堆溢出及其利用技術(shù)深入研究課件

Windows2003堆溢出及其利用技術(shù)深入研究作者：FlashSky日期：2003-12-26Windows2003堆溢出及其利用技術(shù)深入研究作者：F1感謝

安全焦點(diǎn)所有的成員與啟明星辰積極防御實(shí)驗(yàn)室的同事主講目錄

WINDOWS堆結(jié)構(gòu)簡(jiǎn)介WINDOWS堆溢出利用WINDOWS2003堆溢出保護(hù)WINDOWS2003堆溢出保護(hù)的弱點(diǎn)思路的延續(xù)：弱點(diǎn)利用深入的討論思路的突變：更廣泛的另類有效利用的手段未來(lái)WINDOWS2003堆溢出利用研究的方向Copyright?FlashSky@2003感謝Copyright?FlashSky@xfocus2WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（1）前言 WINDOWS2003，系統(tǒng)低層的安全性改進(jìn) 本文的目的當(dāng)前關(guān)于WINDOWS堆的研究 WINDOWS堆管理結(jié)構(gòu)與管理特性的研究 WINDOWS堆特性在堆溢出時(shí)的利用的研究 WINDOWS2003的堆特性的研究Copyright?FlashSky@2003WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（1）Copyright?Fl3WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（2）WINDOWS堆結(jié)構(gòu)簡(jiǎn)介 堆與堆塊 堆管理結(jié)構(gòu)與堆塊管理結(jié)構(gòu) 堆的整體結(jié)構(gòu)構(gòu)架

Copyright?FlashSky@2003WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（2）Copyright?Fl4Copyright?FlashSky@2003堆管理結(jié)構(gòu)塊（SIZE：0X640/0XC50）堆段表塊0（SIZE：0X40）小堆塊分配管理表結(jié)構(gòu)（SIZE：0X1818），可選用戶堆塊數(shù)據(jù)區(qū)堆的基地址一般緊接著堆管理結(jié)構(gòu)塊之后Copyright?FlashSky@xfocus.or5WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（3）WINDOWS堆塊分配與釋放的管理

大堆塊對(duì)象與小堆塊對(duì)象空閑堆塊雙向鏈表頭 空閑大堆對(duì)象與空閑小堆對(duì)象入鏈算法

Copyright?FlashSky@2003WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（3）Copyright?Fl6WINDOWS堆溢出利用（1）基本原理常見(jiàn)的普通利用方式： 引起空閑堆組成的雙向鏈表的脫鏈的操作

Copyright?FlashSky@2003WINDOWS堆溢出利用（1）Copyright?Fl7Copyright?FlashSky@2003NextP2PrevP0NextP3PrevP1NextP4PrevP2NextP3/PrevP3NextP2/PrevP2NextP1/PrevP1NextP3PrevP0NextP3PrevP1NextP4PrevP1一個(gè)正常的堆塊脫鏈表過(guò)程Copyright?FlashSky@xfocus.or8WINDOWS堆溢出利用（2）雙向鏈表的入鏈利用的可能性 可利用的原理 利用的要求

Copyright?FlashSky@2003WINDOWS堆溢出利用（2）Copyright?Fl9NextP3PrevP0NextP3PrevP1NextP4PrevP1NextP3/PrevP3NextP2/PrevP2NextP1/PrevP1NextP2PrevP0NextP4PrevP1UNKNUNKPNextP3PrevP1NextP2PrevP0NextP4PrevP2一個(gè)正常的大堆塊插入入鏈表過(guò)程Copyright?FlashSky@2003NextP3PrevP0NextP3PrevP1NextP410WINDOWS堆溢出利用（3）覆蓋空閑大堆可以達(dá)到的目的：

我們能將一個(gè)當(dāng)前釋放堆的地址填入到一個(gè)由我們指定的內(nèi)存地址中

Copyright?FlashSky@2003WINDOWS堆溢出利用（3）Copyright?Fl11NextP3PrevP0NextP4PrevP1NextP3PrevP0JMPTSEHPTSEHNextP3PrevP0JMPNextP2NextP2NextP3SEHPTOPSEHTOPSEH一個(gè)利用大堆塊插入入鏈表的過(guò)程N(yùn)extP3/PrevP3NextP1/PrevP1NextP2/PrevP2Copyright?FlashSky@2003NextP3PrevP0NextP4PrevP1NextP312WINDOWS堆溢出利用（4）入鏈表利用的進(jìn)一步

