Linux 版 (精华区)

发信人: killer (《有个傻瓜爱过你》), 信区: Linux
标  题: 溢出程序使用通道对抗防火墙
发信站: 哈工大紫丁香 (2001年03月31日17:24:57 星期六), 站内信件

溢出程序使用通道对抗防火墙
发布日期: 2001-2-28
内容:
----------------------------------------------------------------------------
----
yuange@nsfocus.com
    现在很多web等应用使用了防火墙,我们自己也可能处于代理、透明网关等后面,这
对于溢出等的通信造成了一个小小的麻烦。可能很多人会想到shellcode主动连接,这个
如果防火墙做得好的话,不准许访问外部一样不行,即使不考虑这防火墙,而我们自己
可能往往处于代理或者透明网关后面,考虑这也是一道难题。
    但我们仔细考虑考虑一下数据传输问题,就会发现实际上这一切都没有想象的那么
困难,其实早已经有东西为我们扫清了道路,那就是数据通道。所以很多问题怕的就是
我们没有去想,没有去理解一些东西。只要我们访问到了server,其实对于现在这些应用
,中间已经建立了类似下面一样的一个通道,其实中间可能还更复杂,但对于我们的应
用,都会有这么一个通道。
    client <------> proxy <------> firlwall <------>server
    要运用这个通道,只要我们在server上找到了对于这个通道的读写调用就可以了。下
面具体针对IIS说一说应用。IIS有两种接口,ISAPI和CGI,主要考虑这两种应用的情况
下的办法。
    1、ISAPI接口;IIS的server与ISAPI通信大致是这样:
            ecb
   server<------>isapi
typedef struct _EXTENSION_CONTROL_BLOCK
{DWORD     cbSize;                // Size of this struct.
DWORD     dwVersion;              // Version info of this spec
HCONN     ConnID;                 // Context number not to be modified!
DWORD     dwHttpStatusCode;       // HTTP Status code
CHAR      lpszLogData[HSE_LOG_BUFFER_LEN];// null terminated log info specif
ic to this Extension DLL
LPSTR     lpszMethod;             // REQUEST_METHOD
LPSTR     lpszQueryString;        // QUERY_STRING
LPSTR     lpszPathInfo;           // PATH_INFO
LPSTR     lpszPathTranslated;     // PATH_TRANSLATED
DWORD     cbTotalBytes;           // Total bytes indicated from client
DWORD     cbAvailable;            // Available number of bytes
LPBYTE    lpbData;                // Pointer to cbAvailable bytes
LPSTR     lpszContentType;        // Content type of client data
BOOL (WINAPI * GetServerVariable);
BOOL (WINAPI * WriteClient);
BOOL (WINAPI * ReadClient);
BOOL (WINAPI * ServerSupportFunction);
}
    可以看出isapi里面有个WriteClient和ReadClient支持对客户的读、写,其实这就
是对于那个通道的读、写。只要我们在ISAPI溢出时,shellcode能找到这个ecb参数,就
可以读写这个通道,实现对抗防火墙,与我们的client的溢出程序交互的功能了。这点
可以考虑溢出时的寄存器以及堆栈里面的参数等看什么是ecb参数,实在不行还可以she
llcode直接搜索内存结构找到我们自己的ecb,这两种办法在我的不同程序里面使用过,
效果都不错。
  注意apache的ISPAI实现上没有实现ReadClient的功能,可能因为觉得处理一个请求
的时候已经不在需要读客户端了,但你完全可以通过ecb找到socket,再直接调用send功
能发送。再就是很多proxy(网关一定不会)实现上也是client------>proxy------>se
rver------>proxy------>client,而不是client<------>proxy<------>server。所以对
于这样的代理我们不要让其成为中间环节,因为这会破坏我们client与shellcode的良好
的交互性。   
  2、CGI接口;熟悉IIS的cgi接口一点的可能就会明白其数据是下面一种形式:

           pipe      pipe
    server------>cgi------>server
  看IIS这点处理数据也同样不是完全交互的,所以我开始处理CGI的溢出的时候也是
没办法使用的开port,再client连这port的办法实现。但对于上面那种良好的交互性、
对付防火墙等功能,始终心存怀念,所以也一直考虑解决办法。
  这段时间突然想到,虽然这时cgi是在单独的空间里面,但会不会继承了server的s
ocket,仍然还有读写那socket的可能呢?于是今天在cgi的shellcode里面不是直接输出
或者开port等待连接后往里面写,而是填加了代码往所有socket里面写,可喜的是在cl
ient里面成功接收到来自shellcode的信息。这说明这个通道是通的,读应该也没问题。
现在需要的就是shellcode里面怎么找到这个正确的socket。这点也需要技术去解决,不
过应该没什么问题。
  对于apache等的cgi,相信也有同样的结果,愿望始终应该要美好点嘛。
 
  上面介绍了iis的两种应用的情况下使用通道对抗防火墙,但看那技术对于别的uni
x等系统的应用应该一样可以。毕竟这种思路是系统无关的,剩下的就只有技术细节了。
是不是也想把你的unix下的shellcode加上对抗防火墙的功能了呢?其实我的溢出程序编
写里面还有很多东西你可以考虑借鉴的呢,像溢出点定位呢、shellcode定位呢,原代码
编写shellcode呢,shellcode编码呀等等。其实很想自己动手写一个满意的unix等系统
的溢出攻击程序样本出来,但一个人不能什么都做呀,也还有很多别的事要做呢。

--
╮║╭ ═╦═══
║║║ ╭╯══╮
╰║╯ ╠═══╣
╭╯╮ ╠═══╣
    ║ ╰╦═╦╯
    ╰ ═╯  ╰═

※ 来源:·哈工大紫丁香 bbs.hit.edu.cn·[FROM: 202.118.226.127]
[百宝箱] [返回首页] [上级目录] [根目录] [返回顶部] [刷新] [返回]
Powered by KBS BBS 2.0 (http://dev.kcn.cn)
页面执行时间:4.212毫秒