緩沖區(qū)溢出攻擊技術(shù)-棧溢出攻擊技術(shù)-資料下載頁
2025-10-08 11:31本頁面
【導(dǎo)讀】緩沖區(qū)溢出攻擊簡(jiǎn)介。基本概念及發(fā)展歷史。棧溢出攻擊如何工作？向緩沖區(qū)中填入過多的數(shù)據(jù)，超出邊界。導(dǎo)致數(shù)據(jù)外溢，覆蓋了相鄰的內(nèi)存空間。利用緩沖區(qū)溢出改寫數(shù)據(jù)、改變程序執(zhí)。干擾系統(tǒng)運(yùn)行，破壞系統(tǒng)完全性，任意。Morris蠕蟲－fingerd緩沖區(qū)溢出攻擊。DarkSpyrit:提出使用系統(tǒng)核心DLL中的JmpESP指令完。M.Conover:基于堆的緩沖區(qū)溢出教程。編譯器、調(diào)試器的使用。匯編語言基本知識(shí)。最著名的GNU的Ansic/c++編譯器。watch–表達(dá)式值改變時(shí)，程序中斷。attach–調(diào)試已運(yùn)行的進(jìn)程。信息查看相關(guān)指令。print/fexp–顯示表達(dá)式的值。disassfunc–反匯編指定函數(shù)。我的電腦－屬性－高級(jí)－環(huán)境變量。OllyUni:查找跳轉(zhuǎn)指令功能。存儲(chǔ)函數(shù)參數(shù)、本地參數(shù)和棧狀態(tài)變量(返回地址,…為Win32操作系統(tǒng)保留。代碼區(qū)間:從0x00400000開始。多線程進(jìn)程擁有多個(gè)堆/棧
【正文】 014 |. 83C4 08 ADD ESP,8 00401017 |. 8BE5 MOV ESP,EBP 00401019 |. 5D POP EBP 0040101A \. C3 RETN NOW ESP POINTS TO SHELLCODE!! 調(diào)用者的棧 調(diào)用參數(shù) Return address EBP 局部變量 SSSS R NNNN NNNN EBP SP ESP ESP ESP JMP ESP 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 41 Win32遠(yuǎn)程緩沖區(qū)溢出 ? 遠(yuǎn)程緩沖區(qū)溢出演示 ? 緩沖區(qū)溢出漏洞服務(wù)器端程序 : ? 遠(yuǎn)程緩沖區(qū)溢出攻擊代碼 : ? 結(jié)構(gòu)化異常處理－ SEH ? ， exploit時(shí)返回前異常觸發(fā)，程序流進(jìn)入異常處理 ? SEH保存在棧中，對(duì)其進(jìn)行覆蓋 ? XP和 2020的增強(qiáng)異常處理－ VEH向量化異常處理 ? 異常處理次序 : 調(diào)試器 ? VEH ? SEH ? VEH保存在堆里 ? David Litchfield: “Defeating the Stack Based Buffer Overflow Prevention Mechanism of Microsoft Windows 2020 Server” 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 42 Win32 Shellcode C語言版 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 43 Win32 Shellcode 匯編語言版 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 44 Win32 Shellcode Opcode版 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 45 Win32完整的本地 Shellcode ? 三個(gè) API調(diào)用過程 : ? LoadLibrary()。 ? system()。 ? exit(0)。 ? 平臺(tái)相關(guān)的 API入口地址 ? system() and exit() ? 使用 LoadLibrary()和 GetProcAddress() 獲取其他 API函數(shù)入口地址 ? GetProcAddress()和 LoadLibrary()的地址可以在漏洞程序的 Import Address Table找到 ? GetProcAddress()和 LoadLibrary()的地址對(duì)于一個(gè)特定版本的 Win32平臺(tái)是固定的－從 址 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 46 從 ? 獲取 ? 從 PEB（進(jìn)程環(huán)境塊）獲取 ? 獲取 Windows API地址 ? Hash算法減少 API名字長度 ?4字節(jié) ? h=((h25)|(h7))+c ? 通過 PE結(jié)構(gòu) e_lfanew找到 PE頭 ? PE基址偏移 0x78引出表目錄指針DataDirectory,其前兩個(gè)元素分別對(duì)應(yīng)ExportDirectory和 ImportDirectory ? 引出 ExportDirectory中的每個(gè)函數(shù)名稱，做hash計(jì)算，與原先保存的 hash值進(jìn)行比較，相等則找到對(duì)應(yīng) API入口地址 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 47 實(shí)用的 Win32 Shellcode ? Xor編碼消除空字節(jié) ? 給出遠(yuǎn)程連接 ? Create server and listen ? Accept client connection ? Create a child process to run “” ? Create two pipes and links the shell with socket ? Command: Client send recv Server write pipe2 stdin ? Output: Client recv send Server read pipe1 stdout 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 48 穿透防火墻的 Shellcode ? 端口復(fù)用技術(shù) ? 重新綁定原端口 ? Getpeername查找 socket ? 字串匹配查找 socket ? Hook系統(tǒng)的 recv調(diào)用 ? 文件上傳下載功能的實(shí)現(xiàn) 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 49 真實(shí) Win32世界中的棧溢出攻擊 ? DCOM RPC WIN32 remote exploit by Lordy ? E:\bof_codes\win32\realdrpc_magickey_win h t6 北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)研究所 50 總結(jié) ? 緩沖區(qū)溢出攻擊的基本簡(jiǎn)介 ?背景知識(shí) ?基本概念 ?發(fā)展歷史 ?基本原理 ? Linux平臺(tái)下的棧溢出攻擊 ? Win32平臺(tái)下的棧溢出攻擊
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1