Windows内存保护机制及绕过方法

0 目录

• GS编译

• SafeSEH机制

• SEH覆盖保护

• 数据执行保护（DEP）

• 地址随机化（ASLR）

1 GS编译

1.1 基本原理

       Windows操作系统为解决栈溢出漏洞的问题引入了一个对策——GS编译保护技术。

       GS编译保护技术是通过编译时添加相关代码而实现的，开启GS 编译选项后会在函数的开头和结尾添加代码来阻止栈溢出漏洞的利用。当应用程序启动时，程序的cookie被计算出来（伪随机数）并保存在.data 节段中，在函数的开头这个 cookie 被拷贝到栈中，位于返回地址和局部变量的中间。

       函数调用完后系统检测cookie值是否被修改。

1.2 绕过方法

• 计算/猜测cookie值
• 覆盖虚函数表

       堆栈布局：[局部变量][cookie][入栈寄存器][返回地址][参数][虚表指针]。

       覆盖对象和虚函表指针，如果你把这个指针指向一个用于欺骗的虚函数表，你就可以重定向这个虚函数的调用，并执行恶意的代码。

• 覆盖SHE

       SEH句柄用于指向异常处理函数，这个句柄被存在SecurityCookie的上方，这使得攻击者不需要覆盖到SecurityCookie就可以修改SEH句柄指向的位置。

• 同时替换掉栈中和.data段中的cookie值

       通过替换加载模块.data 节中的cookie 值（可写）来绕过栈