有趣的二进制（跳板）

前言

前几天学习到了通过栈溢出弹窗，当时是入口地址是buffer的地址，现在了解到有一个叫跳板的玩意

ESP寄存器在函数返回后不被溢出数据干扰，且始终指向返回地址之后的位置

用内存中任意一个jmp esp指令的地址覆盖函数返回地址，而不用手工查出shellcode起始地址直接覆盖
函数返回后被重定向去执行内存中的这条jmp esp指令，而不是直接开始执行shellcode
由于esp在函数返回时仍指向栈区（函数返回地址之后），jmp esp指令被执行后，处理器会到栈区函数返回地址之后的指令执行
重新布置shellcode，在淹没函数返回地址后，继续淹没一片栈空间，将缓冲区前边一段地方用任意数据填充，把shellcode恰好摆放在函数返回地址之后，这样Jmp esp指令执行过后会恰好跳进shellcode

这种定位shellcode的方法使用进程空间里一条jmp esp指令作为跳板，不论栈帧怎么移位都能准确地跳回栈区，从而适应程序运行中shellcode内存地址的动态变化

正文

找出`Jmp Esp`的地址

直接看源码

c++

//FF E0		JMP EAX
//FF E1		JMP ECX
//FF E2		JMP EDX
//FF E3		JMP EBX
//FF E4		JMP ESP
//FF E5		JMP EBP
//FF E6		JMP ESI
//FF E7		JMP EDI

//FF D0		CALL EAX
//FF D1		CALL ECX
//FF D2		CALL EDX
//FF D3		CALL EBX
//FF D4		CALL ESP
//FF D5		CALL EBP
//FF D6		CALL ESI
//FF D7		CALL EDI


//#define DLL_NAME "mfc42.dll"

#include <windows.h>
#include <stdio.h>
#define DLL_NAME "user32.dll"
main()
{
	BYTE* ptr;
	int position,address;
	HINSTANCE handle;
	BOOL done_flag = FALSE;

	handle=LoadLibrary(DLL_NAME);

	if(!handle)
	{
		printf(" load dll erro !");
		exit(0);
	}

	ptr = (BYTE*)handle;//handle的地址赋值给ptr
	
	for(position = 0; !done_flag; position++)
	{
		try
		{
			if(ptr[position] == 0xFF && ptr[position+1] == 0xE4)//jmp esp的十六进制码为FF E4
			{
				//0xFFE4 is the opcode of jmp esp
				int address = (int)ptr + position;//如果找到了，就把ptr和position的地址相加赋值给address
				printf("OPCODE found at 0x%x\n",address);
			}
		}
		catch(...)
		{
			int address = (int)ptr + position;
			printf("END OF 0x%x\n", address);
			done_flag = true;//结束循环
		}
	}
	system("pause");
}

首先加载user32.dll动态链接库，算了看源码的注释吧👆,如果有错误的话麻烦指点一二。

这里的地址随便挑一个都可以，选第一个，尽量避免有0a,0c这些，因为这些是截断符。

寻找溢出位置

jmp esp地址：760280f6

因为是在栈溢出的位置进行修改，所以首先要找出来是那个位置。

由于跳板是在函数入口处进入，不同于上一章是在尾部输入函数地址跳转，所以这次实验的password.txt要输入更多的字符串来承载机器代码。

将程序拖入OD，根据上次的分析，右下角堆栈窗口跟踪buffer的地址，当程序执行到retn时，观察运行位置，可以看出，是在5678字符串的下一组4321，所以就是要从此处进行修改。

将password.txt在UltraEdit编辑器中打开，快捷键Ctrl+H切换十六进制编辑窗口，此次输入的字节刚好6行，24组4321，其中有两组叛徒改为了1234,5678。

刚才找出的地址是在5678的下一组4321

首先根据大顶机的缘故，逆序输入JMP ESP的函数地址

接着，照常写入上一章中的弹窗机器代码。此次测试时候发现，我笔记本的MessageBox的函数地址与我一开始测试的是相同的(我的笔记本每天都关机，此时获取到的地址是相同的，但是我写上一篇文章时使用台式机测试时，每次重启或关机在启动，地址都会发生变动)，由于上篇文章是用台式机写的，所以截图的地址有所不同。