exploit编写教程（二）
需积分: 3 140 浏览量
2016-06-14
17:13:51
上传
评论
收藏 853KB PDF 举报
Exploit 编写系列教程第二篇: 栈溢出——跳至 shellcode
【作者】：Peter Van Eeckhoutte
【译者】：riusksk（泉哥：http://riusksk.blogbus.com）
跳至何处？
在上篇教程中（Exploit 编写系列教程第一篇：基于栈的溢出），笔者已讲述了关于漏洞发现，以及利用这些信息来编写可行的 exploit 的相关
基础知识。本文所举的例子仍旧是上篇中的实例，我们已经知道 ESP 几乎直接指向我们缓冲区的入口（我只是为 shellcode 预先放置了 4 字节数
据，以便使 ESP 直接指向 shellcode）， 这样我们就可以使用“jmp esp”指令来获得 shellcode 的执行。
注意：本篇教程很大程度上是以本系列教程的第一部分为基础来编写的，因此请读者在阅读本文前，先花点时间将第一部分的内容阅读并理解
了。
事实上，我们利用“jmp esp”来跳至 shellcode 的方法是一个近乎完美的方法，但并不是每次都这么容易实现的。本文将就此讲述关于执行/跳
转至 shellcode 的其它方法，最后你要面临的问题就是缓冲区是否足够大。
以下为迫使 shellcode 执行的多种方法：
● jump/call 到一个指向 shellcode 的寄存器。利用这种技术，你可以利用这个包含 shellcode 地址的寄存器，将该地址置入 EIP 中来实现。你可
以利用程序运行时加载的 DLL，去搜索”jump/call register”等操作指令所在的内存地址。当构造 payload 时，我们就可以利用该内存地址去覆
盖 EIP。当然，如果有一个直接指向 shellcode 的寄存器可以利用，那也不是不可以的。但由于在第一部分中我们正是利用这种方法来尽力使
exploit 得以执行的，因此本文将不再赘述此种方法。
● pop return: 如果栈顶并没有指向攻击者指定的缓冲区，但此缓冲区又起始于栈顶下方的数字节处，那么你就可以使程序执行一系列的 POP
指令和一个 RET 指令，以此将这些字节弹出栈（每 POP 一次，ESP 指针就更接近 shellcode 入口一步），直至正确的缓冲区入口处。执行 RET
指令后，ESP 中的当前栈值将放入 EIP 中。因此当 ESP+x 包含我们的 shellcode 所在的缓冲区地址时（当在调试器中执行命令“d esp”时，
你就可以看到在 ESP+offset 中的缓冲区地址，但由于 Intel x86 是属于小端法机器，因此数据可能是反序的）， POP RET 方法还是可行的。
● push return: 这种方法明显不同于“call register”技术。如果你找不到<jump register>或者<call register>的机器码，那么你可以简单将一个地
址压栈，然后执行 ret，因此你只需搜索 ret 之后的 push <register>指令即可。先查找这一串操作指令，再查找执行这串指令的地址，最后利用
该地址覆盖 EIP。
● jmp [reg + offset]: 如果寄存器指向包含 shellcode 地址的缓冲区，但其并没有指向 shellcode 入口，那么你可以通过搜索操作系统或者应用程
序加载的 DLL 中的指令，并向该指令中的寄存器添加上所需的字节偏移量，然后跳转至寄存器所指向的地址。笔者将此种方法称为 jmp [reg
+ offset]。
● blind return: 在第一部分教程中，笔者已经讲过 ESP 指向当前栈基址。RET 指令将从栈中‘pop’新值（4 字节），然后将那地址放入 ESP 中。
因此如果用 RET 指令所在地址去覆盖 EIP，那么你将会把 ESP 中的值置入 ESI。
● 如果缓冲区中的可用空间被限制了（EIP 被覆盖之后），但是在覆写 EIP 之前还有不少空间可利用，那么你可以先在小空间的缓冲区中执行 jump
code，以跳转至缓冲区首部的关键 shellcode。
● SHE：每一程序中均有默认的异常处理程序，这是由操作系统提供的。因此即使程序原本就没有使用异常处理，但你也可以用自己的地址去
覆盖 SHE handler，以使其跳转至 shellcode。利用 SHE 可以使 exploit 在 windows 平台下运行得更为稳定，但在利用 SHE 编写 exploit 之前，
你需要先掌握一些知识。如果你编写的 exploit 无法在被给的操作系统中运行，那么 payload 可能会导致程序崩溃（触发异常）。因此你可以将
“regular”exploit 配合覆盖 SHE 的方式来编写 exploit，以此编写出更为可靠的 exploit。在本系列教程的下一篇文章（第三部分）中将讲述关
于 SHE 的内容，这里读者只需记住：在一个被覆写 EIP 的典型栈溢出中，也可以利用 SHE 技术来编写 exploit，以使其运行得更为稳定，同
时获取更大可用空间的缓冲区（覆盖 EIP 以触发 SHE„„真可谓一箭双雕）。
这里还有很多其它可以使 exploit 稳定运行的方法，但如果你精通以上利用技术，再结合你的知识，你 也是可以找出一种更为可行的方法使 exploit
跳至 shellcode。如果一项技术是可行，但 shellcode 并没有运行，这时你可以利用 shellcode 编码器将其编码，再将 shellcode 后移一段，然后在
shellcode 之前写入一些 NOP„这些都将使你的 exploit 工作得更好！当然，有些漏洞只能导致程序崩溃，而无法利用，这也是完全可能存在的。
接下来让我们看看上面列出的那些技术的具体实现方法。
call [reg]
剩余28页未读，继续阅读
资源评论
