d l l 中 提 取 了 所 有 可 能 有 用 的 可 执 行 代 码 段 的 列 表 （ 以 R E T ， J M P 或 C A L L 指 令 结 尾 ） 。 我 创 建 的 R O P 链 有 三 个 主 要 目 标 。 1 .   通 过 从 m s v b v m 6 0 . d l l 的 I A T 加 载 其 地 址 来 调 用 K E R N E L 3 2 . D L L ！ V i r t u a l P r o t e c t （ 为 K E R N E L 3 2 . D L L 绕 过 A S L R   ） 。 2 .   动 态 控 制 V i r t u a l P r o t e c t 的 第 一 个 参 数 （ 禁 用 D E P 的 地 址 ） 以 指 向 我 在 堆 栈 上 的 s h e l l c o d e 。 3 .   为 了 人 为 地 控 制 对 V i r t u a l P r o t e c t 的 调 用 的 返 回 地 址 ， 以 在 完 成 时 在 堆 栈 上 动 态 执 行 s h e l l c o d e （ 现 在 为 +   R W X ） 。 编 写 R O P 链 时 ， 我 首 先 为 汇 编 中 需 要 的 逻 辑 编 写 了 伪 代 码 ， 然 后 尝 试 使 用 R O P 小 工 具 复 制 它 。 图 1 4 .   R O P 链 伪 代 码 逻 辑 值 得 注 意 的 是 ， 在 我 编 写 的 逻 辑 中 ， 为 了 解 决 K E R N E L 3 2 . D L L 的 A S L R 问 题 ， 我 在 包 含 V i r t u a l P r o t e c t 地 址 的 m s v b v m 6 0 . d l l 中 使 用 了 已 取 消 引 用 的 I A T 转 换 地 址 。 加 载 m s v b v m 6 0 . d l l 时 ， 可 以 依 靠 W i n d o w s 为 我 们 解 析 V i r t u a l P r o t e c t 的 地 址 ， 并 且 该 地 址 将 始 终 存 储 在 m s v b v m 6 0 . d l l 中 的 同 一 位 置 。 我 正 在 使 用 J M P 指 令 来 调 用 它 ， 而 不 是 C A L L 指 令 。 这 是 因 为 我 需 要 为 V i r t u a l P r o t e c t 的 调 用 创 建 人 为 的 返 回 地 址 ， 这 将 导 致 直 接 执 行 s h e l l c o d e （ 现 已 摆 脱 D E P 约 束 ） 的 返 回 地 址 。 该 人 工 返 回 地 址 将 发 送 到 J M P   E S P 小 工 具 。 我 在 这 里 的 理 由 是 ， 尽 管 不 知 道 （ 也 无 法 知 道 ） 通 过 溢 出 写 到 堆 栈 的 s h e l l c o d e 的 位 置 ， 但 是 在 最 终 的 小 工 具 返 回 后 ， E S P 仍 可 以 依 靠 它 指 向 R O P 链 的 末 尾 ， 而 我 可 以 制 作 我 的 溢 出 代 码 ， 以 便 s h e l l c o d e 直 接 跟 随 此 R O P 链 。 此 外 ， 我 在 第 四 个 小 工 具 中 使 用 了 相 同 的 概 念 ， 在 该 小 工 具 中 ， 我 使 用 双 推 功 能 使 用 E S P 动 态 生 成 V i r t u a l P r o t e c t 的 第 一 个 参 数 。 与 J M P   E S P 指 令 （ 其 中 E S P 将 直 接 指 向 我 的 s h e l l c o d e ） 此 处 的 E S P 与 我 的 s h e l l c o d e （ E S P 与 运 行 时 R O P 链 末 端 之 间 的 距 离 ） 略 有 不 同 。 这 不 是 问 题 ， 因 为 所 有 事 情 都 会 发 生 ， 除 了 s h e l l c o d e 本 身 之 外 ， R O P 链 的 尾 部 还 将 禁 用 D E P 。 将 这 种 逻 辑 用 于 构 建 实 际 的 R O P 链 的 任 务 中 ， 我 发 现 m s v b v m 6 0 . d l l 中 没 有 小 工 具 ＃ 4 （ 我 的 伪 代 码 小 工 具 中 最 稀 有 和 不 可 替 代 的 小 工 具 ） 。 这 次 挫 折 可 以 很 好 地 说 明 为 什 么 您 在 任 何 公 共 漏 洞 利 用 中 几 乎 都 会 发 现 每 个 R O P 链 都 在 使 用 P U S H A D 指 令 ， 而 不 是 类 似 于 我 所 描 述 的 伪 代 码 的 逻 辑 。 简 而 言 之 ， P U S H A D 指 令 允 许 漏 洞 利 用 程 序 编 写 器 将 E S P 的 值 （ 以 及 堆 栈 代 码 在 堆 栈 上 的 地 址 ） 动 态 地 与 所 有 其 他 相 关 K E R N E L 3 2 . D L L ！ V i r t u a l P r o t e c t 参 数 一 起 放 置 到 堆 栈 上 ， 而 无 需 使 用 任 何 稀 有 的 小 玩 意 。 所 需 要 做 的 就 是 正 确 填 充 每 个 通 用 寄 存 器 的 值 ， 然 后 执 行 P U S H A D ； R E T 小 工 具 即 可 完 成 攻 击 。 