問(wèn)題：當(dāng)前釋放堆塊地址的前8字節(jié)內(nèi)容是我們無(wú)法控制的指針價(jià)值。 解決方法：再次分配時(shí)候可以將我們可以控制的4字節(jié)寫(xiě)入

Copyright?FlashSky@2003WINDOWS堆溢出利用（4）Copyright?Fl13Copyright?FlashSky@2003NextP3PrevP0JMPNextP2NextP2JMPSEHPNextP3PrevP0JMPNextP2NextP2JMPSEHPTOPSEHJMPADDR觸發(fā)異常利用分配再次寫(xiě)入JMP代碼到頭四字節(jié)Copyright?FlashSky@xfocus.or14WINDOWS堆溢出利用（5）WINDOWS堆溢出可以利用的途徑

脫鏈表時(shí) 入鏈表時(shí)Copyright?FlashSky@2003WINDOWS堆溢出利用（5）Copyright?Fl15WINDOWS2003堆溢出保護(hù)（1）基于堆溢出利用原理的檢查 基于覆蓋雙向鏈表的地址導(dǎo)致可寫(xiě)入任一地址空間 檢查上下鏈表的一致性可以檢查和防止堆溢出的利用

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)（1）Copyright16Copyright?FlashSky@2003

leaecx,[esi+8] movedi,[ecx] mov[ebp-0D8h],edi moveax,[esi+0Ch] mov[ebp-94h],eax movedx,[eax]

cmpedx,[edi+4]

jnzloc_77F36DE1

cmpedx,ecx

jnzloc_77F36DE1 mov[eax],edi mov[edi+4],eaxWINDOWS2003的檢查的代碼Copyright?FlashSky@xfocus.or17WINDOWS2003堆溢出保護(hù)（2）簡(jiǎn)單而言，其要求就是 被處理的當(dāng)前堆塊的管理結(jié)構(gòu)的雙向鏈表的下一個(gè)堆塊指針與上一堆塊指針要滿足如下條件： 1.當(dāng)前堆塊的下一個(gè)堆塊指針指向的堆塊的上一個(gè)堆塊指針要等于當(dāng)前堆塊的地址 2.當(dāng)前堆塊的上一個(gè)堆塊指針指向的堆塊的下一個(gè)堆塊指針要等于當(dāng)前堆塊的地址 Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)（2）Copyright18WINDOWS2003堆溢出保護(hù)（3）普通饒過(guò)的困難 需要構(gòu)造這樣的條件需要準(zhǔn)確的知道當(dāng)前堆塊的地址，然而往往當(dāng)前堆塊的地址我們不可知。

同時(shí)我們需要改寫(xiě)的有效的內(nèi)存地址如SHE，RETADDR，TOPSHE，F(xiàn)UNCHANDLE等周?chē)膬?nèi)容我們不可控制

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)（3）Copyright19WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（1）保護(hù)的范圍 跟蹤所有的利用途徑，發(fā)現(xiàn)： WINDOWS2003只對(duì)出鏈表的路徑做了完善檢查，缺乏對(duì)入鏈表路徑利用的檢查。 構(gòu)造滿足入鏈表攻擊的條件就能成功修改一個(gè)特定內(nèi)存的值為釋放堆塊的地址。MS遺漏檢查的原因？

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（1）Cop20WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（2）檢查的邏輯 邏輯上，并不能真正保證檢查的正確性。 某種含義上，我們還是能欺騙這種保護(hù)，如果我們能找到一種有普遍意義的特殊的利用形式，我們也能饒過(guò)檢查。

