LyScript尋找ROP漏洞指令片段的方法詳解

更新時(shí)間：2022年07月27日 08:34:21 作者：lyshark

ROP可以理解成一個(gè)可以關(guān)閉系統(tǒng)自身內(nèi)存保護(hù)的一段機(jī)器指令。本文將利用LyScript尋找ROP漏洞指令片段，感興趣的小伙伴可以了解一下

ROP繞過(guò)片段簡(jiǎn)單科普一下，你可以理解成一個(gè)可以關(guān)閉系統(tǒng)自身內(nèi)存保護(hù)的一段機(jī)器指令，這段代碼需要我們自己構(gòu)造，這就涉及到在對(duì)端內(nèi)存搜尋這樣的指令，LyScript插件增強(qiáng)了指令片段的查找功能，但需要我們?cè)贚yScript插件基礎(chǔ)上封裝一些方法，實(shí)現(xiàn)起來(lái)也不難。

LScript項(xiàng)目地址：https://github.com/lyshark/LyScript

封裝機(jī)器碼獲取功能: 首先封裝一個(gè)方法，當(dāng)用戶(hù)傳入指定匯編指令的時(shí)候，自動(dòng)的將其轉(zhuǎn)換成對(duì)應(yīng)的機(jī)器碼，這是為搜索ROP片段做鋪墊的，代碼很簡(jiǎn)單，首先dbg.create_alloc(1024)在進(jìn)程內(nèi)存中開(kāi)辟堆空間，用于存放我們的機(jī)器碼，然后調(diào)用dbg.assemble_write_memory(alloc_address,"sub esp,10")將一條匯編指令變成機(jī)器碼寫(xiě)到對(duì)端內(nèi)存，然后再op = dbg.read_memory_byte(alloc_address + index)依次將其讀取出來(lái)即可。

from LyScript32 import MyDebug

# 傳入?yún)R編指令,獲取該指令的機(jī)器碼
def get_assembly_machine_code(dbg,asm):
    pass

if __name__ == "__main__":
    dbg = MyDebug()
    connect_flag = dbg.connect()
    print("連接狀態(tài): {}".format(connect_flag))

    machine_code_list = []

    # 開(kāi)辟堆空間
    alloc_address = dbg.create_alloc(1024)
    print("分配堆: {}".format(hex(alloc_address)))

    # 得到匯編機(jī)器碼
    machine_code = dbg.assemble_write_memory(alloc_address,"sub esp,10")
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 得到匯編指令長(zhǎng)度
    machine_code_size = dbg.assemble_code_size("sub esp,10")
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 讀取機(jī)器碼
    for index in range(0,machine_code_size):
        op = dbg.read_memory_byte(alloc_address + index)
        machine_code_list.append(op)

    # 釋放堆空間
    dbg.delete_alloc(alloc_address)

    # 輸出機(jī)器碼
    print(machine_code_list)
    dbg.close()

我們繼續(xù)封裝如上方法，封裝成一個(gè)可以直接使用的get_assembly_machine_code函數(shù)。

from LyScript32 import MyDebug

# 傳入?yún)R編指令,獲取該指令的機(jī)器碼
def get_assembly_machine_code(dbg,asm):
    machine_code_list = []

    # 開(kāi)辟堆空間
    alloc_address = dbg.create_alloc(1024)
    print("分配堆: {}".format(hex(alloc_address)))

    # 得到匯編機(jī)器碼
    machine_code = dbg.assemble_write_memory(alloc_address,asm)
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 得到匯編指令長(zhǎng)度
    machine_code_size = dbg.assemble_code_size(asm)
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 讀取機(jī)器碼
    for index in range(0,machine_code_size):
        op = dbg.read_memory_byte(alloc_address + index)
        machine_code_list.append(op)

    # 釋放堆空間
    dbg.delete_alloc(alloc_address)
    return machine_code_list

if __name__ == "__main__":
    dbg = MyDebug()
    connect_flag = dbg.connect()
    print("連接狀態(tài): {}".format(connect_flag))

