мини-шеллкод

Clerk
Лучше буду постить маленькими порциями,чтоб не было непоняток.

1-ый пункт моего предыдущего поста относится к Вашему 1-ому пункту " Да не всякий код защищён StackCookie. Но такой код редко уязвим к переполнениям, ибо архитекторы умнее".
Там приведён пример работы приватного сплойта WIN_XP_SP2_Remote_Control. В том месте,где уязвима функция NetPwPathCanonicalize из netapi32.dll и где происходит переполнение буфера - просто нет защиты StackCookie(забыли её). Я переполняю буфер,обхожу DEP техникой ret2libc и передаю управление на шеллкод. Здесь я Вам показал,что не всё защищёно StackCookie, и у архитекторов есть проколы.
Теперь надеюсь Вам понятно,почему тот шеллкод получает управление. (Там только DEP обходится).

Обход какой защиты конкретно Вас интересует? (StackCookie,DEP,SafeSeh)/
Вы - VX, как же вы голову червя разрабатываете,которая производит переполнение и должна обходить данные защиты,если уверены,что КУКИ мир спасли?- это как раз по этой теме.

 

Nafanya
Тоесть вы знаете эксплоит позволяющий выполнить эскалацию привилегий посредством переполнений и не пропатченный ?
Нет - тогда и не лечите меня. Ядро вылизано достаточно, чтоб такие глупые ошибки типо переполнений не возникали. И я не пишу шеллкоды, мне интересны только эксплоиты позволяющие попасть в K-mode. Лузермод рассматривается как мод в котором невозможно управлять системой на необходимом уровне.

 

Clerk
"мне интересны только эксплоиты позволяющие попасть в K-mode. "

Вот теперь всё стало ясно.
Да вы правы, шеллкод исполняется на 3-ем кольце(Лузермод), в адресном пространстве процесса svchost.exe на удалённой атакуемой машине. Но этого вполне достаточно, чтобы удалённо слить интересующую информацию(документы например).

Просто у нас Вами разные сферы интересов. Вас интересуют сплойты позволяющие попасть в K-mode,а я разрабатываю сплойты класса Remote_CMD, позволяющие удалённо выполнять команды оболочки cmd.exe//(то бишь usermod)//(под XP SP2 такого рабочего сплойта в паблике нет,сомневаетесь-проверьте!)

 

Если бы. Глупые ошибки с переполнениями встречаются и по сей день, к примеру уязвимость с HeavyAllocPool до сих пор не запатчена(насколько мне известно) и валидна для все ос включая вин7.