-
-
[原创]阐述一个利用Win32函数钩子防堆栈溢出的函数调用栈检测法
-
发表于: 2008-7-5 13:31
-
对Flash的溢出网马有痛恨的感觉，这个溢出太恶心了，所以公布一种切实可行的网页防漏防堆栈溢出的检测及防御技术
一、所用的的关键技术:
1. Win32 函数钩子(用Inline Hook比较牢靠)
2. 简单的Win32 汇编语言编写
3. 了解Call 指令及Ret指令的函数调用栈的变化
二、原理 :
当函数被调用时，在函数的入口是可以准确获取到调用该函数的原EIP地址，即调用起始地址,这个地址被 ret 指令作为返回地址用，这点就是被堆栈溢出病毒木马所利用的关键
而我们要做的就是在关键的一些系统函数入口处下钩子并对调用栈中函数的返回地址进行检测，如果发现该返回地址处于程序的堆栈地址空间，那么我们就可以很明确的知道有代码正在堆栈中执行，也就是说当前程序已经发生了堆栈溢出
三、所要下勾子的函数
VirtualProtect
VirtualProtectEx
NtProtectVirtualMemory
另外是所有创建进程及加载PE相关的函数
对以上所说的函数进行Inline Hook并在入口检测返回地址是否是当前堆栈中的地址就可以实现对网页的堆栈溢出攻击的防御
四、对系统Dll下完钩子后，别忘了用VirtualProtect将属性改回PAGE_EXECUTE_READ
希望本技术能提升大多数网页防漏软件的功能及系统的安全，渴望回到远古流传的没有病毒的网络时代
转贴请注明出处，别忘了这个技术源自一个普通中国人的想法
作者 : antime zhang
2008-7-5 上海山丽网安
最后BS 下国内某著名的杀毒软件产商，难道你就是这样对待同样做安全的其他软件产商的吗，你太强了，我佩服，佩服呀。。。。。。 哈哈
看看这图片
一、所用的的关键技术:
1. Win32 函数钩子(用Inline Hook比较牢靠)
2. 简单的Win32 汇编语言编写
3. 了解Call 指令及Ret指令的函数调用栈的变化
二、原理 :
当函数被调用时，在函数的入口是可以准确获取到调用该函数的原EIP地址，即调用起始地址,这个地址被 ret 指令作为返回地址用，这点就是被堆栈溢出病毒木马所利用的关键
而我们要做的就是在关键的一些系统函数入口处下钩子并对调用栈中函数的返回地址进行检测，如果发现该返回地址处于程序的堆栈地址空间，那么我们就可以很明确的知道有代码正在堆栈中执行，也就是说当前程序已经发生了堆栈溢出
三、所要下勾子的函数
VirtualProtect
VirtualProtectEx
NtProtectVirtualMemory
另外是所有创建进程及加载PE相关的函数
对以上所说的函数进行Inline Hook并在入口检测返回地址是否是当前堆栈中的地址就可以实现对网页的堆栈溢出攻击的防御
四、对系统Dll下完钩子后，别忘了用VirtualProtect将属性改回PAGE_EXECUTE_READ
希望本技术能提升大多数网页防漏软件的功能及系统的安全，渴望回到远古流传的没有病毒的网络时代
转贴请注明出处，别忘了这个技术源自一个普通中国人的想法
作者 : antime zhang
2008-7-5 上海山丽网安
最后BS 下国内某著名的杀毒软件产商，难道你就是这样对待同样做安全的其他软件产商的吗，你太强了，我佩服，佩服呀。。。。。。 哈哈
看看这图片
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
看来误报很严重啊
|
|
|
貌似是个不错的想法，不知道有没有实现的代码，发出来共享下。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