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（2）Cop21思路的延續(xù)：遺漏檢查利用深入的討論（1）新的困難 無(wú)法使用分配的過(guò)程再次寫(xiě)入JMPCODE，這樣頭8字節(jié)我們無(wú)法控制其內(nèi)容，引起SHELLCODE執(zhí)行的異?；蚴　?因?yàn)榉峙渎窂阶隽送暾谋Ｗo(hù)檢查 。Copyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（1）Copyright22Copyright?FlashSky@2003NextP3PrevP0JMPNextP2NextP2NextP3SEHPTOPSEH無(wú)法滿足檢查的條件Copyright?FlashSky@xfocus.or23思路的延續(xù)：遺漏檢查利用深入的討論（2）期待于運(yùn)氣？再次的推導(dǎo)：構(gòu)造的欺騙 如果我們能知道堆塊的準(zhǔn)確地址，是否可以構(gòu)造欺騙？ 為什么這里能構(gòu)造欺騙而前面不能？演示：一個(gè)構(gòu)造欺騙寫(xiě)入JMP的實(shí)現(xiàn)Copyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（2）Copyright24思路的延續(xù)：遺漏檢查利用深入的討論（3）新的發(fā)現(xiàn)與困境 一個(gè)可以滿足檢查的堆塊的脫鏈操作將再次改寫(xiě)SEHCopyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（3）Copyright25Copyright?FlashSky@2003NextP3PrevP0JMPNextP2NextP2NextP3SEHPTOPSEH如果我們能讓這個(gè)堆塊進(jìn)行脫鏈表操作又如何？Copyright?FlashSky@xfocus.or26Copyright?FlashSky@2003NextP2PrevP0JMPSEHPNextP3NextP3SEHPTOPSEH這時(shí)異常會(huì)有什么結(jié)果？Copyright?FlashSky@xfocus.or27思路的延續(xù)：遺漏檢查利用深入的討論（4）雙堆塊釋放的觸發(fā) 一個(gè)可以滿足檢查的堆塊的脫鏈操作將再次改寫(xiě)SHE指向我們?cè)瓉?lái)的被覆蓋的堆塊（而不是當(dāng)前釋放的堆塊），而這里的頭4字節(jié)是我們可以控制的內(nèi)容。演示：雙堆塊釋放二次重寫(xiě)TOPSHE的實(shí)現(xiàn)利用Copyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（4）Copyright28思路的延續(xù)：遺漏檢查利用深入的討論（5）更深入一步： 利用次序，在非雙堆塊釋放環(huán)境下構(gòu)造雙堆塊釋放的環(huán)境演示：構(gòu)造雙堆塊釋放的實(shí)現(xiàn)限制條件匯總Copyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（5）Copyright29思路的突變：更廣泛的另類有效利用手段（1） 不能滿足于覆蓋空閑大堆塊的苛刻條件，我們需要再求新的思路轉(zhuǎn)換一下思路，構(gòu)造欺騙用于新的利用形式：思路的來(lái)源

Copyright?FlashSky@2003思路的突變：更廣泛的另類有效利用手段（1）Copyright30思路的突變：更廣泛的另類有效利用手段（2）

一種利用的轉(zhuǎn)換 與堆棧/數(shù)據(jù)區(qū)的結(jié)合 甚至可以用于制造空閑大堆塊覆蓋的條件

Copyright?FlashSky@2003思路的突變：更廣泛的另類有效利用手段（2）Copyright31思路的突變：更廣泛的另類有效利用手段（3）

演示：一個(gè)將堆溢出轉(zhuǎn)化為數(shù)據(jù)區(qū)溢出利用的實(shí)現(xiàn)限制條件匯總

Copyright?FlashSky@2003思路的突變：更廣泛的另類有效利用手段（3）Copyright32未來(lái)WINDOWS2003堆溢出研究的方向

Copyright?FlashSky@2003未來(lái)WINDOWS2003堆溢出研究的方向Copyrigh33Thanks!Q/AThanks!Q/A34Windows2003堆溢出及其利用技術(shù)深入研究作者：FlashSky日期：2003-12-26Windows2003堆溢出及其利用技術(shù)深入研究作者：F35感謝

安全焦點(diǎn)所有的成員與啟明星辰積極防御實(shí)驗(yàn)室的同事主講目錄

WINDOWS堆結(jié)構(gòu)簡(jiǎn)介WINDOWS堆溢出利用WINDOWS2003堆溢出保護(hù)WINDOWS2003堆溢出保護(hù)的弱點(diǎn)思路的延續(xù)：弱點(diǎn)利用深入的討論思路的突變：更廣泛的另類有效利用的手段未來(lái)WINDOWS2003堆溢出利用研究的方向Copyright?FlashSky@2003感謝Copyright?FlashSky@xfocus36WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（1）前言 WINDOWS2003，系統(tǒng)低層的安全性改進(jìn) 本文的目的當(dāng)前關(guān)于WINDOWS堆的研究 WINDOWS堆管理結(jié)構(gòu)與管理特性的研究 WINDOWS堆特性在堆溢出時(shí)的利用的研究 WINDOWS2003的堆特性的研究Copyright?FlashSky@2003WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（1）Copyright?Fl37WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（2）WINDOWS堆結(jié)構(gòu)簡(jiǎn)介 堆與堆塊 堆管理結(jié)構(gòu)與堆塊管理結(jié)構(gòu) 堆的整體結(jié)構(gòu)構(gòu)架

