亚洲免费在线-亚洲免费在线播放-亚洲免费在线观看-亚洲免费在线观看视频-亚洲免费在线看-亚洲免费在线视频

EBP的妙用[無法使用ESP定律時]

系統 1877 0

1.了解EBP寄存器

在寄存器里面有很多寄存器雖然他們的功能和使用沒有任何的區別,但是在長期的編程和使用 中,在程序員習慣中已經默認的給每個寄存器賦上了特殊的含義,比如:EAX一般用來做返回值,ECX用于記數等等。在win32的環境下EBP寄存器用與 存放在進入call以后的ESP的值,便于退出的時候回復ESP的值,達到堆棧平衡的目的。

應用以前說過的一段話:

原程序的OEP,通常是一開始以 Push EBP 和MOV Ebp,Esp這兩句開始的,不用我多說大家也知道這兩句的意思是以EBP代替ESP,作為訪問堆棧的指針。

為什么要這樣呢?為什么幾乎每個程序都是的開頭能?因為如果我們寫過C等函數的時候就應該清楚,程序的開始是以一個主函數main()為開始的,而函數在訪問的過程中最重要的事情就是要確保堆棧的平衡,而在win32的環境下保持平衡的辦法是這樣的:

1.讓EBP保存ESP的值;

2.在結束的時候調用

              mov esp,ebp 

pop ebp 

retn
            

或者是

              leave

retn
            


兩個形式是一個意思。

這樣做的好處是不用考慮ESP等于多少,PUSH了多少次,要POP多少次了,因為我們知道EBP里面放的是開始時候的ESP值。

2.推廣的ESP定律

在尋找OEP的時候,往往下斷HW ESP-4不成功,除了殼代碼將硬件斷點刪除了以外,很可能的情況就是因為殼代碼在運行到OEP的時候他的ESP已經不再是在EP時候的ESP(12FFC4)了,這樣我們下斷當然是不成功的。

那么如何找到在殼到達OEP的時候的堆棧的值將是關鍵。

在這里我們應用的關鍵是

              Push EBP

MOV Ebp,Esp----》關鍵是這句
            

我來解釋一下,當程序到達OEP的時候Push EBP這句對于ESP的值來說就是ESP-4,然后是ESP-4賦給了EBP,而做為保存ESP值作用的EBP寄存器在這個“最上層的程序”中的值將始終 不會改變。雖然他可能在進入子call里面以后會暫時的改變(用于子程序的堆棧平衡)但是在退出了以后依*pop ebp這一句將還原原來的EBP的值。

以這句做為突破口,就是說只要我們能斷在“最上層的程序”中,就能通過觀察EBP的值得到殼在JMP到OEP的時候的ESP的值了。

3.實戰

來看看pespin1.1的殼,在pespin1.0的殼中,我們使用HW 12FFC0能很容易的找到stolen code的地方,但是到pespin1.1的時候,我們就不行了。用HW 12FFC0根本斷不下來。

現在我們就使用這個推廣的ESP定律,載入程序后來到最后的一個異常

              0040ED85     2BDB             sub ebx,ebx                           //停在這里

0040ED87     64:8F03          pop dword ptr fs:[ebx]

0040ED8A     58               pop eax

0040ED8B     5D               pop ebp

0040ED8C     2BFF             sub edi,edi

0040ED8E     EB 01            jmp short pespin1_.0040ED91

0040ED90     C466 81          les esp,fword ptr ds:[esi-7F]
            

我用使用內存斷點辦法來到FOEP處

              004010D3     0000             add byte ptr ds:[eax],al

004010D5     0000             add byte ptr ds:[eax],al

004010D7     0000             add byte ptr ds:[eax],al

004010D9     0000             add byte ptr ds:[eax],al

004010DB     0000             add byte ptr ds:[eax],al

004010DD     0000             add byte ptr ds:[eax],al

004010DF     75 1B            jnz short pespin1_.004010FC               //這里是FOEP

004010E1     56               push esi 

004010E2     FF15 99F44000    call dword ptr ds:[40F499]

004010E8     8BF0             mov esi,eax

004010EA     8A00             mov al,byte ptr ds:[eax]
            


好了,這里就是“最上層的程序”的地方了,看看寄存器

              EAX 00141E22

ECX 0040C708 pespin1_.0040C708

EDX 0040C708 pespin1_.0040C708

EBX 0040C708 pespin1_.0040C708                    

ESP 0012F978

EBP 0012F9C0                                  //注意這里

ESI 00141EE0

EDI 0040E5CD pespin1_.0040E5CD

EIP 004010DF pespin1_.004010DF
            

看到了吧,EBP=0012F9C0,我們來想象一下這個值是怎么得到的。

首先肯定是通過MOV ESP,EBP這一句,也就是說ESP這時是0012F9C0的,然而上面還有一句PUSH EBP也就是說ESP在到達OEP的時候應該是0012F9C4的。好了得到這個結論我們就能很快的找到stolen code的所在了。

