使用工具#

• VM
• 分析工具 : PEBear, DLL Export Viewer
• 組語除錯工具 : WinREPL
• C++ ROP Gadget : rp++
• Debugger : x64dbg, Windbg Preview

Windbg操作#

• | : Process Status ~ : Thread Status
• 顯示記憶體內容 : d{b|d|q|u} + Ln (顯示N個)
• 以某種資料結構解讀 : dt (module)!_name + rn (recursive)
• 對記憶體寫入 : 數值e{b|d|q}, 字串e{a|u|za|zu} (z : 指以NULL做結尾)
• 暫存器 : r, r [reg] = [val]
• 取值 : poi
• 反組譯 : u, uf
• 斷點 : bp [addr] .if [cond]{} .else{gc}
• 列出載入的模組 : lm
• 執行 : go, Step in : t, Step over : p
• Mapping : !address
• 查看權限 : !vprot
• 查看Error Code : !error Value [Flags], Flags=Win32, NTSTATUS…
• 查看Symbol : x module!symbol

呼叫慣例#

• 流程控制 : call / ret
• 參數 : 使用 CX, DX, R8, R9, stack
• Prologue, Epilogue : 保存/恢復上一個frame的RBP

Buffer Overflow#

列舉一些危險的函數

• gets()
• scanf()
• stcpy()
• sprintf()
• memcpy()
• strcat()

會覆蓋到在stack frame以下的saved RIP

Dynamic Library#

• Dynamic-Link library
• ntdll : Native API
• kernelbase : kerel32中部分函數(偏核心)
• kernel32 : Win32API
• msvcrt : Windows Libc

IAT#

• Import Address Table
• 類似Linux GOT

保護機制#

• DEP : NX
• Security Cookie : 類似Linux Stack Canary
• ASLR : library的基址在開機時就決定了, 同一隻DLL在不同Process使用CoW機制
• CFG : Link時建立function table, 執行期間建立bitmap, 避免indirect jump
  • 只檢查通往的函數, 不會檢查如何過來這個函數
• CFG-SupressExports mode : 禁止其他合法DLL函數, 不過還是可以利用相同image
• ACG : 禁止創造RWX segment
• Child Process Policy : 禁止fork出新的process

Shellcode#

• System call number經常修改

  • 呼叫API -> 需要找出API的位址

• _TEB : Thread Environment Block

  • 執行緒資訊
  • _NT_TIB : Exception List, Stack
  • PEB位址
  • 由FS/GS指向

• _PEB : Process Environment Block

  • _PEB_LDR_DATA
  • _LDR_DATA_TABLE_ENTRY
    • InMemoryOrderModuleList : Binary->ntdll->kernel32->kernelbase
  • ProcessHeap
  • Image Base

• 獲取DLL位址 : 使用GS

  • PEB : GS+0x60
  • PEB->Ldr : PEB+0x18
  • InMemoryOrderModuleList : 獲得kernel32.dll基址 (Ldr+0x20)
    • Binary->ntdll->kernel32
  • 使用 mov rdi, qword ptr [rdi]爬Linked List
  • 從List Node獲得基址 : kernel32+0x20

• 獲取函數地址 : 利用RVA

  • 需要Export Table
  • NT Header RVA : [kernel32 + 0x3c]
  • NT header : kernel32+RVA
  • Export Directory RVA : [nt_header +4+0x14+0x70]
  • Export Directory : kernel32+RVA
  • Name pointer table RVA : [Export Directory Table + 0x20]
  • Name pointer Table : Export Directory Table+RVA
  • Function Name RVA : [Name Pointer Table + index * 4]
  • 對於每個Index, 爬出Name pointer Table保存的Function Name, 找WinExec
  • Ordinal Table RVA : [Export Directory Table RVA+ 0x24]
  • Ordinal Table : kernel32+RVA
  • Ordinal : Ordinal Table + index * 2
  • Export Address Table RVA : [Export Directory Table + 0x1c]
  • Export Address Table : kernel32+RVA
  • WinExec RVA : Export Address Table + Ordinal * 4
  • WinExec : kernel32+RVA

• 呼叫函數

  • RCX : cmd.exe
  • RSP對齊0x10 (避免踩到movaps)
  • 呼叫WinExec

Return to Library#

• 用以克制DEP
• 由於ASLR, 需要洩漏記憶體資訊(相對offset不變)
• IAT, stack上殘留值, heap上的結構體

File Operation#

• Linux FD = Windows File HANDLE
• open() = CreateFile() / OpenFile()
• read() = ReadFile()
• write() = WriteFile()

Lab1#

• flag1 : 設定RIP跳轉到打印flag處
• flag2 : 設定RIP跳轉到該函數
• flag3 : 在XOR處設定Contidional Breakpoint, 使原本存放亂數的RAX變成0

Lab2#

• 換行符號與Linux上不同 : \r\n
• cyclic找crash offset
• 覆蓋RIP

Lab3#

• 利用一次任意讀取洩漏IAT上的地址
• 計算offset獲得kernel32.dll基址
• 利用BOF呼叫WinExec()