Copyright?FlashSky@2003WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（2）Copyright?Fl38Copyright?FlashSky@2003堆管理結(jié)構(gòu)塊（SIZE：0X640/0XC50）堆段表塊0（SIZE：0X40）小堆塊分配管理表結(jié)構(gòu)（SIZE：0X1818），可選用戶堆塊數(shù)據(jù)區(qū)堆的基地址一般緊接著堆管理結(jié)構(gòu)塊之后Copyright?FlashSky@xfocus.or39WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（3）WINDOWS堆塊分配與釋放的管理

大堆塊對(duì)象與小堆塊對(duì)象空閑堆塊雙向鏈表頭 空閑大堆對(duì)象與空閑小堆對(duì)象入鏈算法

Copyright?FlashSky@2003WINDOWS堆結(jié)構(gòu)簡(jiǎn)介（3）Copyright?Fl40WINDOWS堆溢出利用（1）基本原理常見(jiàn)的普通利用方式： 引起空閑堆組成的雙向鏈表的脫鏈的操作

Copyright?FlashSky@2003WINDOWS堆溢出利用（1）Copyright?Fl41Copyright?FlashSky@2003NextP2PrevP0NextP3PrevP1NextP4PrevP2NextP3/PrevP3NextP2/PrevP2NextP1/PrevP1NextP3PrevP0NextP3PrevP1NextP4PrevP1一個(gè)正常的堆塊脫鏈表過(guò)程Copyright?FlashSky@xfocus.or42WINDOWS堆溢出利用（2）雙向鏈表的入鏈利用的可能性 可利用的原理 利用的要求

Copyright?FlashSky@2003WINDOWS堆溢出利用（2）Copyright?Fl43NextP3PrevP0NextP3PrevP1NextP4PrevP1NextP3/PrevP3NextP2/PrevP2NextP1/PrevP1NextP2PrevP0NextP4PrevP1UNKNUNKPNextP3PrevP1NextP2PrevP0NextP4PrevP2一個(gè)正常的大堆塊插入入鏈表過(guò)程Copyright?FlashSky@2003NextP3PrevP0NextP3PrevP1NextP444WINDOWS堆溢出利用（3）覆蓋空閑大堆可以達(dá)到的目的：

我們能將一個(gè)當(dāng)前釋放堆的地址填入到一個(gè)由我們指定的內(nèi)存地址中

Copyright?FlashSky@2003WINDOWS堆溢出利用（3）Copyright?Fl45NextP3PrevP0NextP4PrevP1NextP3PrevP0JMPTSEHPTSEHNextP3PrevP0JMPNextP2NextP2NextP3SEHPTOPSEHTOPSEH一個(gè)利用大堆塊插入入鏈表的過(guò)程N(yùn)extP3/PrevP3NextP1/PrevP1NextP2/PrevP2Copyright?FlashSky@2003NextP3PrevP0NextP4PrevP1NextP346WINDOWS堆溢出利用（4）入鏈表利用的進(jìn)一步

問(wèn)題：當(dāng)前釋放堆塊地址的前8字節(jié)內(nèi)容是我們無(wú)法控制的指針價(jià)值。 解決方法：再次分配時(shí)候可以將我們可以控制的4字節(jié)寫(xiě)入

Copyright?FlashSky@2003WINDOWS堆溢出利用（4）Copyright?Fl47Copyright?FlashSky@2003NextP3PrevP0JMPNextP2NextP2JMPSEHPNextP3PrevP0JMPNextP2NextP2JMPSEHPTOPSEHJMPADDR觸發(fā)異常利用分配再次寫(xiě)入JMP代碼到頭四字節(jié)Copyright?FlashSky@xfocus.or48WINDOWS堆溢出利用（5）WINDOWS堆溢出可以利用的途徑

脫鏈表時(shí) 入鏈表時(shí)Copyright?FlashSky@2003WINDOWS堆溢出利用（5）Copyright?Fl49WINDOWS2003堆溢出保護(hù)（1）基于堆溢出利用原理的檢查 基于覆蓋雙向鏈表的地址導(dǎo)致可寫(xiě)入任一地址空間 檢查上下鏈表的一致性可以檢查和防止堆溢出的利用

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)（1）Copyright50Copyright?FlashSky@2003

leaecx,[esi+8] movedi,[ecx] mov[ebp-0D8h],edi moveax,[esi+0Ch] mov[ebp-94h],eax movedx,[eax]

cmpedx,[edi+4]

jnzloc_77F36DE1

cmpedx,ecx

jnzloc_77F36DE1 mov[eax],edi mov[edi+4],eaxWINDOWS2003的檢查的代碼Copyright?FlashSky@xfocus.or51WINDOWS2003堆溢出保護(hù)（2）簡(jiǎn)單而言，其要求就是 被處理的當(dāng)前堆塊的管理結(jié)構(gòu)的雙向鏈表的下一個(gè)堆塊指針與上一堆塊指針要滿足如下條件： 1.當(dāng)前堆塊的下一個(gè)堆塊指針指向的堆塊的上一個(gè)堆塊指針要等于當(dāng)前堆塊的地址 2.當(dāng)前堆塊的上一個(gè)堆塊指針指向的堆塊的下一個(gè)堆塊指針要等于當(dāng)前堆塊的地址 Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)（2）Copyright52WINDOWS2003堆溢出保護(hù)（3）普通饒過(guò)的困難 需要構(gòu)造這樣的條件需要準(zhǔn)確的知道當(dāng)前堆塊的地址，然而往往當(dāng)前堆塊的地址我們不可知。

同時(shí)我們需要改寫(xiě)的有效的內(nèi)存地址如SHE，RETADDR，TOPSHE，F(xiàn)UNCHANDLE等周?chē)膬?nèi)容我們不可控制

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)（3）Copyright53WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（1）保護(hù)的范圍 跟蹤所有的利用途徑，發(fā)現(xiàn)： WINDOWS2003只對(duì)出鏈表的路徑做了完善檢查，缺乏對(duì)入鏈表路徑利用的檢查。 構(gòu)造滿足入鏈表攻擊的條件就能成功修改一個(gè)特定內(nèi)存的值為釋放堆塊的地址。MS遺漏檢查的原因？

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（1）Cop54WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（2）檢查的邏輯 邏輯上，并不能真正保證檢查的正確性。 某種含義上，我們還是能欺騙這種保護(hù)，如果我們能找到一種有普遍意義的特殊的利用形式，我們也能饒過(guò)檢查。

Copyright?FlashSky@2003WINDOWS2003堆溢出保護(hù)的弱點(diǎn)與問(wèn)題（2）Cop55思路的延續(xù)：遺漏檢查利用深入的討論（1）新的困難 無(wú)法使用分配的過(guò)程再次寫(xiě)入JMPCODE，這樣頭8字節(jié)我們無(wú)法控制其內(nèi)容，引起SHELLCODE執(zhí)行的異?；蚴?。 因?yàn)榉峙渎窂阶隽送暾谋Ｗo(hù)檢查 。Copyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（1）Copyright56Copyright?FlashSky@2003NextP3PrevP0JMPNextP2NextP2NextP3SEHPTOPSEH無(wú)法滿足檢查的條件Copyright?FlashSky@xfocus.or57思路的延續(xù)：遺漏檢查利用深入的討論（2）期待于運(yùn)氣？再次的推導(dǎo)：構(gòu)造的欺騙 如果我們能知道堆塊的準(zhǔn)確地址，是否可以構(gòu)造欺騙？ 為什么這里能構(gòu)造欺騙而前面不能？演示：一個(gè)構(gòu)造欺騙寫(xiě)入JMP的實(shí)現(xiàn)Copyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（2）Copyright58思路的延續(xù)：遺漏檢查利用深入的討論（3）新的發(fā)現(xiàn)與困境 一個(gè)可以滿足檢查的堆塊的脫鏈操作將再次改寫(xiě)SEHCopyright?FlashSky@2003思路的延續(xù)：遺漏檢查利用深入的討論（3）Copyright59Copyri