Windows 2003 堆溢出及其利用技术深入研究.ppt

感谢 安全焦点所有的成员与启明星辰积极防御实验室的同事 主讲目录 WINDOWS堆结构简介 WINDOWS堆溢出利用 WINDOWS 2003堆溢出保护 WINDOWS 2003堆溢出保护的弱点 思路的延续：弱点利用深入的讨论 思路的突变：更广泛的另类有效利用的手段 未来WINDOWS 2003堆溢出利用研究的方向 * Windows 2003 堆溢出及其利用技术深入研究 作者：FlashSky 日期：2003-12-26 Copyright ? FlashSky@xfocus.org 2003 WINDOWS 堆结构简介（1） 前言 WINDOWS 2003，系统低层的安全性改进 本文的目的 当前关于WINDOWS堆的研究 WINDOWS 堆管理结构与管理特性的研究 WINDOWS 堆特性在堆溢出时的利用的研究 WINDOWS 2003的堆特性的研究 Copyright ? FlashSky@xfocus.org 2003 WINDOWS 堆结构简介（2） WINDOWS堆结构简介 堆与堆块 堆管理结构与堆块管理结构 堆的整体结构构架 Copyright ? FlashSky@xfocus.org 2003 Copyright ? FlashSky@xfocus.org 2003 堆管理结构块 （SIZE：0X640/0XC50） 堆段表块0 （SIZE：0X40） 小堆块分配管理表结构 （SIZE：0X1818），可选 用户堆块数据区 堆的基地址 一般紧接着堆管理结构块之后 WINDOWS 堆结构简介（3） WINDOWS堆块分配与释放的管理 大堆块对象与小堆块对象 空闲堆块双向链表头 空闲大堆对象与空闲小堆对象入链算法 Copyright ? FlashSky@xfocus.org 2003 WINDOWS 堆溢出利用（1） 基本原理 常见的普通利用方式： 引起空闲堆组成的双向链表的脱链的操作 Copyright ? FlashSky@xfocus.org 2003 Copyright ? FlashSky@xfocus.org 2003 NextP2 PrevP0 NextP3 PrevP1 NextP4 PrevP2 NextP3/PrevP3 NextP2/PrevP2 NextP1/PrevP1 NextP3 PrevP0 NextP3 PrevP1 NextP4 PrevP1 一个正常的堆块脱链表过程 WINDOWS 堆溢出利用（2） 双向链表的入链利用的可能性 可利用的原理 利用的要求 Copyright ? FlashSky@xfocus.org 2003 NextP3 PrevP0 NextP3 PrevP1 NextP4 PrevP1 NextP3/PrevP3 NextP2/PrevP2 NextP1/PrevP1 NextP2 PrevP0 NextP4 PrevP1 UNKN UNKP NextP3 PrevP1 NextP2 PrevP0 NextP4 PrevP2 一个正常的大堆块插入入链表过程 Copyright ? FlashSky@xfocus.org 2003 WINDOWS 堆溢出利用（3） 覆盖空闲大堆可以达到的目的： 我们能将一个当前释放堆的地址填入到一个由我们指定的内存地址中 Copyright ? FlashSky@xfocus.org 2003 NextP3 PrevP0 NextP4 PrevP1 NextP3 PrevP0 JMP TSEHP TSEH NextP3 PrevP0 JMP NextP2 NextP2 NextP3 SEHP TOPSEH TOPSEH 一个利用大堆块插入入链表的过程 NextP3/PrevP3 NextP1/PrevP1 NextP2/PrevP2 Copyright ? FlashSky@xfocus.org 2003 WINDOWS 堆溢出利用（4） 入链表利用的进一步 问题：当前释放堆块地址的前8字节内容是我们无法控制的指针价值。 解决方法：再次分配时候可以将我们可以控制的4字节写入 Copyright ? FlashSky@xfocus.org 2003 Copyright ? FlashSky@xfocus.org 2003 NextP3 PrevP0 JMP NextP2 NextP2 JMP SEHP NextP3 PrevP0 JMP NextP2 NextP2 JMP SEHP TOPSEH JMP ADDR 触发异常 利用分配再次写入JMP代码到头四字节