栈溢出怎么解决，栈溢出详解-励北网

Shellcode

是一段可执行的机器码（指令）的十六进制编码字符串。

"\xFF\xD0" ==> call eax ==> DOFF ==> "\xFF\xDO"

在Shellcode中使用函数不能使用函数名，而是函数的地址，所以，在Shellcode中使用函数需要先LoadLibrary加载动态链接库，再通过GetProcAddress获取函数地址再进行使用。

EXPLOIT

构造攻击字符串，通过EXP书写规则：'任意字符串+JMP ESP+ SHELLCODE'。

栈溢出怎么解决，栈溢出详解

使用Shellcode

typedef void(*Func)()((Func) &sh)();

编写Shellcode方法

（1）如果硬编码功底或者汇编功底好直接OD写了拷贝出来。

（2）如果上面这种不行则可以自己创建一个项目，写上要执行的操作后只需要在程序的main函数中任意代码行下断使其断下来，然后转到汇编页，复制机器码即可。如果没有显示机器码，右击->显示字节码(Show Code Bytes)。

注意事项：如果提取出来的Shellcode中间存在 00 这种字符则可能导致Shellcode被截断，这种情况就需要进行指令替换，例如 00 是 mov eax,0 这条指令导致产生的，则我们修改该指令为 xor eax,eax ，通过这种方式进行替换规避。

ShellCode的设计

（1）提取机器码(VS直接提取)

（2）调试

（3）通用性（获取调用的API地址）

在SHELLCODE中调用的API地址随平台变化.
如何搜索API地址.
JMP ESP地址搜索.

（4）EXPLOIT:构造攻击字符串

"任意字符串+JMPESP+SHELLCODE"
任意字符串：用于填满缓冲区。
Jmp esp：用于跳转到Shellcode。
Shellcode：真正执行的恶意代码。

如何获得函数地址

#include <windows.h>#include <stdio.h>typedef void (*MYPROC) (LPTSTR);int main(){ HINSTANCE LibHandle; MYPROC ProcAdd; LibHandle = LoadLibrary( "msvcrt.dll"); printf( "kernel32LibHandle = 0x%x\n",ibHandle); ProcAdd=(MYPROC)GetProcAddress(LibHandle,"system"); printf("system= 0x%x\n",ProcAdd); return 0;}

如何获取JMP XXX系列指令地址

思路：内存中查找机器码。

其实这里不一定需要ESP才可以利用，也可以使用其他的配合达到目的。

下面这段代码就是搜索JMP ESP指令的程序。

//FF E0 JMP EAX//FF E1 JMP ECX//FF E2 JMP EDX//FF E3 JMP EBX//FF E4 JMP ESP//FF E5 JMP EBP//FF E6 JMP ESI//FF E7 JMP EDI//FF D0 CALL EAX//FF D1 CALL ECX//FF D2 CALL EDX//FF D3 CALL EBX//FF D4 CALL ESP//FF D5 CALL EBP//FF D6 CALL ESI//FF D7 CALL EDI//#define DLL_NAME "mfc42.dll"#include <windows.h>#include <stdio.h>#define DLL_NAME "user32.dll"int main(){ BYTE* ptr; int position,address; HINSTANCE handle; BOOL done_flag = FALSE; handle=LoadLibrary(DLL_NAME); if(!handle) { printf(" load dll erro !"); exit(0); } ptr = (BYTE*)handle; for(position = 0; !done_flag; position++) { try { if(ptr[position] == 0xFF && ptr[position+1] == 0xE4) { // 0xFFE4 is the opcode of jmp esp int address = (int)ptr + position; printf("OPCODE found at 0x%x\n",address); } } catch(...) { int address = (int)ptr + position; printf("END OF 0x%x\n", address); done_flag = true; } } return 0;}

默认栈的大小是2M。

新版本的VS编译器中已经加入了缓冲区溢出保护，就是加了security cookie，这个东西就像是Linux中Cannary。

栈溢出中的字节对齐问题

在进行计算溢出字节数的时候不要为了局部变量区会进行字节对齐，X86上是以4字节对齐，例如如果是我们的在函数中开辟的是长度为10的字符数组，则需要16个字节才到返回地址，因为 10字节以4字节对齐就是12字节 + 4字节ebp = 16字节。

Shellcode绕过检测

加密+自解密

案例

栈溢出怎么解决，栈溢出详解