SEHOP原理
开启SEHOP:
- 下载http://go.microsoft.com/?linkid=9646972的补丁,此补丁适于Windows’ 7和Windows Vista SP1。
- 手工在注册表中
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\kernel
下找到DisableExceptionChainValidation
项,将其设置为0
SEHOP的核心任务是检查S.E.H链的完整性,在程序转入异常处理前,会检查链上最后一个异常处理函数是否为系统固定的终极异常处理程序。
可行的方法:
- 不攻击S.E.H
- 利用未启用的SEHOP的模块
- 伪造S.E.H链
攻击返回地址
攻击虚函数
利用未启用SEHOP的模块
操作系统会通过PE头的
MajorLinkerVersion
和MinorLinkerVersion
两个选项来判断程序是否禁用SEHOP,可以通过设置为0x53
和0x52
来模拟经过Armadilo加壳的程序,达到禁用SEHOP的目的
伪造S.E.H链表
此方法的前提条件:
- 系统的ASLR不能启用
- 0xXXXXXXXX地址必须指向当前栈中,且必须能被4整除
- 0xXXXXXXXX处存放的异常处理记录作为S.E.H的最后一项,其异常处理函数指针必须指向终极异常处理函数
- 突破SEHOP检查后,溢出程序还需搞定SafeSEH
参考文献
《0day安全:软件漏洞分析技术》