-
-
[旧帖] [讨论]UNICODE的跳板地址咋处理 0.00雪花
-
发表于: 2009-8-19 14:47
-
最近通过FUZZING方法找到一个漏洞，发现SEH被覆盖了，由于是UNICODE编码，原来的几个可以用的地址都变得无效了，它们经过UNICODE编码后都变成了0x3F
这种情况还有没有办法利用了，下面的方法我都思考过了：
（1）如果用堆栈的地址，不同的机器地址不固定。
（2）这个漏洞还不能用heap spary
哪位大牛给点提示，我太笨，想不出来。如果不方便公共讨论，可以给我站内信
小弟在这谢过了
这种情况还有没有办法利用了，下面的方法我都思考过了：
（1）如果用堆栈的地址，不同的机器地址不固定。
（2）这个漏洞还不能用heap spary
哪位大牛给点提示，我太笨，想不出来。如果不方便公共讨论，可以给我站内信
小弟在这谢过了
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
算了，我把这个贴子补全吧，不然大家以为我就是那种只会没事问问别人，自己不研究的人，有时候我问问题是不想费力，但是无奈大家都不理我。
在XP SP2下，覆盖SEH后，找如下的跳板 1）用OD找 C2这个指令， 2）大概形式就是retn retf之类，然后观察它前面是否有POP XX POP XX，如果有，就跳到3）步，没有就跳回1）步 3）找到后，把那个第一条的POP XX地址进行UNICODE反编码，添入相应的覆盖位置 4）关于SHELLCODE的安排，这里要主要，由于retf retn跳到了的地址跟它后面的参数有关。写SHELLCODE 时要先调整下，sub sp,XX或者add sp,XX，注意不能用sub esp,XX。 最后SHELLCODE的编写就不说了，很多文章讨论的，我在SP2下实验成功。
|
|
|
|
