通过模糊测试寻找崩溃

模糊测试是向程序发送格式错误或过大的输入，以触发意外行为，尤其是崩溃。崩溃通常表明存在内存破坏漏洞。

对于缓冲区溢出，首要目标是让目标程序崩溃，这样我们就能确认存在溢出。

经典的漏洞利用工作流程如下：

• 通过模糊测试使程序崩溃。
• 找到返回地址的确切偏移量。
• 控制EIP。
• 重定向到外壳代码。

本课将介绍前两个步骤。

要观察崩溃，请将调试器（例如 Windows 上的 Immunity Debugger 或 x64dbg，Linux 上的 GDB）附加到目标程序。

程序崩溃时，调试器会显示寄存器的状态，尤其是 EIP 的状态，从而揭示我们是否覆盖了返回地址。

简单的模糊测试程序会发送越来越长的字符串，直到程序崩溃。常见的起点是发送大量的“A”字符（0x41）。

如果崩溃后 EIP 显示为 41414141，就确认您已经能够控制返回地址。

当应用程序崩溃且 EIP 等于 41414141 时，溢出已经到达保存的返回地址。

但您还不知道 EIP 之前到底有多少字节。发送全部相同的字节只能说明 EIP 可控，不能说明它位于什么位置。

要找到精确的偏移量，请发送唯一且不重复的模式，而不是全部发送“A”。每个 4 字节窗口都各不相同，因此落入 EIP 的值可以标识偏移量。

Metasploit 提供了用于此目的的 pattern_create.rb。

使用该模式导致崩溃后，记下 EIP 中的值。将它传给 pattern_offset.rb，它会返回 EIP 之前的确切字节数。

该偏移量就是返回地址字节之前填充数据的大小。

务必进行验证。构造一个输入：先放入 offset 个“A”字节，再放入四个“B”字节（0x42）。如果 EIP 变成 42424242，就说明偏移量准确无误。

这一确认步骤可以避免您之后因相差几个字节的错误而浪费数小时调试。

控制 EIP 后，您还需要记录崩溃时ESP所指向的位置。ESP 通常指向被覆盖的返回地址之后，也就是您剩余缓冲区中的位置。

稍后您将在这片空间中放置外壳代码。

有用的模糊测试和模式工具包括：

• Spike 和 boofuzz：网络协议模糊测试工具。
• pattern_create / pattern_offset：定位 EIP 偏移量。
• Immunity 中的 mona.py：自动完成模式、偏移量和坏字符相关任务。

有用的崩溃必须是可复现的。保存触发崩溃的确切输入，并从干净状态重新运行，以确认偏移量保持稳定。

不一致的崩溃通常意味着该漏洞不是干净的栈溢出，或者某些条件（时序、长度、内容）在不同运行之间发生了变化。

请回忆循环模式为何优于由相同字节组成的字符串。

现在您已经知道如何查找崩溃偏移量：

• 使用不断增大的输入进行模糊测试以触发崩溃；确认 EIP 中出现 41414141。
• 使用 pattern_create / pattern_offset 生成循环模式，以找到精确的偏移量。
• 使用填充数据加四个“B”字节（42424242）进行验证。
• 记录ESP指向的位置，以便稍后放置外壳代码。

接下来，您将完全控制 EIP 并重定向执行过程。