《星期一沙》PPT课件

《《星期一沙》PPT课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、Windows2003堆溢出及其利用技术深入研究作者：FlashSky日期：2003-12-26感谢安全焦点所有的成员与启明星辰积极防御实验室的同事主讲目录WINDOWS堆结构简介WINDOWS堆溢出利用WINDOWS2003堆溢出保护WINDOWS2003堆溢出保护的弱点思路的延续：弱点利用深入的讨论思路的突变：更广泛的另类有效利用的手段未来WINDOWS2003堆溢出利用研究的方向Copyright©FlashSky@xfocus.org2003WINDOWS堆结构简介（1）前言WINDOWS2003，系统低层的安全性改进本文的目的当前关于WINDOWS堆的研究

2、WINDOWS堆管理结构与管理特性的研究WINDOWS堆特性在堆溢出时的利用的研究WINDOWS2003的堆特性的研究Copyright©FlashSky@xfocus.org2003WINDOWS堆结构简介（2）WINDOWS堆结构简介堆与堆块堆管理结构与堆块管理结构堆的整体结构构架Copyright©FlashSky@xfocus.org2003Copyright©FlashSky@xfocus.org2003堆管理结构块（SIZE：0X640/0XC50）堆段表块0（SIZE：0X40）小堆块分配管理表结构（SIZE：0X1818），可选用户堆块数据区堆的基地

3、址一般紧接着堆管理结构块之后WINDOWS堆结构简介（3）WINDOWS堆块分配与释放的管理大堆块对象与小堆块对象空闲堆块双向链表头空闲大堆对象与空闲小堆对象入链算法Copyright©FlashSky@xfocus.org2003WINDOWS堆溢出利用（1）基本原理常见的普通利用方式：引起空闲堆组成的双向链表的脱链的操作Copyright©FlashSky@xfocus.org2003Copyright©FlashSky@xfocus.org2003NextP2PrevP0NextP3PrevP1NextP4PrevP2NextP3/PrevP3NextP2/P

4、revP2NextP1/PrevP1NextP3PrevP0NextP3PrevP1NextP4PrevP1一个正常的堆块脱链表过程WINDOWS堆溢出利用（2）双向链表的入链利用的可能性可利用的原理利用的要求Copyright©FlashSky@xfocus.org2003NextP3PrevP0NextP3PrevP1NextP4PrevP1NextP3/PrevP3NextP2/PrevP2NextP1/PrevP1NextP2PrevP0NextP4PrevP1UNKNUNKPNextP3PrevP1NextP2PrevP0NextP4PrevP2一个正常的

5、大堆块插入入链表过程Copyright©FlashSky@xfocus.org2003WINDOWS堆溢出利用（3）覆盖空闲大堆可以达到的目的：我们能将一个当前释放堆的地址填入到一个由我们指定的内存地址中Copyright©FlashSky@xfocus.org2003NextP3PrevP0NextP4PrevP1NextP3PrevP0JMPTSEHPTSEHNextP3PrevP0JMPNextP2NextP2NextP3SEHPTOPSEHTOPSEH一个利用大堆块插入入链表的过程NextP3/PrevP3NextP1/PrevP1NextP2/PrevP2

6、Copyright©FlashSky@xfocus.org2003WINDOWS堆溢出利用（4）入链表利用的进一步问题：当前释放堆块地址的前8字节内容是我们无法控制的指针价值。解决方法：再次分配时候可以将我们可以控制的4字节写入Copyright©FlashSky@xfocus.org2003Copyright©FlashSky@xfocus.org2003NextP3PrevP0JMPNextP2NextP2JMPSEHPNextP3PrevP0JMPNextP2NextP2JMPSEHPTOPSEHJMPADDR触发异常利用分配再次写入JMP代码到头四字节WIN

7、DOWS堆溢出利用（5）WINDOWS堆溢出可以利用的途径脱链表时入链表时Copyright©FlashSky@xfocus.org2003WINDOWS2003堆溢出保护（1）基于堆溢出利用原理的检查基于覆盖双向链表的地址导致可写入任一地址空间检查上下链表的一致性可以检查和防止堆溢出的利用Copyright©FlashSky@xfocus.org2003Copyright©FlashSky@xfocus.org2003leaecx,[esi+8]movedi,[ecx]mov[ebp-0D8h],edimoveax,[esi+0Ch]mov[ebp-94h],