在前文当中其实有提到一个漏洞syncbreezeent_setup_v10.4.18的SEH溢出漏洞链接:[原创] Windows SEH 结构化异常溢出分析记录-二进制漏洞-看雪安全社区｜专业技术交流与安全研究论坛。我在之前的文章当中提到了，关于偏移量在不同系统，不同环境当中的不同，在我当时的漏洞环境当中，这个偏移量是0x7d4，在我朋友的环境当中这个偏移量为0x86C。
关于这个漏洞的exp优化报告我已经提交给exploit-db官方了，正在等待回复中。
这个偏移量在exploit-db当中则更加粗犷
65bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2P5s2m8D9L8$3W2@1i4K6u0V1k6r3u0Q4x3X3g2U0L8$3#2Q4x3V1k6W2P5s2m8D9L8$3W2@1M7#2)9J5c8U0b7K6z5e0x3$3
可以看到这里的代码 add esp,100 * 20 相当于加了2000 这个做法必然是非常粗糙的，且可用性是很差的，所以，既然学会了egghunter，来尝试修改一下这个部分。整个exp部分可以查看我的上一篇文章，这里代码选用文章2.5shellcode位置选择部分的代码作为基础代码：[原创] Windows SEH 结构化异常溢出分析记录-二进制漏洞-看雪安全社区｜专业技术交流与安全研究论坛此时已经测试玩坏字符，找到PPR指令和jmp指令了，然后从这里进行修改如果只是单纯的SEH溢出练习，那么此时我们就应该去找一下多出的内容写在哪里了，但是现在我们要用Egghunter的方式解决这个问题，那么代码的部分就要稍微修改一下，C的部分先写成egg+C这种形式方便查找然后加载到windbg当中，以这种方式找到shellcode的位置，也能够算出这个偏移量。在SEH的文章当中其实有提到，目前的空间是不够的，继续单步执行，查看018cff4c地址的大小，这个部分只有120字节左右，之前的做法是加调整esp然后jmp esp，但是现在，我们知道可以用egghunter的方式来解决这个问题，124字节是足够写egghunter的代码的修改代码，这个时候SEH处理的部分可以替换成egghunter的代码，也就是我代码当中shellcode的变量但是还需要解决一个遗留问题，之前写的Egghunter当中会存在坏字符的问题\x02
`这个坏字符的来源是push 0x2所以需要解决这个问题，解决思路，无非就是取反，数学计算等。
首先数学计算比较简单，把push 0x2拆分一下inc ecx * 2即可，修改成这样即可。然后修改exp这里加载到windbg当中的时候，要忽略“探路”异常，便于查看，可以看到egghunter代码在工作。获取到shell
完整exppayload += "\x83\xc4\x64" * 20 # metasm > add esp,100
---
来源: 看雪论坛
原文链接: https://bbs.kanxue.com/thread-290057.htm
[原创] exploit-db exp 优化SEH Egghunter
223 浏览
1 回复
能私