首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[原创][看雪论坛.腾讯公司2008软件安全竞赛]我的第四题分析过程及答案
发表于: 2008-10-14 16:32 13625

[原创][看雪论坛.腾讯公司2008软件安全竞赛]我的第四题分析过程及答案

mstwugui 活跃值
6
2008-10-14 16:32
13625

首先说明一下为什么虽然Explorer.exe本身并没有直接调用StretchDIBits但还是会因为这个BUG受到影响。
Explorer.exe在显示目录时会调用到shell32.dll中的代码，并间接调用到user32.dll中的代码，在user32.dll区间内会设置SEH处理异常，这也是虽然StretchDIBits出错了，但Explorer.exe会因此进入一个无限循环并不会显示错误消息的原因

StretchDIBits是通过LookupIconIdFromDirectoryEx被调用到的。当参数lpBits的最低两位不都为0时，会跳转到77F2C6BE执行一段额外的处理构造一块新的内存空间重新排列对齐并将lpBits指向的内容复制过去，这是因为在win32k.sys中的NtGdiStretchDIBitsInternal函数中，如果lpBits的最低两位为0时会调用ExRaiseDatatypeMisalignment引发一个异常


.text:77F1B0A6 test byte ptr [ebp+lpBits], 3
.text:77F1B0AA mov [eax+6D0h], edi
.text:77F1B0B0 jnz StretchDIBits_RtlAllocateHeap_77F2C6BE

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：
收藏
免费 ・7
支持
分享
最新回复 (39)
shoooo
雪    币： 398
活跃值： (343)
能力值： (RANK：650 )
在线值：
发帖
回帖
粉丝
私信
2 楼
太强了，我蓝屏了
2008-10-14 16:36
0
windsun
雪    币： 221
活跃值： (10)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
3 楼
呵呵。。。。
2008-10-14 16:38
0
ykzhujiang
雪    币： 107
活跃值： (11)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
向乌龟大师学习
2008-10-14 16:38
0
likunkun
雪    币： 334
活跃值： (22)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
5 楼
顶一下，学习@_@
2008-10-14 16:39
0
海风月影
雪    币： 7325
活跃值： (3803)
能力值： (RANK：1130 )
在线值：
发帖
回帖
粉丝
私信
6 楼
完了，我文本文件的默认图标改成附件图标了。。
2008-10-14 16:41
0
edisonH
雪    币： 243
活跃值： (11)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
7 楼
看到由系统给资源icon添加
typedef struct
{
word            idreserved;    // reserved (must be 0)
word            idtype;        // resource type (1 for icons)
word            idcount;       // how many images?
icondirentry    identries[1]; // an entry for each image (idcount of 'em)
} icondir, *lpicondir;

以为lpBits不可控。。。直接把条件1当作过滤条件。。。。

现在才明白shox的玄机
2008-10-14 16:47
0
ccfer
雪    币： 8209
活跃值： (4528)
能力值： ( LV15，RANK：2473 )
在线值：
发帖
回帖
粉丝
私信
8 楼
乌龟大师,你欠我的酱猪蹄呢
2008-10-14 16:47
0
mstwugui
雪    币： 503
活跃值： (80)
能力值： (RANK：280 )
在线值：
发帖
回帖
粉丝
私信
9 楼
膜拜shoooo大牛，这个周末杂事很多所以我只分析到这里就没有继续深入了，请问蓝屏是怎么做的
2008-10-14 16:47
0
EricAzhe
雪    币： 407
活跃值： (125)
能力值： ( LV13，RANK：280 )
在线值：
发帖
回帖
粉丝
私信
10 楼
你们都评分了吗,我的怎么还不评分呀
2008-10-14 16:49
0
mstwugui
雪    币： 503
活跃值： (80)
能力值： (RANK：280 )
在线值：
发帖
回帖
粉丝
私信
11 楼
海风大牛是怎么做的啊，先膜拜一下
2008-10-14 16:50
0
ccfer
雪    币： 8209
活跃值： (4528)
能力值： ( LV15，RANK：2473 )
在线值：
发帖
回帖
粉丝
私信
12 楼
出个谜语:
海风你轻轻的吹,海浪你轻轻的摇。(猜范伟小品台词一)
2008-10-14 16:52
0
mstwugui
雪    币： 503
活跃值： (80)
能力值： (RANK：280 )
在线值：
发帖
回帖
粉丝
私信
13 楼
先欠着哈，以后补上
2008-10-14 16:53
0
海风月影
雪    币： 7325
活跃值： (3803)
能力值： (RANK：1130 )
在线值：
发帖
回帖
粉丝
私信
14 楼
http://www.google.cn/search?client=aff-cs-maxthon&forid=1&ie=utf-8&oe=UTF-8&hl=zh-CN&q=%E6%B5%B7%E9%A3%8E%E4%BD%A0%E8%BD%BB%E8%BD%BB%E7%9A%84%E5%90%B9%2C%E6%B5%B7%E6%B5%AA%E4%BD%A0%E8%BD%BB%E8%BD%BB%E7%9A%84%E6%91%87
2008-10-14 16:53
0
sskey
雪    币： 216
活跃值： (26)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
15 楼
乌龟大师太强了,**
2008-10-14 16:53
0
mstwugui
雪    币： 503
活跃值： (80)
能力值： (RANK：280 )
在线值：
发帖
回帖
粉丝
私信
16 楼
我的没有评分，这张帖子只是说个人分析和理解，不代表标准答案
2008-10-14 16:55
0
ccfer
雪    币： 8209
活跃值： (4528)
能力值： ( LV15，RANK：2473 )
在线值：
发帖
回帖
粉丝
私信
17 楼
乌龟大师应该是在Symantec的吧
2008-10-14 16:59
0
EricAzhe
雪    币： 407
活跃值： (125)
能力值： ( LV13，RANK：280 )
在线值：
发帖
回帖
粉丝
私信
18 楼
test    byte ptr [ebp+lpBits], 3
应该是判断4字节对齐吧
2008-10-14 17:00
0
likunkun
雪    币： 334
活跃值： (22)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
19 楼
拜一下牛公司中的牛人。
2008-10-14 17:01
0
mstwugui
雪    币： 503
活跃值： (80)
能力值： (RANK：280 )
在线值：
发帖
回帖
粉丝
私信
20 楼
[quote=EricAzhe;521169]test    byte ptr [ebp+lpBits], 3
应该是判断4字节对齐吧[/quote]

对，是判断最低两位是否不为0，也就是4字节对齐
2008-10-14 17:04
0
AkumaND
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
21 楼
其实好像是有调用StretchDIBits
好像调用过的就放在缓存里了吧。。。
2008-10-14 17:21
0
Aleaxander
雪    币： 111
活跃值： (10)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
22 楼
除了膜拜还是膜拜。。
2008-10-14 17:25
0
nbw
雪    币： 339
活跃值： (1510)
能力值： ( LV13，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
23 楼
这个膜拜一下，文件不下了，免得重启了
2008-10-14 17:31
0
glery
雪    币： 233
活跃值： (15)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
24 楼
终于看到答案啦，等待的滋味大家都是知道的
2008-10-14 17:33
0
edisonH
雪    币： 243
活跃值： (11)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
25 楼
。。。。。。。。。。。。。。。
2008-10-14 17:35
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//