漏洞利用原理（初级）

最新推荐文章于 2022-07-24 09:44:33 发布
最新推荐文章于 2022-07-24 09:44:33 发布
阅读量924 收藏 7
点赞数
分类专栏： 0day安全：软件漏洞分析技术
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wk19951125/article/details/99133340
版权

堆溢出利用

堆的工作原理

Windows堆的历史

微软操作系统堆管理机制的发展大致可以分为三个阶段（Win32）：

  • Windows 2000~Windows XP SP1：堆管理只考虑完成分配任务和性能因素，丝毫没有考虑安全因素
  • Windows XP 2~Windows 2003：加入了安全因素，比如修改了块首的格式并加入安全cookie，双向链表结点在删除时会做指针验证等。
  • Windows Visa~Windows 7：不论在堆分配效率上还是安全与稳定性上，都是堆管理算法的一个里程碑。

这里主要关注Windows 2000~Windows XP SP1。

堆与栈的区别

栈的特点：

  • 在程序设计时已经规定好怎么使用，使用多少内存空间
  • 在使用时不需要额外的申请操作，系统栈会根据函数中的变量声明自动在函数栈帧中给其预留
  • 栈空间由系统维护，分配、回收都由系统来完成，最终达到栈平衡

堆的特点：

  • 堆是一种在程序运行时动态分配的内存，需要在程序运行时参考用户的反馈
  • 堆的使用需要程序员进行专门的申请，如：C——malloc函数、C++——new函数等，且申请可能失败
  • 一般用一个堆指针来使用申请得到的内存，读、写、释放都通过这个指针完成
  • 使用完毕后需将堆指针传给堆释放函数（free、delete）回收内存，否则会造成内存泄漏
堆内存栈内存
典型用例动态增长的链表等数据结构函数局部数组
申请方式需要函数申请，通过返回指针使用在程序中直接声明即可
释放方式需要将指针传给释放函数函数返回时，系统自动回收
管理方式需要管理员申请与释放申请与释放均由系统自动完成，达到栈区平衡
所处位置变化范围很大 0x0012XXXX
增长方向由内存低地址向高地址排列（不考虑碎片等情况）由内存高地址向低地址增加

堆的数据结构与管理策略

现在操作系统的堆数据结构：

  • 堆块
    出于性能考虑，堆区内存按不同大小组织成块，以堆块为单位进行标识。
    • 块首：堆块头8个字节，用于标识堆块信息
    • 块身：紧跟在块首后的部分，也是最终分配的数据区

空闲堆块结构：
在这里插入图片描述
占用堆块结构：
在这里插入图片描述
堆管理系统返回的指针一般指向块身的起始位置。

  • 堆表
    堆表一般位于堆区的起始位置，用于索引堆区中所有堆块的重要信息。
    在Windows中，占用态的堆块被使用它的程序索引，堆表只索引所有空闲态的堆块，最重要的堆表包括两个：
    • 空闲双向链表Freelist（空表）
      空闲堆块的块首中包含一堆重要的指针，用于将空闲堆块组织成双向链表，按照堆块的大小，空表总共分为128条：
      空表
    • 快速单向链表Lookaside（快表）
      快表是Windows用来加速堆块分配而采用的一种堆表，从来不会发生堆块合并（其中空闲块块首被设置为占用态，防止堆块合并）。
      快表也128条，总是被初始化为空，且每条快表最多4个结点，很快会被填满。
      在这里插入图片描述

堆中的操作：

  • 堆块分配
    • 快表分配：寻找大小匹配的空闲堆块—>将其状态改为占用态—>将其从堆表中“卸下”—>返回一个指向堆块块身的指针
    • 普通空表分配：首先寻找最优的空闲块分配，若失败寻找次优的
    • 零号空表（free[0]）分配：由于零号空表的空间表为升序的，故先查找最后一个是否满足，如果满足再正向搜索
    • “找零钱”现象：当出现次优分配时，会先从大块中按请求“割”出一块，然后将剩下部分重新标注块首链入空表。由于快表只有在精确匹配时才会分配，故不存在“找钱”现象。
  • 堆块释放
    释放堆块为将堆块状态改为空闲，链入相应的堆表。
  • 堆块合并
    堆块合并由堆管理系统自动完成。
    经过反复的申请与释放，堆区会产生很对内存碎片，会进行堆块合并操作：将两个相邻的块从空闲链表中“卸下”—>合并堆块—>调整合并后大块的块首信息—>重新链入空闲链表。

