EIPの制御

オフセットが分かったので、EIPに任意の4バイトを配置できます。ここで問題になるのは、どのアドレスを設定すべきかということです。

EIPにはshellcodeを指させたいものの、スタックアドレスをそのままハードコードすることはできません。信頼性の高いジャンプが必要です。

shellcodeが置かれるスタックアドレスは、実行ごと、システムごとに変動する可能性があります。環境が少し変わるだけでもアドレスは移動します。

代わりに、メモリ上にすでに存在し、ESPが現在指している場所へ実行をリダイレクトする安定した命令を使います。

クラッシュ時にESPがshellcodeを指していれば、EIPにJMP ESP命令のアドレスを設定できます。EIPにそのアドレスが読み込まれると、CPUはjmp espを実行し、shellcodeへジャンプします。

この間接指定により、正確なスタックアドレスに左右されず、エクスプロイトの信頼性が高まります。

ロード済みモジュール（できればASLRなしのもの）から、オペコードバイトFF E4を探します。モジュールのベースアドレスは一定なので、このガジェットは信頼して使用できます。

mona.pyのようなツールは、適切な命令を自動的に見つけます。

一部のバイト値は、入力がバッファへ完全に届く前に内容を壊します。代表的なものはNULLバイトの0x00で、C文字列を終端します。ほかには0x0a（改行）や0x0d（キャリッジリターン）があります。

JMP ESPのアドレスには、これらの問題のある文字を含めてはいけません。

どのバイトが問題になるかを調べるには、0x00から0xffまでのすべてのバイト値をバッファに送り、デバッガーでメモリを確認します。内容が変更されたり欠落したりしたバイトが問題のある文字です。

これらはリターンアドレスとshellcodeの両方から除外します。

ここで入力を組み立てます。オフセットまでパディングを置き、その後にJMP ESPのアドレスをリトルエンディアン順で置きます。

JMP ESPが0x625011AFにある場合、書き込むバイトは逆順になります。

デバッガーでJMP ESPのアドレスにブレークポイントを設定し、エクスプロイトを実行します。EIPがそこに到達し、ESPへステップインすれば、信頼性の高いリダイレクトを確認できました。

この時点で、EIPはshellcodeを配置する位置を指しています。

リターンアドレスの後にある残りのバッファ（ESPが指す領域）にshellcodeを格納します。空きが少ない場合は、短いジャンプを使うか、配置場所を移動する必要があります。

shellcodeの前にNOPスレッド（0x90のノーオペレーションバイトを連続させたもの）を置くと、ジャンプ先がスレッド内のどこであってもよくなるため、余裕が生まれます。

これでエクスプロイト全体の構造が明確になりました。

• オフセットまでのパディング。
• JMP ESPのアドレス（問題のある文字を含まず、リトルエンディアン）。
• NOPスレッド。
• shellcode。

シェルを起動するまであと一歩です。

JMP ESPは古典的なリダイレクト方法ですが、これだけではありません。別のレジスタがバッファを指している場合は、jmp eax、call esp、またはpush esp; retガジェットを使えます。

原理は同じで、shellcodeがある場所へ制御を移す安定した命令を見つけます。

JMP ESPがハードコードしたスタックアドレスより好まれる理由を思い出してください。

これで実行フローを制御できるようになりました。

• 不安定なスタックアドレスの代わりに、JMP ESPガジェットのアドレスでEIPを上書きします。
• 非ASLRモジュール内でガジェットを見つけ、0x00のような問題のある文字を避けます。
• アドレスをリトルエンディアンで書き込み、shellcodeの前にNOPスレッドを追加します。

次はshellcodeを生成してシェルを起動します。