有 关 其 工 作 原 理 的 更 详 细 说 明 ， 请 参 见 C o r e l a n 的 E x p l o i t 写 作 教 程 第 1 0 部 分 ： 将 D E P 与 R O P 链 接 –   R u b i k ' s ™ 多 维 数 据 集   。 我 最 终 为 攻 击 创 建 的 链 以 以 下 方 式 设 置 攻 击 所 需 的 寄 存 器 ：   G a d g e t   # 1   |   M O V   R E G 1 ,   < A d d r e s s   o f   V i r t u a l P r o t e c t   I A T   t h u n k >   ;   R E T G a d g e t   # 2   |   M O V   R E G 2 ,   < A d d r e s s   o f   J M P   E S P   -   G a d g e t   # 6 >   ;   R E T G a d g e t   # 3   |   M O V   R E G 3 ,   < A d d r e s s   o f   g a d g e t   # 5 >   ;   R E T G a d g e t   # 4   |   P U S H   E S P   ;   P U S H   R E G 3   ;   R E T G a d g e t   # 5   |   P U S H   R E G 2   ;   J M P   D W O R D   [ R E G 1 ] G a d g e t   # 6   |   J M P   E S P E A X   =   N O P   s l e d     E C X   =   O l d   p r o t e c t i o n   ( w r i t a b l e   a d d r e s s )     E D X   =   P A G E _ E X E C U T E _ R E A D W R I T E     E B X   =   S i z e     E B P   =   V i r t u a l P r o t e c t   r e t u r n   a d d r e s s   ( J M P   E S P )     E S I   =   K E R N E L 3 2 . D L L ! V i r t u a l P r o t e c t     E D I   =   R O P N O P
实 际 上 ， 此 逻 辑 已 复 制 到 以 下 p s e d o 代 码 表 示 的 R O P 小 工 具 中 ：   最 终 ， 此 伪 代 码 逻 辑 转 换 为 从 m s v b v m 6 0 . d l l 派 生 的 以 下 R O P 链 数 据 ： 图 1 5 . 从 m s v b v m 6 0 . d l l 派 生 的 R O P 链 G a d g e t   # 1   |   M O V   E A X ,   < m s v b v m 6 0 . d l l ! V i r t u a l P r o t e c t >   G a d g e t   # 2   |   M O V   E S I ,   D W O R D   [ E A X ]   G a d g e t   # 3   |   M O V   E A X ,   0 x 9 0 9 0 9 0 9 0   G a d g e t   # 4   |   M O V   E C X ,   < m s v b v m 6 0 . d l l ! . d a t a >   G a d g e t   # 5   |   M O V   E D X ,   0 x 4 0   G a d g e t   # 6   |   M O V   E B X ,   0 x 2 0 0 0   G a d g e t   # 7   |   M O V   E B P ,   < A d d r e s s   o f   g a d g e t   # 1 1 >   G a d g e t   # 8   |   M O V   E D I ,   < A d d r e s s   o f   g a d g e t   # 1 0 >   G a d g e t   # 9   |   P U S H A D   G a d g e t   # 1 0   |   R O P N O P   G a d g e t   # 1 1   |   J M P   E S P u i n t 8 _ t   R o p C h a i n [ ]   =         " x 5 4 x 1 e x 0 0 x 6 6 "   / /   0 x 6 6 0 0 1 e 5 4   |   G a d g e t   # 1   |   P O P   E S I   ;   R E T         " x d 0 x 1 0 x 0 0 x 6 6 "   / /   0 x 6 6 0 0 1 0 d 0   - >   E S I   |   < m s v b v m 6 0 . d l l ! V i r t u a l P r o t e c t   t h u n k >         " x f c x 5 0 