在具体进行堆块分配和释放时，根据操作内存的不同策略也不同：

分配释放
小块（SIZE<1KB）快表分配（失败）—>普通空表分配（失败）—>堆缓存（heap cache）分配（失败）—>零号空表分配（失败）—>进行内存紧缩后再尝试分配（失败）—>返回NULL优先链入快表（失败）—>链入相应的空表
大块（1KB<=SIZE<512KB）堆缓存分配（失败）—>使用free[0]中的大块进行分配优先放入堆缓存（失败）—>链入freelist[0]
巨块（SIZE>=512KB）巨块非常罕见，用到虚分配方法直接释放，无堆表操作

在堆中漫游

堆分配函数之间的调用关系

Windows平台下的堆管理架构：
在这里插入图片描述
所有的堆分配函数最终都将使用位于nydll.dll中的RtlAllocateHeap()函数进行分配，如下图所示：
在这里插入图片描述

堆的调式方法

用于调试的代码：

#include <windows.h>
#include <Winbase.h>
int main(){
	HLOCAL h1,h2,h3,h4,h5,h6;
	HANDLE hp;
	hp=HeapCreat(0,0x1000,0x10000);     //创建一个只有调用进程才能访问的私有堆,参数为：堆的可选属性，堆的初始大小，堆的最大大小，单位为Bytes。
	__asm int 3           //避免程序检测出调试器，加入一个人工断点
	
	h1=HeapAlloc(hp,HEAP_ZERO_MEMORY,3);     //在指定的堆上分配内存，参数为：要分配堆的句柄，堆分配时的可选参数，要分配堆的字节数
	h2=HeapAlloc(hp,HEAP_ZERO_MEMORY,5);     //可选参数包括：HEAP_GENERATE_EXCEPTIONS——分配错误将会抛出异常，而不是返回NULL；HEAP_NO_SERIALIZE——不使用连续存取；HEAP_ZERO_MEMORY——将分配的内存全部清零
	h3=HeapAlloc(hp,HEAP_ZERO_MEMORY,6);
	h4=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h5=HeapAlloc(hp,HEAP_ZERO_MEMORY,19);
	h6=HeapAlloc(hp,HEAP_ZERO_MEMORY,24);
	
	//free block and prevent coaleses
	HeapFree(hp,0,h1);              //释放堆内存
	HeapFree(hp,0,h3);              
	HeapFree(hp,0,h5);              
	
	HeapFree(hp,0,h4);              
	
	return 0;
}

调试态堆管理策略和常态堆管理策略的差异：

  • 调试堆不使用快表，只用空表分配
  • 所有堆块都加上多余的16字节尾部来防止溢出（防止程序溢出），包括8个字节的0xAB和8个字节的0x00
  • 块首的标志位不同

识别堆表

堆表中包含的信息依次为：段表索引、虚表索引、空表使用标识和空表索引区（0x178）。

一个堆初始化时：

  • 只有一个空闲状态的大块，称为“尾块”
  • 位于堆偏移0x0688处（启用快表后此位置为快表）
  • Freelist[0]指向“尾块”
  • 除零号空表索引外，其余各项索引都指向自己

在这里插入图片描述
在这里插入图片描述

堆块的分配

  • 堆块的大小包括了块首在内，所以申请32字节会分配32+8=40字节
  • 堆块的单位为8字节
  • 初始情况下，快表和空表都为空，只能从“尾块”进行“次优块”
  • 随着次优分配，会从“尾块”切走一些小块，并修改“尾块”的size信息
堆句柄请求字节实际分配（字节）
h132*8=16
h252*8=16
h362*8=16
h482*8=16
h5194*8=32
h6244*8=32

在这里插入图片描述

堆块的释放

根据实际分配的堆单位，h1、h3对应的堆块被链入freelist[2]，h5被链入freelist[4]。
在这里插入图片描述
在这里插入图片描述

堆块的合并

当h4释放时，由于h3、h4和h5相邻，会发生堆块合并操作，合并后为2+2+4=8个堆单位，被链入Freelist[8]。
在这里插入图片描述
在这里插入图片描述