重來停在最后的異常

              0040ED85     2BDB             sub ebx,ebx                           //停在這里

0040ED87     64:8F03          pop dword ptr fs:[ebx]

0040ED8A     58               pop eax

0040ED8B     5D               pop ebp

0040ED8C     2BFF             sub edi,edi

0040ED8E     EB 01            jmp short pespin1_.0040ED91

0040ED90     C466 81          les esp,fword ptr ds:[esi-7F]
            

然后下斷HW 0012F9C0 ,F9運行,來到這里

              0040D8FB     61               popad

0040D8FC     55               push ebp

0040D8FD     EB 01            jmp short pespin1_.0040D900           //停在這里

0040D8FF     318B ECEB01AC    xor dword ptr ds:[ebx+AC01EBEC],ecx

0040D905     83EC 44          sub esp,44

0040D908     EB 01            jmp short pespin1_.0040D90B

0040D90A     72 56            jb short pespin1_.0040D962

0040D90C     EB 01            jmp short pespin1_.0040D90F

0040D90E     95               xchg eax,ebp

0040D90F     FF15 6CF34000    call dword ptr ds:[40F36C]

0040D915     EB 01            jmp short pespin1_.0040D918
            

于是就很快的找到了stolen code的所在了。

4.總結

上面的這個辦法大概可以總結以下的步驟:

(1).直接或間接的斷在“最上層的程序”的地方。

(2).得到“最上層的程序”的EBP的值。

(3).利用程序初始化的兩個固定語句找到殼JMP到OEP的堆棧值。這個辦法有很大的局限性,因為只有VC和delphi程序使用這個初始化的開頭。

但是找到“最上層的程序”的辦法除了內存斷點還有很多辦法,例如對于VC來說使用 bp ExitProcess也是一個很好的斷點,可以直接得到EBP的數值。

5.后話

原來這個辦法有很強的前提條件,不是一個很具普遍性的辦法,我原來也不想單獨的提出來,但是對于jney2兄弟的anti-ESP定律來說這個辦法卻是一個解決之道。

當然還有更多的辦法,在這里我只想說很多事情有矛就有盾,沒有什么辦法是一定沒有漏洞的,只是希望這篇文章給大家闊寬思路,起到拋磚引玉的作用。

EBP的妙用[無法使用ESP定律時]


更多文章、技術交流、商務合作、聯系博主

微信掃碼或搜索:z360901061

微信掃一掃加我為好友

QQ號聯系: 360901061

您的支持是博主寫作最大的動力,如果您喜歡我的文章,感覺我的文章對您有幫助,請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧,狠狠點擊下面給點支持吧,站長非常感激您!手機微信長按不能支付解決辦法:請將微信支付二維碼保存到相冊,切換到微信,然后點擊微信右上角掃一掃功能,選擇支付二維碼完成支付。

【本文對您有幫助就好】

您的支持是博主寫作最大的動力,如果您喜歡我的文章,感覺我的文章對您有幫助,請用微信掃描上面二維碼支持博主2元、5元、10元、自定義金額等您想捐的金額吧,站長會非常 感謝您的哦!!!

發表我的評論
最新評論 總共0條評論
主站蜘蛛池模板: 99久热只有精品视频免费看 | 日韩欧美在线观看成人 | 日本一级在线观看 | 久久综合九色综合91 | 久久精品中文字幕 | 国产图片综合区 | 曰本毛片| 狠狠综合久久久久尤物丿 | 亚洲精品一区二区久久久久 | 久久国产乱子伦精品免费一 | 日本免费人做人一区在线观看 | 久草在线免费看视频 | 国产自愉怕一区二区三区 | 国内视频一区 | 中文字幕在线视频免费观看 | 日日摸日日碰日日狠狠 | 免费真实播放国产乱子伦 | 一级s片| 国产亚洲精品美女一区二区 | 国产久7精品视频 | 国产精品成人免费 | 久草久草 | 国产精品一级香蕉一区 | 国产乱码精品一区二区三区四川 | 亚洲国产日韩欧美高清片a 亚洲国产日韩欧美一区二区三区 | 国产精品高清一区二区不卡 | 亚洲国产一区在线 | 在线亚洲欧美日韩 | 一区二区国产在线播放 | 亚洲高清中文字幕综合网 | 九九毛片 | 91福利在线看 | sss欧美华人整片在线观看 | 亚洲精品日本一区二区在线 | 四虎4hu永久在线观看 | 99精品热视频 | 七七久久综合 | 欧美一级毛片免费高清aa | 欧美国产激情二区三区 | 精品网站 | 老司机成人午夜精品福利视频 |