緩沖區(qū)溢出漏洞發(fā)掘模型-預覽頁
【正文】 dword ptr [edi],dword ptr [esi] 由此，我們可以認為字符緩沖區(qū)的起始位置為 esp+8。 funnywei 2021 然后可以分析以 ESP,EBP為基址寄存器的指令： 00401015 89 44 24 00 mov dword ptr [esp],eax 0040101E 56 push esi 0040101F 57 push edi 00401020 89 4C 24 0C mov dword ptr [esp+0Ch],ecx 00401024 88 44 24 12 mov byte ptr [esp+12h],al 00401033 66 89 54 24 10 mov word ptr [esp+10h],dx 由上可以看出在程序保留的變量中，有很大一部分都沒有被指令所訪問，只是通過 rep stos dword ptr [edi]將其設為 0，而通過前面的分析已經知道對于普通變量來說，如果沒有被指令直接訪問就不會為其在堆棧中保留地址空間，所以，我們就可以認為，這些地址空間都在字符數(shù)組中。但是對于數(shù)組來說，即 使其某個成員從頭到尾都作為目的操作數(shù)而存在，它也不會被編譯 器優(yōu)化掉。在這個程序中，只有兩條指令用堆棧中的變量作為源操作數(shù)， 0040103B 8D 54 24 00 lea edx,[esp] ；取變量 a地址 .... 00401043 8D 44 24 04 lea eax,[esp+4] ；取字符串首址對于堆棧中其他的地址空間來說，它們都沒有被用作源操作數(shù)，所以根據(jù)我們對編譯器優(yōu)化局部變量原則的分析，我們可以認為這些地址所指向的存儲單元都位于字符緩沖區(qū)中。 char dest[100]； ... ZeroMemory（ dest， 100）； ... memset()函數(shù)在 Release版本的程序中會被編譯成一條匯編語句 rep stos 。污點數(shù)據(jù)通過程序語句進行傳播。 例： wuftpd 。 …} 現(xiàn)實中 format string的例子并不太可能是顯式的使用prinft(buf)這么容易檢測。 funnywei 2021 ? 偏序關系 考慮例子： void f(tainted int)。 g(b)。找到兩者相交的位置，從而產生污染流路徑（ Tainted Flow Path）。在棧列表中，記錄所有函數(shù)緩沖區(qū)的情況。 funnywei 2021 不 安 全 函 數(shù) 攔 截所 使 用 緩 沖 區(qū)在 堆 或 棧 中 ？堆 指 針 定 位 ， 獲取 信 息查 找 虛 擬 棧 列表 ， 獲 取 信 息限 制 條 件 比 較分 析 結 果調 用 不 安 全 函 數(shù)? 虛擬棧 ? 虛擬棧用來記錄棧的調用情況。 Copyright 169。 ?如果 ad，那么肯定發(fā)生。在每次成功分配堆內存的時候，采用紅黑樹記錄堆指針，或者在剛分配的堆內存的起始位置記錄 Meta Data信息。導致時間復雜度為 O(n)。其搜索時間為 O(1)，即線性時間。魔數(shù)是元數(shù)據(jù)的第一部分，它是精心選擇的一個數(shù)，在正常的用戶程序里不太可能出現(xiàn)。反之，如果匹配，那么就有可能是我們找到了起始點。 funnywei 2021 ? 進程跟蹤與調試 – 捕獲函數(shù)調用異常（對于 Windows而言） ?DebugActiveProcess attach到一個活動進程。具體方法可以參考 Phrack 61的Hijacking Linux Page Fault Handler Exception Table。 遍歷被監(jiān)測進程的堆棧 ――StackWalk 遍歷。包括 Fuzzer的自動化教本引擎等工作。 funnywei 2021 Thanks !
環(huán)評公示相關推薦
鄂ICP備17016276號-1