快表的使用

示例代码：

#include <stdio.h>
#include <windows.h>
void main(){
	HLOCAL h1,h2,h3,h4;
	HANDLE hp;
	hp=HeapCreate(0,0,0);
	__asm int 3
	h1=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h2=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h3=HeapAlloc(hp,HEAP_ZERO_MEMORY,16);
	h4=HeapAlloc(hp,HEAP_ZERO_MEMORY,24);
	HeapFree(hp,0,h1);
	HeapFree(hp,0,h2);
	HeapFree(hp,0,h3);
	HeapFree(hp,0,h4);
	h2=HeapAlloc(hp,HEAP_ZERO_MEMORY,16);
	HeapFree(hp,0,h2);
}

在这里插入图片描述
此时堆偏移0x0688处为快表。

  • 初始时的快表为空的
    在这里插入图片描述

堆溢出利用（上）——DWORD SHOOT

链表“拆卸”中的问题

堆溢出利用的精髓就是用精心构造的数据去溢出下一个堆块的块首，改写块首中的前向地址和后向地址，然后在分配、释放、合并等操作时伺机获得一次向内存任意地址写入任意数据的机会。

正常的拆卸过程中的过程：
在这里插入图片描述
当堆溢出发生时，非法数据可以淹没下一个堆块的块首：
在这里插入图片描述

“DWORD SHOOT”示例

示例代码：

#include <windows.h>
#include <Winbase.h>
int main(){
	HLOCAL h1,h2,h3,h4,h5,h6;
	HANDLE hp;
	hp=HeapCreate(0,0x1000,0x10000);

	h1=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h2=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h3=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h4=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h5=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	h6=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	__asm int 3
	
	HeapFree(hp,0,h1);
	HeapFree(hp,0,h3);
	HeapFree(hp,0,h5);
	
	h1=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
	return 0;
}

三次释放后空闲双向链表为：
在这里插入图片描述

堆溢出利用（下）——代码植入

DWORD SHOOT的利用方法

DWORD SHOOT的常用目标（win XP SP1之前）：

  • 内存变量：影响程序执行的重要标志变量
  • 代码逻辑
  • 函数返回地址
  • 攻击异常处理：S.E.H、F.V.E.H、进程环境块（P.E.B）中的U.E.F、线程环境块（T.E.B）中存放的第一个S.E.H指针（T.E.H）
  • 函数指针
  • P.E.B（进程环境块）中线程同步函数的入口地址：每个进程的P.E.B中都存放着一对同步函数指针，指向RtlEnterCriticalSection()和RtlLeaveCriticalSection()，并且在进程退出时会被ExitProcess()调用。

狙击P.E.B中RtlEnterCriticalSection()的函数指针

地址：

  • RtlEnterCriticalSection()：P.E.B中偏移0x20处，0x7FFDF020
  • RtlLeaveCriticalSection()：P.E.B中偏移0x24处，0x7FFDF024

实验程序：

#include <windows.h>
char shellcode[]="\x90\x90\x90\x90......"
int main(){
	HLOCAL h1=0,h2=0;
	HANDLE hp;
	hp=HeapCreate(0,0x1000,0x10000);
	h1=HeapAlloc(hp,HEAP_ZERO_MEMORY,200);    //申请200字节空间
	__asm int 3
	memcpy(h1,shellcode,0x200)                //内存拷贝函数，参数为：存储的位置，存储的数据以及存储数据的大小，多出的数据会覆盖尾块的块首
	h2=HeapAlloc(hp,HEAP_ZERO_MEMORY,8);      //分配时导致DWORD SHOOT
	return 0;
}

在这里插入图片描述
shellcode设置：

  • 首先用\x90以及前面的failwest的shellcode填满h1的200个字节
  • 然后拼接下一空闲块（尾块）的8字节正常块首信息
  • 前向指针是“子弹”，这里使用shellcode的起始地址
  • 后向指针是“目标”，这里填入P.E.B中的RtlEnterCriticalSection()，0x7FFDF020

