Управление EIP

Теперь у Вас есть смещение, поэтому Вы можете поместить любые четыре байта в EIP. Возникает вопрос: какой адрес следует туда записать?

Вы хотите, чтобы EIP указывал на Ваш шелл-код. Но нельзя просто жёстко задать адрес стека: нужен надёжный переход.

Адрес стека, по которому находится Ваш шелл-код, может меняться между запусками и в разных системах. Даже небольшие изменения окружения сдвигают его.

Вместо этого используется стабильная инструкция, уже находящаяся в памяти, которая перенаправляет выполнение туда, куда в данный момент указывает ESP.

Если в момент сбоя ESP указывает на Ваш шелл-код, можно установить в EIP адрес инструкции JMP ESP. Когда EIP загрузит этот адрес, CPU выполнит jmp esp и перейдёт к Вашему шелл-коду.

Такое косвенное перенаправление делает эксплойт надёжным независимо от точного адреса стека.

Ищите в загруженных модулях (желательно без ASLR) байты опкода FF E4. Базовый адрес модуля остаётся постоянным, поэтому этот гаджет надёжен.

Такие инструменты, как mona.py, автоматически находят подходящие инструкции.

Некоторые значения байтов повреждают входные данные до того, как они целиком попадут в буфер. Классический пример — нулевой байт 0x00, завершающий строки C. К другим относятся 0x0a (перевод строки) и 0x0d (возврат каретки).

Адрес JMP ESP не должен содержать ни одного из этих недопустимых символов.

Чтобы определить, какие байты являются недопустимыми, отправьте в буфер все значения байтов от 0x00 до 0xff и изучите память в отладчике. Повреждённые или отсутствующие байты являются недопустимыми символами.

Их нужно исключить и из адреса возврата, и из шелл-кода.

Теперь сформируйте входные данные: сначала заполнение до смещения, затем адрес JMP ESP в порядке от младшего байта к старшему.

Если JMP ESP находится по адресу 0x625011AF, записываемые байты идут в обратном порядке.

Установите точку останова на адресе JMP ESP в отладчике и запустите эксплойт. Когда EIP достигнет этого адреса и перейдёт к ESP, Вы подтвердите надёжность перенаправления.

На этом этапе EIP указывает туда, где будет размещён Ваш шелл-код.

После адреса возврата оставшаяся часть буфера (куда указывает ESP) содержит Ваш шелл-код. Если места мало, может потребоваться короткий переход или перемещение данных.

Цепочка NOP (последовательность байтов без операции 0x90) перед шелл-кодом допускает неточность, поэтому переход может попасть в любую её часть.

Теперь полная структура эксплойта выглядит так:

• Заполнение до смещения.
• Адрес JMP ESP (без недопустимых символов, в порядке от младшего байта к старшему).
• Цепочка NOP.
• Шелл-код.

Остался один шаг до командной оболочки.

JMP ESP — классический способ перенаправления, но не единственный. Если на Ваш буфер указывает другой регистр, можно использовать гаджет jmp eax, call esp или push esp; ret.

Принцип тот же: найдите стабильную инструкцию, которая передаст управление туда, где находится Ваш шелл-код.

Вспомните, почему JMP ESP предпочтительнее жёстко заданного адреса стека.

Теперь Вы управляете ходом выполнения:

• Перезаписывайте EIP адресом гаджета JMP ESP, а не ненадёжным адресом стека.
• Находите гаджет в модуле без ASLR, избегая недопустимых символов, таких как 0x00.
• Записывайте адрес в порядке от младшего байта к старшему и добавляйте цепочку NOP перед шелл-кодом.

Далее Вы сгенерируете шелл-код и запустите командную оболочку.