    # 轉(zhuǎn)換第一對(duì)
    opcode = get_assembly_machine_code(dbg,"mov eax,1")
    for index in opcode:
        print("0x{:02X} ".format(index),end="")
    print()

    # 轉(zhuǎn)換第二對(duì)
    opcode = get_assembly_machine_code(dbg,"sub esp,10")
    for index in opcode:
        print("0x{:02X} ".format(index),end="")
    print()

    dbg.close()

執(zhí)行后即可得到結(jié)果：

掃描符合條件的內(nèi)存: 通過(guò)使用上方封裝的get_assembly_machine_code()并配合scan_memory_one(scan_string)函數(shù)，在對(duì)端內(nèi)存搜索是否存在符合條件的指令。

from LyScript32 import MyDebug

# 傳入?yún)R編指令,獲取該指令的機(jī)器碼
def get_assembly_machine_code(dbg,asm):
    machine_code_list = []

    # 開(kāi)辟堆空間
    alloc_address = dbg.create_alloc(1024)
    print("分配堆: {}".format(hex(alloc_address)))

    # 得到匯編機(jī)器碼
    machine_code = dbg.assemble_write_memory(alloc_address,asm)
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 得到匯編指令長(zhǎng)度
    machine_code_size = dbg.assemble_code_size(asm)
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 讀取機(jī)器碼
    for index in range(0,machine_code_size):
        op = dbg.read_memory_byte(alloc_address + index)
        machine_code_list.append(op)

    # 釋放堆空間
    dbg.delete_alloc(alloc_address)
    return machine_code_list

if __name__ == "__main__":
    dbg = MyDebug()
    connect_flag = dbg.connect()
    print("連接狀態(tài): {}".format(connect_flag))

    # 轉(zhuǎn)換成列表
    opcode = get_assembly_machine_code(dbg,"push eax")
    print("得到機(jī)器碼列表: ",opcode)

    # 列表轉(zhuǎn)換成字符串
    scan_string = " ".join([str(_) for _ in opcode])
    print("搜索機(jī)器碼字符串: ", scan_string)

    address = dbg.scan_memory_one(scan_string)
    print("第一個(gè)符合條件的內(nèi)存塊: {}".format(hex(address)))

    dbg.close()

掃描結(jié)果如下：

將我們需要搜索的ROP指令集片段放到數(shù)組內(nèi)直接搜索，即可直接返回ROP內(nèi)存地址。

from LyScript32 import MyDebug

# 傳入?yún)R編指令,獲取該指令的機(jī)器碼
def get_assembly_machine_code(dbg,asm):
    machine_code_list = []

    # 開(kāi)辟堆空間
    alloc_address = dbg.create_alloc(1024)
    print("分配堆: {}".format(hex(alloc_address)))

    # 得到匯編機(jī)器碼
    machine_code = dbg.assemble_write_memory(alloc_address,asm)
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 得到匯編指令長(zhǎng)度
    machine_code_size = dbg.assemble_code_size(asm)
    if machine_code == False:
        dbg.delete_alloc(alloc_address)

    # 讀取機(jī)器碼
    for index in range(0,machine_code_size):
        op = dbg.read_memory_byte(alloc_address + index)
        machine_code_list.append(op)

    # 釋放堆空間
    dbg.delete_alloc(alloc_address)
    return machine_code_list

if __name__ == "__main__":
    dbg = MyDebug()
    connect_flag = dbg.connect()
    print("連接狀態(tài): {}".format(connect_flag))

    for item in ["push eax","mov eax,1","jmp eax","pop eax"]:
        # 轉(zhuǎn)換成列表
        opcode = get_assembly_machine_code(dbg,item)
        #print("得到機(jī)器碼列表: ",opcode)

        # 列表轉(zhuǎn)換成字符串
        scan_string = " ".join([str(_) for _ in opcode])
        #print("搜索機(jī)器碼字符串: ", scan_string)

        address = dbg.scan_memory_one(scan_string)
        print("第一個(gè)符合條件的內(nèi)存塊: {}".format(hex(address)))

    dbg.close()

檢索效果如下：