为防止shellcode中的函数调用RtlEnterCriticalSection()：

  • 先记录0x7FFDF020处的值，例如：0x7C920100
  • 在shellcode一开始进行修复：
mov eax,0x7FFDF020
mov ebx，0x7C920100
mov [eax],ebx

堆溢出利用的注意事项

  • 调试堆与正常堆的区别
  • 在shellcode中修复环境
    简单的修复堆区的做法：
    • 在堆区偏移0x28的地方存放着堆区所有空闲块的总和TotalFreeSize
    • 把一个较大块的标识大小的字节修改为TotalFreeSize
    • 把该块flag设置为0x10
    • 把freelist[0]的前后向指针指向这个堆块
  • 定位shellcode的跳板
  • DWORD SHOOT后的“指针反射”现象
int remove(ListNode * node){
	node->blink->flink=node->flink;
	node->flink->blink=node->blink;     //指针反射，会将目标地址写入shellcode起始偏移4个字节的地方
	return 0;
}
参考文献

《0day安全：软件漏洞分析技术》

你的名字5686
关注
  • 0
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
漏洞利用原理（高级）
wk19951125的博客
08-22 846
SafeSEHSafeSEH对异常处理的保护原理攻击返回地址绕过SafeSEH利用虚函数绕或SafeSEH从堆中绕过SafeSEH SafeSEH对异常处理的保护原理 SafeSEH工作原理：在程序调用异常处理函数前，对调用的异常处理函数进行一系列有效性校验，当发现异常处理函数不可靠时将终止调用。 SafeSEH需要操作系统和编译器的双重支持： 编译器 启用/SafeSEH选项后，编译器会将所有...
Web安全常见漏洞原理、危害及其修复建议
xnxqwzy的博客
06-20 1437
（当文件上传时，如果服务端的脚本语言没有对上传的文件进行检查和过滤，那假如，渗透者直接上传恶意代码文件，那么就有可能直接控制整个网站，或者说以此为跳板，直接拿下服务器，这就是文件上传漏洞。②csrf攻击之所以能成功，是因为攻击者伪造用户的请求，所以抵御csrf的关键在于：在请求中放入攻击者不能伪造的请求，例如，可以在HTTP请求中加入一个随机产生的token，并在服务器端验证token，如果请求中没有token或者token内容不正确，则认为请求可能是csrf攻击，从而拒绝该请求。
溢出漏洞原理及利用(1)
Hades的博客
04-11 4543
溢出漏洞原理及利用 本文是作者学习过程的笔记整理而来的,如有错误,还请见谅! 溢出漏洞原理及利用 实验环境 实验目的 编写一个简单的有溢出漏洞的程序 查看程序崩溃日志,找到崩溃点 实验环境 Windows 10 Visual Sutdio 2015 x32dbg(x64dbg) *010Editor 实验目的 学习溢出漏洞的原理 学会手工查看程序崩溃...
网络安全原理与应用：windows命令执行漏洞演示.pptx
05-16
【网络安全原理与应用：Windows命令执行漏洞演示】 在网络安全领域，Web应用安全是至关重要的一环，而Windows命令执行漏洞则是其中常见的威胁之一。本演示主要针对Windows系统中的命令执行漏洞，通过DVWA（Damn ...
bluecms源码 初级代码审计
07-31
【标题】：“BlueCMS源码 初级代码审计”指...通过这个初级代码审计项目，初学者可以逐步理解Web应用的安全原理，提高代码质量，降低被黑客利用的风险。同时，这也将为他们进一步深入网络安全和渗透测试打下坚实基础。
金山开源BKUI.23.漏洞扫描动画
07-18
动画可能会详细解释每种漏洞的工作原理。 2. **扫描技术**：介绍常见的扫描方法，如网络扫描、端口扫描、服务指纹识别等，以及相应的工具，如Nmap、OpenVAS等。 3. **漏洞评估**：描述了如何对发现的漏洞进行风险...
Web渗透测试工程师—初级教程.zip
11-25
理解Web的工作原理对于进行渗透测试至关重要，因为我们需要识别和利用Web应用程序中的脆弱性。 第二章：Web组件有哪些？ Web组件通常包括Web服务器、数据库、应用程序服务器和客户端浏览器。Web服务器负责接收和...
