0x00 实验环境

  • 操作系统:xp sp3
  • 编译器:vs 2010
  • 编译选项:Release版本;开启DEP,关闭GS,SafeSEH,ASLR

0x01 Ret2Libc实战之利用ZwSetInformationProcess

实验代码和书中类似:

#include "stdafx.h"
#include <stdlib.h>
#include <stdio.h>
#include <string.>
#include <Windows.h>

char shellcode[] = ;

void test()
{
	char dest[240];
	strcpy(dest, shellcode);
}

int _tmain(int argc, _TCHAR* argv[])
{
	HINSTANCE hIns = LoadLibrary(_T("shell32.dll"));
	//char s[240];
	test();
	return 0;
}

由于payload大于200字节,这里还是让缓冲区为240个字节,main函数的字符数组的声明还是为了抬升esp,如果在shellcode中有抬升esp的操作,那么这一句就可以注释掉了。此实验中是调用ZwSetInformationProcess函数来关闭DEP的保护,可跳转的地址和书中一样为7C93CD1F:

其中跳转的地址7C95F70E为把ESI赋值给[EBP-4],然后再返回:

如果溢出的缓冲区布局如下:

那么在离开test函数时的pop ebp指令会使ebp的值变为90909090,那么在关闭DEP的代码中访问[EBP-4]的值时就会发生非法的内存访问:

按照书中所说就需要通过PUSH ESP POP EBP RETN把EBP定位到一个可写的位置,如果函数中未加载shell32.dll就搜索不到这样的指令,shell32.dll的意义就在于此。

再选取恢复EBP的地址追加值缓冲区,布局如下:

在恢复EBP时,PUSH ESP POP EBP之后ESP和EBP指向同一位置,在RETN 4之后ESP指向EBP+8,然后在调用ZwSetInformationProcess函数时,由于cdecl的参数传递方式,&ExecuteFlags正好为&ProcessExecuteFlags,其值的低位为0x2,所以正好可以用来传参:

跟进调用ZwSetInformationProcess函数,在调用结束即将返回时,我们需要注意一下返回的情况,继续布置栈来获取程序的控制权:

在RETN 4后EIP即将会转向00000004,而其正是我们传递的size参数,说明在当前的栈中传递参数就会影响到shellcode的布局,可以将ESP增大:

由于在恢复EBP时的RETN 4导致在即将增大ESP时,ESP指向的是关闭DEP代码的起始地址:

进入关闭DEP的代码,在调用Zw函数即将返回时,可以看到RETN 4返回的会是我们占位的90909090,而且ESP会指向当前shellcode的末尾:

因为关闭了DEP的保护,我们可以在90909090的位置填充为JUMP ESP的地址,然后在末尾加上一个回跳的指令转而去执行我们栈上的payload,布局如下:

这里就和书中的布局相同了,但在编译执行后还是有内部的异常,因为这里ESP又指向了我们的shellcode附近,所以在回跳之前尝试再次增大ESP,如果使用 ADD ESP, 0x100等指令会引入\x00字节,但是我们也可以SUB ESP, -512做一个负数的减法,而且负数用补码表示就不会有\x00字节了。一开始减去-512还是有异常,最后干脆减去-1024就ok了,最终shellcode如下:

Exploit效果如图:

0x02 Ret2Libc实战之利用VirtualProtect

实验代码和书中类似:

#include "stdafx.h"
#include <stdlib.h>
#include <string.h>
#include <stdio.h>
#include <Windows.h>

char shellcode[] = ;

void test()
{
	char dest[240];
	memcpy(dest, shellcode, 600);
}


int _tmain(int argc, _TCHAR* argv[])
{
	HINSTANCE hInst = LoadLibrary(_T("shell32.dll"));
	char str[400];
	test();
	return 0;
}

实验代码中加载shell32.dll依旧是为了提供可使用的跳转字节码,未使用的字符数组也是为了抬升栈底,由于在利用VirtualProtect函数中不可避免\x00,所以使用memcpy函数造成溢出,为了利用236字节的payload,这里的缓冲区大小都比书中的大一些。

书中的操作系统环境是windows 2003,所以我这里还需要知道VirtualProtect函数的地址,使用vs自带的工具查看kernel32.dll的导出函数:C:\Program Files\Microsoft Visual Studio 10.0\VC>dumpbin /exports "C:\Windows\System32\kernel32.dll"

在相关偏移处看到VirtualProtect的内部逻辑和书中的例子一致:

在test函数返回时会pop ebp,所以一开始还是需要push esp pop ebp retn 4修复ebp,然后esp指向ebp+8,而且在此之后ebp的值都不会被改变,我们就可以更改ebp+8~ebp+14的值,然后转入VirtualProtect的逻辑即可:

因为ebp+8传入的是lpAddress的参数,所以使用retn和push esp去压入当前esp的值到ebp+8,以便更改后续payload的执行属性:

push esp后加上jmp eax 即pop pop pop rent指令来越过硬编码的ebp+c和ebp+10参数,然后再利用相同的方法push esp jmp eax来把当前esp压入ebp+14处的参数,pop pop pop retn后转入VirtualProtect内部执行:

由于末尾的pop ebp和retn 10在计算好偏移后,最后来个jump esp即可转入payload的位置去执行了,由于这里的ebp的位置始终不变而且通过ret2libc的方式跳转esp去执行payload,esp的变化在大脑中也很好复现,shellcode的布局就不细化了,最终exploit的效果如下: