漏洞挖掘方法之静态扫描+经典栈溢出实例

然后要做的就是操作Notepad++，并且观察调试器的输出了，这也是一个比较耗时的过程，需要有耐心，把Notepad++的各种按钮点一遍，肯定可以找到我们需要找的，寻找的过程在这里不详细说了，我直接说出一个场景，就是在使用Notepad++的插件CCompletion这个插件的Goto?identifier的时候，如下图所示。在未选中任何字符串时，使用菜单插件-CCompletion-Goto?identifier这个功能，就会发现当前编辑区域的所有字符串都被选中并且被lstrcpyW这个函数处理了四次。


P5

找到这个场景之后我们就可以进一步确认，lstrcpyW这个函数是否存在栈溢出的可能，输入很长的数据，然后看一下程序是否会出问题Crash。


P6

可以看到，在第二次拷贝之后，程序Crash了，因为发生了AV异常，现在已经基本可以断定这里存在溢出的可能了，但是还需要跟加深入的对这两次的调用进行分析。下面要更换一下条件断点的判断条件了，只有当拷贝的源字符串是我们输入的字符串的时候才断下：

代码:

bp?kernel32!lstrcpyW?".if(poi(poi(@esp+8))=0x00420042)?{kv1;}?.else{du?poi(@esp+8);g;}"

因为我们选择的测试字符串是BBAAAAAA……所以只要判断源字符串的前4个字节是否为0x00420042就行了。然后重复我们刚才的Crash场景。既然Crash是发生在第二次拷贝之后，所以我们需要看一下第二次拷贝之后栈的情况：


P7

从以上情况可以看出，栈已经被我们的数据覆盖了，这里要有一点预先判断，如果栈溢出，那么在接下来的程序运行过程中一定会因为某一个ret指令导致栈中的数据进入eip寄存器，并且这个值应该是0x00410041，然后程序从0x00410041开始继续执行，考虑到这一点我们就可以在0x00410x0041下一个断点，然后继续执行程序。

P8

程序最终在0x00410041触发了断点，到这里，已经非常明确了，程序发生了栈溢出，并且我们成功劫持了EIP，下面我们要计算这个eip取到的0x00410041位于我们的数据中的偏移地址，也就是上层函数的返回地址在栈中存放的位置，还记得第二次拷贝字符串的时候的目标地址么？没错是0x00135c7c，此时esp的值为0x1360b0，所以我们计算差值：

（编辑：源码网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!