基于Python的漏洞扫描系统的设计与实现
最新发布
01-11
在国外，由于网络环境的复杂性和高级攻击手段的频繁出现，漏洞利用已成为网络犯罪的主要途径之一。大型数据泄露事件，如Equifax数据泄露，揭示了漏洞管理的紧迫性。此外，国家间的网络战也加剧了对网络安全的关注，...
【WEB安全】常见WEB漏洞
热门推荐
12-02 2万+
    欢迎关注公众号： ----------------------------------------------正文----------------------------------------------------     Web应用是指采用B/S架构、通过HTTP/HTTPS协议提供服务的统称。随着互联网的广泛使用，Web应用已经融入到日常生活中的各个方面：网上购物...
科普 | 你必须了解的漏洞利用缓解及对抗技术
weixin_34380296的博客
12-21 370
科普 | 你必须了解的漏洞利用缓解及对抗技术 随着软件系统越来越复杂，软件漏洞变得无法避免。业界逐渐推出了让漏洞无法利用或利用难度提高的方法，简称漏洞缓解技术。我们简单介绍下Android和iOS中广泛使用的一些漏洞缓解及可能的绕过技术。当然这里也包含一些相关联的安全限制，而非真正意义的缓解技术。 缓解及绕过技术点 User Permission 每个app有自己uid，selinux_conte...
什么是系统漏洞，如何处理？
dexunjiaqiang的博客
07-24 1858
当然，Windows漏洞层出不穷也有其客观原因，即任何事物都非十全十美，作为应用于桌面的操作系统Windows也是如此，且由于其在桌面操作系统的垄断地位，使其存在的问题会很快暴露。操作程序，尤其是WINDOWS，各种软件，游戏，在原公司程序编写员发现软件存在问题或漏洞，统称为BUG，可能使用户在使用系统或软件时出现干扰工作或有害于安全的问题后，写出一些可插入于源程序的程序语言，这就是补丁。即某个程序(包括操作系统)在设计时未考虑周全，当程序遇到一个看似合理，但实际无法处理的问题时，引发的不可预见的错误。..
系统漏洞利用过程
Kangjie_oo的博客
10-21 2901
系统漏洞利用过程 1.天镜、nessus、极光等扫描器进行漏洞扫描，跟据漏扫结果去msf里面进行查找漏洞利用工具（这里我以天镜,扫描本机作为一个例子） 2.开msf 通过search搜漏洞编号或漏洞名称 （这里我有一个kali和一个Win7虚拟机) 注意：(实验针对漏洞,关掉防火墙！) ①msfconsole:进入msf控制台 ②search: 漏洞编号，例如ms17_010 (就是之前的永恒之蓝，也就是新闻上报道的比特币勒索病毒) 3.搜到漏洞之后，用use 打开msf漏洞利用工具 use (
复现永恒之蓝漏洞利用过程
n5xxxx__zy的博客
05-30 1750
实验环境： 虚拟机：kali-linux windows 7（未装补丁） 获取IP地址 kali-linux ： 192.168.146.136 windows7 ： 192.168.146.129 输入service postgresql status 查看是否开启postgresql服务 执行service postgresql start 、 输入msfco...
渗透测试——内存攻击原理
YT的博客
02-13 4723
什么是内存攻击 内存攻击指的是攻击者利用软件安全漏洞，构造恶意输入导致软件在处理输入数据时出现非预期错误，将输入数据写入内存中的某些特定敏感位置，从而劫持软件控制流，转而执行外部输入的指令代码，造成目标系统被获取远程控制或拒绝服务。 内存攻击的表面原因是软件编写错误，诸如过滤输入的条件设置缺陷、变量类型转换错误、逻辑判断错误、指针引用错误等；但究其根本原因，是现代电子计算机在实现图灵机模型时，没有...
"DOM型XSS的特点及攻击方式详解——初级代码实例及漏洞原理
DOM型XSS攻击的原理是利用客户端的脚本执行环境，在浏览器解析并执行HTML文件时插入恶意的脚本代码。与传统的存储型XSS攻击和反射型XSS攻击不同，DOM型XSS攻击不依赖于服务器端的输出过滤，而是直接在客户端的文档...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值