大神论坛逆向脱壳之保护模式学习六代码跨段跳转-低调大师

大神论坛逆向脱壳之保护模式学习六代码跨段跳转

2021-05-24 771

前言

在先前的文章中提到了可以使用MOV、LES、LSS、LDS、LFS、LGS指令修改段寄存器

但CS段寄存器不能通过上面的指令修改；CS段寄存器为代码段寄存器，改变CS的同时必然要修改EIP

EIP寄存器，用来存储CPU要读取指令的地址,CPU通过EIP寄存器读取即将要执行的指令。每次CPU执行完相应的汇编指令之后，EIP寄存器的值就会增加

代码跨段跳转

同时修改CS和EIP的指令

只改变EIP的指令

JMP FAR 指令

指令格式

JMP Selector:Offset

形如：JMP 0x20:0x00452610

Selector为段选择子
Offset为要跳转的偏移
- *

CPU执行指令流程

以上面的 JMP 0x20:0x00452610为例，探究CPU的执行流程

执行流程为：

拆分段选择子
根据段选择子查表得到段描述符
权限检查
加载段描述符
代码执行

拆分段选择子

段选择子为：0x001B

将其转换成二进制得到：0000 0000 0001 1011

然后根据段选择子的结构得到：

根据段选择子查表得到段描述符

根据前面得到的段选择子的TI 可以确定要查询的表为GDT表

对应的段描述符地址 = GDT表首地址 + 索引× 段描述符长度 = GDT表首地址 + 索引 × 8

所以：对应的段描述符地址 = 0x8003f000 + 3×8= 0x8003f000 + 24 = 0x8003f000 + 0x18 = 0x8003f018

使用windbg查看对应的段描述符地址

得到对应的段描述符为：00cffb00`0000ffff

将其转换为二进制得到：0000 0000 1100 1111 1111 1011 0000 0000 ` 0000 0000 0000 0000 1111 1111 1111 1111

根据段描述符的结构得到：

这里要关注S位和Type域

S位

此时的S位为1，表明该段描述符为代码段描述符或者数据段描述符

Type域

此时的Type域为1011，表明该段描述符为代码段描述符，且可执行可读，可访问

根据索引得到的段描述符只有4种情况可以实现跳转：代码段、调用门、TSS任务段、任务门

此时的段描述符为代码段描述符，因此可以看下一步

权限检查

有关权限检查的内容在之前的文章中已详细介绍，这里不过多赘述

判断 DPL是否满足：EPL=max(RPL,CPL)<=DPL是否成立

此时EPL=3，DPL=3；满足EPL<=DPL，权限检查通过

PS：权限检查还需要关注Type域的属性，如果Type域的属性允许从较低特权级别调用（表明该段为一致代码段(共享段)），则CPL>=DPL即可；该例中的Type域表明此段为非一致代码段，于是需要进行权限检查