x 0 5 x 6 6 "   / /   0 x 6 6 0 5 5 0 f c   |   G a d g e t   # 2   |   M O V   E A X ,   D W O R D   [ E S I ]   ;   P O P   E S I ;   R E T         " x e f x b e x a d x d e "   / /   J u n k         " x f 8 x 9 f x 0 f x 6 6 "   / /   0 x 6 6 0 f 9 f f 8   |   G a d g e t   # 3   |   X C H G   E A X ,   E S I ;   R E T         " x 1 f x 9 8 x 0 e x 6 6 "   / /   0 x 6 6 0 e 9 8 1 f   |   G a d g e t   # 4   |   P O P   E A X ;   R E T         " x 9 0 x 9 0 x 9 0 x 9 0 "   / /   N O P   s l e d   - >   E A X   |   J M P   E S P   w i l l   p o i n t   h e r e         " x f 0 x 1 d x 0 0 x 6 6 "   / /   0 x 6 6 0 0 1 d f 0   |   G a d g e t   # 5   |   P O P   E B P ;   R E T         " x e a x c b x 0 1 x 6 6 "   / /   0 x 6 6 0 1 C B E A   - >   E B P   |   < G a d g e t   # 1 2 >         " x 1 0 x 1 f x 0 0 x 6 6 "   / /   0 x 6 6 0 0 1 f 1 0   |   G a d g e t   # 6   |   P O P   E B X ;   R E T         " x 0 0 x 2 0 x 0 0 x 0 0 "   / /   0 x 2 0 0 0   - >   E B X   |   V i r t u a l P r o t e c t ( )   |   P a r a m   # 2   |   d w S i z e         " x 2 1 x 4 4 x 0 6 x 6 6 "   / /   0 x 6 6 0 6 4 4 2 1   |   G a d g e t   # 7   |   P O P   E D X ;   R E T         " x 4 0 x 0 0 x 0 0 x 0 0 "   / /   0 x 4 0   - >   E D X   |   V i r t u a l P r o t e c t ( )   |   P a r a m   # 3   |   f l N e w P r o t e c t   |   P A G E _ E X E C U T E _ R E A D W R I T E         " x f 2 x 1 f x 0 0 x 6 6 "   / /   0 x 6 6 0 0 1 f f 2   |   G a d g e t   # 8   |   P O P   E C X ;   R E T         " x 0 0 x a 0 x 1 0 x 6 6 "   / /   0 x 6 6 1 0 A 0 0 0   - >   E C X   |   V i r t u a l P r o t e c t ( )   |   P a r a m   # 4   |   l p f l O l d P r o t e c t         " x 5 b x 5 7 x 0 0 x 6 6 "   / /   0 x 6 6 0 0 5 7 5 b   |   G a d g e t   # 9   |   P O P   E D I ;   R E T         " x f 9 x 2 8 x 0 f x 6 6 "   / /   0 x 6 6 0 F 2 8 F 9   - >   E D I   |   < G a d g e t   # 1 1 >         " x 5 4 x 1 2 x 0 5 x 6 6 "   / /   0 x 6 6 0 5 1 2 5 4   |   G a d g e t   # 1 0   |   P U S H A D ;   R E T         / /   0 x 6 6 0 F 2 8 F 9   |   G a d g e t   # 1 1   |   R O P N O P   |   r e t u r n s   i n t o   V i r t u a l P r o t e c t         / /   0 x 6 6 0 1 C B E A   |   G a d g e t   # 1 2   |   P U S H   E S P ;   R E T   |   r e t u r n   a d d r e s s   f r o m   V i r t u a l P r o t e c t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理