0day 第10章--10.3：覆盖虚函数突破GS

Myth丶恋晨 2022-04-22 00:38 184阅读 0赞

**实验环境：winxp sp3 vs2010  
实验要求：程序要求禁用优化、release版本**

**实验原理**：程序只有在函数返回时才检查Security Cookie，如果在函数检查之前劫持程序流程，就能实现缓冲区溢出了！因此可以利用C++中的虚函数！（为什么？见0day第6章攻击C++虚函数）

**\[C++虚函数原理\]**  
\{虚表指针->虚表->函数地址，call函数地址\}

**总结一下入的坑：**  
**（1） 原理搞不懂**  
通过传参，覆盖的是虚表指针中的内容，即虚表，而不是将虚表中的内容覆盖成shellcode地址（第6章才是这样！），因此还需要经过一次调用。  
实验数据：传入的参数地址：0x00402108；  
buf的地址：0x0012FE9C;  
虚表指针：0x0012FF78（0x004021D8）  
虚表：0x004021D8（0x004010A0）  
Call 0x004010A0  
这里buf地址和虚表指针相差了0x0012FF78-0x0012FE9C=220个字节，因此我们需要填充220个字节；  
将虚表指针中的内容，即虚表覆盖为参数地址。这样我们传入的参数地址前4个字节必须是指向shellcode；

这里我们没有直接将前4个字节覆盖为shellcode地址，而是用到了pop pop ret指令作为跳板！  
① 为什么不用jmp esp作跳板地址？  
因为所有的寄存器都不能调到0x00402108或者0x0012FE9C  
0x00402108地址不在堆栈中，所以跳不过去

② 为什么不把前4个字节覆盖为shellcode地址？  
因为shellcode地址有字符串“\\x00”，会被截断！

执行完pop pop ret指令后，程序会直接跳转到0x0012FEC执行shellcode!  
为什么？？？

**（2） pop pop ret指令找不到**  
用网上编写的也就是书中第3章的查找指令的c代码，vs各种报错。。。  
用Immunity Debugger的mona插件从ntdll.dll、kernel32.dll、user.dll等各种dll中查找依然找不到。。。  
最后终于利用findjmp.exe在ntdll.dll中找到了！  
但是一开始用的是pop esi pop ebp ret指令一直报错。。。网上查资料发现利用的pop pop ret不能影响程序的流程，而pop ebp会破坏堆栈导致平衡破坏，影响程序流程。  
① 用错误的pop指令0x7C9333A1  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 1]  
**果然是因为破坏了ebp吗？值得商榷？？？？？？？？？**  
7C99333A1指令和右面的FC一起被解析成mov eax,dword ptr ds:\[0xfc7c9333\]了，于是报访问内容错误！  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 2]  
![在这里插入图片描述][20181101091703452.png]  
②正确的分析在后面，此处略。

**（3） 程序pop pop ret后会调到buf的初始位置，而不是buf中去掉跳板地址的后4个字节处**！  
而这样就把pop pop ret跳板地址当作指令执行了，这样没关系吗？？  
**事实证明没有关系！**

分析程序：  
最终程序：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 3]  
OD载入运行，在字符串OK处下断，找到传入的参数地址0x00402108  
![在这里插入图片描述][20181101091743295.png]  
F7进入，单步，运行到strcpy结束处，发现buf的地址为0x0012FE9C  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 4]  
此时观察右下角堆栈图，这时虚表指针为0x0012FF78，而我们已经将它的内容覆盖为参数地址0x00402108  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 5]  
F7继续，果然程序call \[0x00402108中的内容\]=0x7C973F65  
![在这里插入图片描述][20181101091810379.png]  
继续单步进入，此时0x0012FE9C距离栈顶3个字节，因此2次pop后，将执行0x0012FE9C中的内容  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 6]  
单步继续，程序果然执行0x0012FF9C中的内容了！  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 7]  
F9运行，果然出现弹框了！  
![在这里插入图片描述][2018110109183612.png]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70]: /images/20220422/1cec3bd97cfd43b1a7c7b3003d14bbd2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 1]: /images/20220422/f1ec941f6ff148e4b41e4dd04f5ca955.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 2]: /images/20220422/99132078b094444da7cadc8eff816877.png
[20181101091703452.png]: /images/20220422/7ff0d54f7a7a487eaeb00ae4b818fa66.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 3]: /images/20220422/fa5ec19173df48bf9fead657155526e9.png
[20181101091743295.png]: /images/20220422/5044acdbbe2b40bab3fb7ad3fd901b35.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 4]: /images/20220422/47731ad6083d43ad9dca3163925fd83b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 5]: /images/20220422/f21a055b4f8f455c9fca0b2feaa8b9e6.png
[20181101091810379.png]: /images/20220422/3fab8cdaa17e4ff7894ae504bbbe69d5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 6]: /images/20220422/69709bb3533d48f1948ec69c79b7e74f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 7]: /images/20220422/39c735e9d40b4714b2c1a153499dfd8c.png
[2018110109183612.png]: /images/20220422/daa37bfa0f79402ebdd36da00e7a8a2d.png