如果是非一致代码段，要求：EPL=max(RPL,CPL)<=DPL
如果是一致代码段，要求：CPL>=DPL
- *

加载段描述符

通过以上的检查后，CPU会将段描述符加载到CS段寄存器中

代码执行

CPU将CS.Base+Offset的值写入EIP 然后执行CS:EIP处的代码，段间跳转结束

根据前面的段描述符结构，可以得到CS.Base为0，于是EIP会被修改为Offset：0x00452610

测试JMP FAR指令

前面了解了JMP FAR指令的执行流程，接下来验证JMP FAR指令执行的结果

因为CS段寄存器原本的段选择子就是0x001B，所以如果使用前面的例子会导致效果不明显

因此要自己构造一个段描述符，并使用对应的段选择子进行测试

确定段选择子

使用Windbg找到一处未被使用的段描述符

确定了要被构造的段描述符的地址为：0x8003f048

根据 段描述符地址 = GDT表首地址 + 索引× 段描述符长度 = GDT表首地址 + 索引 × 8可以逆推出

索引 =（段描述符地址 - GDT表首地址）÷ 8

即索引 = (0x8003f048-0x8003f000) ÷ 8 = 0x48 ÷ 8 = 72 ÷ 8 = 9

将二进制拼接起来得到：0000 0000 0100 1000，对应十六进制为0x4B

即段选择子为0x4B

构造段描述符

确定了段选择子以后，就可以构造段描述符了

主要修改了DPL为0；段类型设置为可执行可读，可从较低特权级别调用，可访问的代码段描述符

将上面的二进制拼接得到：00cf9f00`0000ffff

写入段描述符

将构造好的段描述符写入

在windbg中使用指令

eq  8003f048 00cf9f00`0000ffff

eq ：edit qword，以qword的数据宽度编辑修改指定地址的数据

指令格式为：eq address data

修改后再用windbg查看

确认写入成功后继续下一步

OD测试指令

使用OD随便打开一个软件，这里用的demo为EverEdit.exe

修改要执行的指令为：

jmp far 0x4b:0056AF36

修改后，按F8单步步过，观察CS和EIP的变化

可以看到EIP被修改为了Offset（偏移），CS被修改为了Selector（段选择子）；EIP和CS被同时修改了

尝试修改CPL

原本的CPL为3，CPL为当前特权级别，等于CS和SS的RPL（请求特权级别）

前面的其它操作不变，将段选择子的请求特权级别修改为0

即将段选择子修改为

得到新的段选择子为0x0048

使用OD执行新的指令

jmp far 0x48:0056AF36

可以看到，CS仍然是0x4B，CPL仍然没有发生改变，当前特权等级依旧为3

也就是说CPL无法通过这种方式改变

总结

对于一致代码段（共享段）

特权级高的程序不允许访问特权级低的数据：核心态不允许访问用户态的数据
特权级低的程序可以访问到特权级高的数据，但特权级不会改变：用户态还是用户态
- *

对于普通代码段（非一致代码段）

只允许同级访问
绝对禁止不同级别的访问
- *

直接对代码段进行JMP 或者 CALL的操作，无论目标是一致代码段还是非一致代码段，CPL都不会发生改变

如果要提升CPL的权限，只能通过调用门（这也就是所谓的提权操作）

为了对数据进行保护，普通代码段是禁止不同级别进行访问的。用户态的代码不能访问内核的数据，同样，内核态的代码也不能访问用户态的数据。这种数据隔离的性质更好地保障了系统的安全性和稳定性

本系列逆向脱壳之保护模式基础学习都在下方链接中，欢迎访问并学习交流

https://www.dslt.tech/article-620-1.html

微信关注我们

原文链接：https://blog.51cto.com/u_11440330/2802550

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

npm详解

文章目录 npm 是什么？安装 npm 更新 npm package.json 文件 package.json 如何创建 package.json 的内容 dependencies（生产环境）和 devDependencies（开发环境）的区别指定安装包的版本自定义 package.json 安装包文件引用文件库 npm 是什么？ npm（node package manager）：node.js 的包管理器，用于node插件管理（包括安装、卸载、管理依赖等），npm 是随同 node.js 一起安装的包管理工具，能解决 node.js 代码部署上的很多问题，常见的使用场景有以下几种：允许用户从 npm 服务器下载别人编写的第三方包到本地使用。允许用户从 npm 服务器下载并安装别人编写的命令行程序到本地使用。允许用户将自己编写的包或命令行程序上传到 npm 服务器供别人使用。 npm是一个包管理器，它让 javascript 开发者分享、复用代码更方便.在程序开发中我们常常需要依赖别人提供的框架，写js 也不例外。这些可以重复的框架代码被称作包(package)或者模...

2021-05-24

482

本文主要介绍Mach-O文件格式以及通用二进制文件 Mach-O文件概述 Mach-O其实是Mach Object文件格式的缩写，是mac以及iOS上可执行文件的格式，类似于windows上的PE格式 (Portable Executable ), linux上的elf格式 (Executable and Linking Format) Mach-O是一种用于可执行文件、目标代码、动态库的文件格式。作为a.out格式的替代，Mach-O提供了更强的扩展性。 Mach-O文件格式常见的Mach-O格式有以下几种 1、目标文件.o 2、库文件，细分主要有以下几种： .a .dylib .framework 3、可执行文件 4、dyld 5、.dsym 我们可以通过终端的file指令来查看文件的类型 <article class="_2rhmJa" deep="5"file 文件路径` 1、目标文件.o 1、新建一个C文件 #include<stdio.h>intmain(){printf("test\n");return0; } 2、通过clang命令编译C文件查看...

2021-05-24

627

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。