EIP 제어하기

오프셋을 알고 있으므로 EIP에 임의의 4바이트를 넣을 수 있습니다. 이제 문제는 그곳에 어떤 주소를 넣어야 하는가입니다.

EIP가 셸코드를 가리키도록 해야 합니다. 하지만 스택 주소를 하드코딩할 수는 없으므로 신뢰할 수 있는 점프가 필요합니다.

셸코드가 있는 스택 주소는 실행할 때마다, 시스템마다 달라질 수 있습니다. 환경이 조금만 바뀌어도 주소가 이동합니다.

대신 메모리에 이미 존재하며 ESP가 현재 가리키는 위치로 실행을 리디렉션하는 안정적인 명령어를 사용합니다.

충돌 시 ESP가 셸코드를 가리킨다면 EIP를 JMP ESP 명령어의 주소로 설정할 수 있습니다. EIP가 해당 주소를 읽으면 CPU는 jmp esp를 실행하여 셸코드로 이동합니다.

이 간접 참조 덕분에 정확한 스택 주소와 관계없이 익스플로잇을 안정적으로 수행할 수 있습니다.

로드된 모듈에서(가능하면 ASLR이 적용되지 않은 모듈에서) opcode 바이트 FF E4를 검색합니다. 모듈의 기준 주소는 일정하게 유지되므로 이 가젯을 신뢰할 수 있습니다.

mona.py 같은 도구는 적합한 명령어를 자동으로 찾아 줍니다.

일부 바이트 값은 입력이 버퍼에 온전히 도달하기 전에 입력을 망가뜨립니다. 대표적인 값은 널 바이트 0x00이며, C 문자열을 종료시킵니다. 그 밖에 0x0a(줄 바꿈)와 0x0d(캐리지 리턴)도 있습니다.

JMP ESP 주소에는 이러한 잘못된 문자가 포함되어서는 안 됩니다.

어떤 바이트가 잘못되었는지 찾으려면 0x00부터 0xff까지 모든 바이트 값을 버퍼에 보내고 디버거에서 메모리를 검사합니다. 변형되거나 사라진 바이트가 잘못된 문자입니다.

이 문자들은 반환 주소와 셸코드 양쪽에서 제외해야 합니다.

이제 입력을 구성합니다. 오프셋까지 패딩을 넣은 다음 리틀 엔디언 순서로 JMP ESP 주소를 넣습니다.

JMP ESP가 0x625011AF에 있다면 기록되는 바이트는 역순이 됩니다.

디버거에서 JMP ESP 주소에 중단점을 설정하고 익스플로잇을 실행합니다. EIP가 해당 주소에 도달한 뒤 ESP로 이동하면 신뢰할 수 있는 리디렉션이 확인된 것입니다.

이 시점에서 EIP는 셸코드가 들어갈 위치를 가리킵니다.

반환 주소 뒤에 남은 버퍼(E SP가 가리키는 위치)에 셸코드가 들어갑니다. 공간이 부족하면 짧은 점프를 사용하거나 위치를 옮겨야 할 수 있습니다.

셸코드 앞에 NOP 슬레드(0x90 무연산 바이트가 연속된 영역)를 넣으면 점프가 슬레드의 어느 위치에 도착해도 되므로 여유가 생깁니다.

이제 전체 익스플로잇 구조가 분명해졌습니다.

• 오프셋까지의 패딩
• JMP ESP 주소(잘못된 문자 없음, 리틀 엔디언)
• NOP 슬레드
• 셸코드

셸을 실행하기까지 이제 한 단계 남았습니다.

JMP ESP는 대표적인 리디렉션 방법이지만 유일한 방법은 아닙니다. 다른 레지스터가 버퍼를 가리킨다면 jmp eax, call esp, push esp; ret 가젯을 사용할 수 있습니다.

원리는 같습니다. 셸코드가 있는 위치로 제어를 전달하는 안정적인 명령어를 찾는 것입니다.

JMP ESP가 하드코딩한 스택 주소보다 선호되는 이유를 떠올려 보세요.

이제 실행 흐름을 제어할 수 있습니다.

• 불안정한 스택 주소 대신 JMP ESP 가젯의 주소로 EIP를 덮어씁니다.
• ASLR이 적용되지 않은 모듈에서 가젯을 찾고 0x00 같은 잘못된 문자는 피합니다.
• 주소를 리틀 엔디언으로 기록하고 셸코드 앞에 NOP 슬레드를 추가합니다.

다음에는 셸코드를 생성하고 셸을 실행합니다.